还没人做的实验，
多半有人做了一半

10 月 28 日，Exin Therapeutics 的联合创始人兼 CEO Gabriel Ocana-Santero 在 X 上发了一串帖子（主帖，写明事情发生在“昨晚”；截至 11 月 1 日约 9,500 个赞、160 万浏览）。Exin 据报道 2024 年成立，做癫痫等神经疾病的药物发现，实验设施在马尼拉（腾讯新闻转述）。

他们给一个 Claude Agent 一张电子表格，上面是 19 个基因治疗载体；一只癫痫模型小鼠（控制台截图标注为 4-AP 诱发的强直阵挛发作模型）；一台用 Arduino 自制、装了摄像头的电动手术平台；一个目标：减少发作。

按他的叙述，Agent 选了一个增强 GABA 能抑制的载体，把注射点定在外侧嗅内皮层。它也评估过黑质，并留下保留意见：效果取决于亚区，在不同癫痫模型里表现不稳。坐标取自三篇论文的平均值，每篇都核对了深度的参照点是否和他们的平台一致。然后它驱动立体定向臂，5 分钟里注入 250 纳升，约 5×10⁸ 个病毒基因组。整场手术里它自己取了 32 次画面，看出血和回流。

人做的部分同样具体。开颅是人做的，这一步 Agent“目前不被允许”；10 月 30 日的后续串写明，切口、开颅和缝合都由一名持证兽医外科医生完成并全程监督，团队正在测试让 Agent 做开颅，目前不放手。兽医手里握着能切断全部电机电源的急停。注射体积有固定上限，审批与哈希绑定，Agent 被禁止绕过这些，也不得改固件。

然后是整件事最有意思的一段。断连之后，Y 轴算出的目标位置是 34 mm，而平台行程只有 30 mm。Agent 拒绝移动，理由是针头仍在原点，这像标定问题，不像计划值有错，它不会重试。团队把原点重新归零，数字相同，它第二次拒绝。Ocana-Santero 说服不了它，手术中途只好自己动手修。他对原因的两次讲法略有不同：10 月 28 日的串说，此前暂停时的手动移动让控制器和参考点失了步；10 月 30 日的串说，控制器因为一个 bug 丢了参考，固件上很好修，但“不许它改固件”本来就是安全措施之一，所以它拒绝自己解决。WIRED 的采访稿又写，他们用另一个 Opus 5 编码 Agent 改了代码，没告诉它正在做活体手术，整场比通常的约 45 分钟长，略超过一小时。三处讲法不同，核心一致：Agent 守住了给它的约束，人在手术中途为此救火，麻醉的小鼠一直在台上。

三个模型的表现也不一样。按 10 月 28 日的串：Opus 5.5 一检测到涉及生物就拒绝。Opus 5 在水和方格纸上把整套演练做完，到活体前停手，理由是它自己的输出在写手术方案时被截断过，怕在活体手术中途再被截断：对一只麻醉的动物，开始一件可能做不完的事，比不开始更糟。Sonnet 5 把活体手术里归 Agent 的部分从头跑到了尾。小鼠恢复良好。（WIRED 把“怕中途停下”的理由归给了 Opus 5.5。本文采一手串。）

两天后，作者又放出一串对比（对比串，10 月 30 日）：Sonnet 5、GPT-6.1 Sol 和 Grok 4.7，同样的 19 个载体、同样的小鼠模型、同样的平台、同样的目标，各做了一次活体手术。三个模型选了不同的治疗、机制和脑区：Claude 选内嗅皮层，经转运体增强 GABA 信号；GPT 选海马，用一个离子通道疗法，针对兴奋性神经元；Grok 选躯体感觉皮层，组合两种基因疗法增强皮层抑制。剂量也差约 2 倍。取帧次数分别是 32、59、28 次。

每个模型遇到的意外也不同。Claude 是上面的 Y 轴。GPT 在相机里看到开口处有一小粒暗红色，标记为可能出血，把决定交给外科医生；作者说这个量并不严重，这也不是它该做的决定，像是在推卸责任。Grok 在针回撤时，外科医生查看报告，误按了停止，控制器丢了位置；Grok 判断该点已经给过药，拒绝再次进针去补完序列，作者认为这是对的，但它把目标记成了“未完成”。作者自己的结论是：每个模型 N=1，三只不同的动物，设备问题也略有不同，这是对模型在真实实验室里怎么推理的评论，不是基准；动物在恢复，将在未来几周监测行为和脑活动，并扩大样本。

能确认的是这两串帖子和随后的报道。没有的东西：手术过程的视频和完整日志（串里只有一段 5 秒的笼中小鼠片段和几张控制台、Agent 记录截图），发作读数，对“恢复良好”的定义；这些手术的伦理批准没有说明，技术报告和长文也还在“稍后”。explainx（10 月 30 日）把当时的缺项列成了清单。本刊 EP.109 当天收了 10 月 28 日的串，写的是“作者自述的一只小鼠”，没有写成“首次”。

媒体大多没提的是，三周前 Exin 已经放出一篇预印本：CircuitATLAS（10 月 7 日）。里面的实验室被写成一个 MCP 服务器：81 条标准操作流程、操作员资质、设备状态、动物和耗材库存，共 25 个工具。实验设计 Agent 查询它排下一步，提案要过统计功效、期望信息增益、3Rs 和可行性的确定性闸门，再由一位具名科学家批准，才可以动动物。

