KI entwirft Viren: 16 Phagen und drei Schranken

Eine KI entwirft Viren, die im Labor tatsächlich funktionieren. Ein Team der Universität Stanford und des Arc Institute stellte 16 davon am 6. August im Fachjournal Science vor. Diese Viren befallen ausschließlich Bakterien und sind für Menschen ungefährlich. Was aber hält jemanden auf, der dasselbe mit einem gefährlichen Erreger versucht?

Eine KI entwirft Viren, die nur Bakterien befallen

Das Team nutzte die Genom-Sprachmodelle Evo 1 und Evo 2 des Arc Institute. Ein solches Modell behandelt DNA-Sequenzen wie Sprache und setzt daraus neue Abfolgen von Bausteinen zusammen. Als Vorlage diente der Bakteriophage ΦX174 mit seinen 5.386 Nukleotiden und elf Genen. Ein Bakteriophage ist ein Virus, das ausschließlich Bakterien befällt und abtötet.

Die beiden Modelle erzeugten rund 700.000 Kandidaten-Genome, von denen die Forscher 302 zur Synthese auswählten. 285 davon ließen sich herstellen und im Labor prüfen, 16 erwiesen sich als funktionsfähige Phagen gegen das Darmbakterium E. coli. Neu ist nicht, dass eine KI biologische Bausteine entwirft, denn frühere Arbeiten optimierten bereits einzelne Proteine. Hier entstand erstmals ein komplettes Genom in einem einzigen Durchgang.

Die funktionsfähigen Varianten glichen der natürlichen Vorlage zu 93 bis 99 Prozent. Trotzdem wies jede von ihnen zwischen 67 und 392 neue Mutationen auf. Einzelne der neuen Phagen vermehrten sich sogar bis zu 65-fach stärker als das Original. Der medizinische Zweck ist die Phagentherapie, also der Einsatz von Viren gegen Bakterien, bei denen Antibiotika versagen. Ein Cocktail aus allen 16 KI-Phagen überwand in Tests die Resistenzbildung dreier E.-coli-Stämme schneller als einzelne natürliche Phagen. Studienleiter Brian Hie sagte sinngemäß, ein Medikament sei verloren, sobald ein Bakterium gegen einen einzelnen Phagen resistent werde.

Nicht diese 16 Phagen sind das Problem. Sie befallen Bakterien und sonst nichts, die Versuche liefen unter strengen Laborauflagen. Bewiesen ist damit aber, dass ein frei verfügbares KI-Modell ein funktionierendes virales Genom komplett neu entwerfen kann. Zwischen diesem Entwurf und einem gefährlichen Erreger stehen drei Schranken.

Schranke eins: der Filter in den Trainingsdaten von Evo 2

Das Arc Institute stellte Evo 2 im Februar 2025 vor. Trainiert wurde es mit über 9,3 Billionen Nukleotiden aus mehr als 128.000 Genomen. Krankheitserreger des Menschen und eukaryotische Viren blieben bewusst außen vor. Vor der Veröffentlichung beriet Tina Hernandez-Boussard, Medizinprofessorin in Stanford, das Team zum verantwortungsvollen Umgang mit der Technik. Zusätzlich suchte das Institut in einem Red-Teaming gezielt nach Missbrauchswegen. Nach Angaben des Instituts liefert Evo 2 bei krankmachenden viralen Proteinen praktisch zufällige Ergebnisse. Das Stanford-Team arbeitete außerdem ausschließlich mit harmlosen Laborstämmen von E. coli.

Diese Schranke sitzt im Modell selbst, doch Evo 2 hat offene Gewichte. Die trainierten Parameter kann jeder herunterladen und für eigene Zwecke weiterverwenden. Damit lässt sich das Modell auch nachtrainieren, im Fachjargon heißt das Fine-Tuning. Genau das haben Forscher von Johns Hopkins, Oxford und Stanford ausprobiert. Sie trainierten Evo 2 mit Sequenzen von 110 humanpathogenen Viren nach.

Der Filter fiel dabei nicht, er wurde durchlässiger. Die mediane Perplexität sank von 3,83 auf 3,55. Dieser Wert zeigt an, wie vertraut einem Modell eine Sequenz ist. Das nachtrainierte Modell sagte anschließend Mutationen voraus, mit denen SARS-CoV-2 der Immunabwehr entgeht. Sein AUROC-Wert lag bei 0,59, wobei reines Raten 0,5 ergäbe. Das spezialisierte Programm EVEscape kommt auf 0,8. Die Schranke ist also geschwächt, nicht gefallen.

Schranke zwei: Beim DNA-Synthese-Screening zählt nur Bekanntes

Ein entworfenes Genom ist zunächst nur eine Datei. Gefährlich wird es erst, wenn jemand die Sequenz als physische DNA bestellt. Genau dort greift das Screening synthetischer Nukleinsäuren, bei dem Anbieter jede Bestellung mit Datenbanken bekannter Gefahrensequenzen abgleichen. Das Verfahren beruht auf Ähnlichkeit zu bereits Bekanntem. KI-generierte Genome haben keine evolutionäre Vorgeschichte und tauchen in diesen Datenbanken nicht auf.

Wie gut sich das ausnutzen lässt, zeigte eine weitere Untersuchung. Ein Team um Eric Horvitz, den Wissenschaftschef von Microsoft, veröffentlichte sie am 2. Oktober 2025 in Science. Die Forscher erzeugten rund 76.000 digitale Entwürfe für 72 gefährliche Proteine, darunter Ricin und Botulinum-Neurotoxin. Ihre Programme schrieben die Aminosäuresequenzen so um, dass Struktur und Funktion erhalten blieben. Ein Teil dieser Varianten passierte die Screening-Software unerkannt. Hergestellt wurde nichts, der Test lief rein rechnerisch.

Danach arbeiteten die Beteiligten rund zehn Monate an einem Patch, der weltweit an Synthesefirmen ging. Adam Clore vom Anbieter Integrated DNA Technologies sagte sinngemäß, der Patch bleibe unvollständig und die Sache sei nicht ein für alle Mal erledigt. Die Phagen-Studie und die Microsoft-Arbeit sind voneinander unabhängig. Sie zeigen dasselbe strukturelle Problem, weil ein Abgleich nach Ähnlichkeit vor allem Bekanntes findet.

Hinzu kommt, dass diese Prüfung fast überall freiwillig ist. Im International Gene Synthesis Consortium haben sich über 40 Unternehmen selbst dazu verpflichtet. Benchtop-Synthesegeräte umgehen das zentrale Bestellsystem ohnehin, sie passen auf einen Labortisch und produzieren DNA direkt vor Ort.

Schranke drei: Recht, das noch keine Pflicht kennt

Die USA veröffentlichten im September 2024 einen Leitfaden für das Screening synthetischer Nukleinsäuren, der aber nicht verbindlich ist. Im Mai 2025 ordnete die Executive Order 14292 eine Überarbeitung an. Der Biosecurity Modernization and Innovation Act of 2026 kam am 29. Januar in den Senat. Eingebracht haben ihn die Senatoren Tom Cotton und Amy Klobuchar. Seither liegt er im Handelsausschuss, weitere Schritte sind nicht bekannt.

Im Begleitkommentar zur Studie fordern Thomas Inglesby und Moritz Hanke vom Johns Hopkins Center for Health Security genau diese Pflicht. Anbieter müssten dann die bestellte Sequenz und die Identität des Bestellers prüfen. Dieselbe Forderung erhebt seit Juni 2026 ein offener Brief mit rund 100 Unterzeichnern aus vier Bereichen: Technologiebranche, Nukleinsäure-Synthese-Industrie, Life-Science-Forschung und nationale Sicherheit. Die KI-Branche verlangt darin selbst eine Vorschrift, die es bisher nicht gibt.

In Europa liegt seit dem 16. Dezember 2025 der Kommissionsvorschlag für einen EU Biotech Act vor. Sein Kapitel zur Biodefence sieht ein verpflichtendes Screening vor, samt Prüfung der Kundenidentität. Bestellungen müssten mit einer Liste bedenklicher Sequenzen abgeglichen werden. Geltendes Recht ist davon bislang nichts, die Trilog-Verhandlungen werden frühestens im vierten Quartal 2026 erwartet. Anwendbar wäre das Gesetz nicht vor 2027 oder 2028.

Wie gefährlich ist es, wenn eine KI Viren entwirft

In der Fachwelt gehen die Einschätzungen weit auseinander. Tom Ellis, Professor für Synthetic Genome Engineering am Imperial College London, hält die Sorge für deutlich überzogen. Wer einen gefährlichen Erreger wolle, nehme einen bestehenden und verändere ihn gezielt. Solche Gain-of-Function-Eingriffe seien viel einfacher und deshalb die realistischere Bedrohung. Gain-of-Function bezeichnet Forschung, die einem Erreger neue oder verstärkte Eigenschaften verleiht.

Die Biosicherheitsforscherin Filippa Lentzos vom King’s College London hält die Fixierung auf das KI-Modell für zu eng. Sinnvoll sei eine mehrschichtige Kontrolle, von der Modellentwicklung über die Prüfung von Forschungsvorhaben bis zur Laborsicherheit. Gegenüber dem Science Media Center nannte Mirko Himmel von der Universität Hamburg die nachgewiesene Wirksamkeit beeindruckend. Brian Hie wiederum verteidigt die offene Verfügbarkeit der Modelle. Natürliche Erreger seien das größere Risiko, bessere Werkzeuge würden bei der Verteidigung helfen.

Was heißt das für die Zukunft der Biosicherheit?

Am Ende bleibt eine Kette aus drei Schranken, von denen keine verbindlich ist. Der Filter in den Trainingsdaten hängt vom guten Willen des Entwicklers ab und lässt sich durch Nachtrainieren schwächen. Das Screening bei der Synthese erkennt vor allem, was bereits bekannt ist. Neu entworfene Genome fallen dadurch leicht durchs Raster. Das Recht ist bislang nur ein Vorschlag in Brüssel und ein Entwurf im Ausschuss in Washington.

Zwischen einem entworfenen Genom und einem realen Erreger liegt nur ein einziges Nadelöhr. Es ist die Bestellung bei einem Synthese-Anbieter. Genau dort ließe sich eine Pflicht am ehesten durchsetzen. Ob daraus eine Pflicht wird, entscheidet sich in Brüssel und in Washington. Dort zeigt sich, ob die freiwillige Selbstverpflichtung der Industrie zu geltendem Recht wird.

Für Unternehmen aus Life Science, Pharma und Biotechnologie lohnt sich ein Blick auf die Lieferkette. Wer weiß, wie sein Synthese-Anbieter Bestellungen prüft, ist auf eine kommende Pflicht vorbereitet. Was heute freiwillig ist, könnte durch den EU Biotech Act oder ein US-Gesetz zur Pflicht werden.