案例是 Agent 提名了一个靶点 ATP1A3，随后它在小鼠体内做了验证：对照载体组 5 只、ATP1A3 组 6 只，局灶刺激下 β 波段倍数变化的组中位数分别是 11.16 和 1.33。论文没写这次验证是否经 Agent 排程，也没写谁动手；我的读法是动手的仍是人，因为论文把操作员资质列为实验室资源，并要求具名科学家批准。论文自己写明，系统的表现“尚未前瞻性地确立”，伦理批准来自 Exin 内部的委员会。

所以这几天新增的，不是“Agent 在活体上得到读数”，这件事 10 月 7 日的预印本里已经有了。新增的是一个合取：Agent 自己选治疗和靶点，再驱动平台把针送进活体。作者说他不知道此前有过，这是他的说法，我没把它核成“首次”。至于这些手术的疗效读数，仍是空的。

“第一次”到底是哪一次，得先把它拆开。

Ocana-Santero 在串里写，他不知道此前有哪个 Agent 选择了治疗和脑靶点，再把它送进活体哺乳动物。这句话很可能成立，我也没找到反例。但它是一个合取：LLM 做决定，选的是治疗和靶点，送进的是活体哺乳动物。去掉任何一项，前面都有人。

自主手术不是新东西。2022 年 STAR 在活体猪上自主做了肠吻合（术者从系统生成的方案里选）；2025 年 7 月香港中文大学团队的具身智能腹腔镜在活体动物上试了 3 个任务；微创机器人公司 2026 年 1 月的公告称，其“多模态自主手术大模型”在 30 公斤的实验猪上完成胆管夹闭与剪切，首例试验里局部步骤成功率 88%，同时声明实验在外科医生全程监督、可随时人工接管的条件下进行。Agent 提名的靶点在小鼠体内做了验证，是 CircuitATLAS。

所以要说清一个“第一次”，得同时看五件事：

1. 谁做决定。 LLM Agent，而不是固定算法、规则或人。
2. 谁动手。 Agent 经接口驱动真实设备，而不是人照方案操作。
3. 什么状态。 出错不可逆：活体、患者、一批样品；不是板上的试剂，也不是仿真。
4. 几轮。 多轮自适应，不是单次。
5. 谁验证。 前瞻、预注册或独立方，而不是自报或回放。

下表把几项有代表性的工作放进去。●满足，◐部分，○不满足。格子是我按各自原文的判断。

没有哪一行是全黑的。Exin 的手术在前三格最满，后两格最空。Ceder 和 Lila 在多轮上最满，但都不涉及不可逆的状态。Chalmers 的酵母闭环有同行评审，代价也不致命。全黑的那一行，也就是 LLM 做决定、亲手动设备、状态不可逆、多轮、前瞻或独立验证，我没有找到。这是检索结果，不是普查。

判断“有几个限定词”之前，得先把已有成绩读准。下面这些数字在转述里常被读得比原页大。

这十二行里，Robin 和 A-Lab 是同一篇工作在两个时点的两个数：Robin 从 7.5 倍到 1.89 倍，A-Lab 从 41/58 到 36/57，方向都是缩小。iBioFAB 一行是两个团队的两项工作被并成了一条。Red Queen、Virtual Lab、Google 适配体的数字在原页上是成立的，被删掉的是限定条件，读数范围因此变窄。这十二行是我挑出来核的，不是随机样本，所以只能说“经常”，不能说“总是”。

A 活体与具身

B 长周期与对账

C 扩大范围

C1 周边还有几项，各自差一个限定词。患者端的 LLM 随机试验已有：PreA（Nature Medicine，2,069 例，终点是问诊时长、协作和沟通；它会给出初步诊断、检查和治疗建议，决策仍由专科医生做，没有以治疗结局为终点）。AI 发现的 rentosertib 2026-07 公告启动、预计入组 320 人的 III 期，AI 参与的是靶点和分子，试验由人执行。自主调药也不是新事：2023 年一项 32 例的 RCT 里，语音 AI 在医生预批准的方案内自主调整基础胰岛素（JAMA Netw Open），但那是规则型系统，不是 LLM Agent。FDA 的 AI 药物开发指南页至今仍把 2025 年的文件称作草案，管的是“用于支持监管决策的 AI”，没有专门针对 Agent 自主的文件（FDA 页面，截至 2026-05-01 的版本）。

A2 和 A3 是我原先最看好“最先出现”的两格，因为它们不需要动物。结果它们在仿真里已经有了。

Gamow Labs 的 LabRobotBench V0.1（10 月 19 日）在仿真的机器人湿实验工作站里，让前沿模型接手被打断的实验。其中 Rescuing assays and cold stocks 任务（任务 ID 里叫 workcell triage）的题面是：班次里工作站停了，恢复你能安全恢复的，留下交接，没有人类操作员（任务页）。评分的关键项分两类：每块板的整体处置是否合格（含时限），和全局是否留下一个安全、稳定的工作站，也就是停掉设备、清空工位、清除故障、不留下机器人托管问题和不安全的液体操作；另有单独的报告核对。

公布的三段录像来自三个案例，各有一种坏法：一个把洗过、但没加检测试剂也没读数的托盘放回货架，实验没做完；一个把冷藏物资送回冷库时，已在外面放了约 422 秒，限度是 240 秒；一个把读数晚了 42.5 秒的结果取出来，事后仍报告测试完成。没做完就收、超时、报告完成但已超时。

公布子集上的平均分是 GPT 6.1 Sol 46.7%、Opus 5.5 23.0%、Gemini 4 Argon 20.9%。这是预览版：每个模型每个任务只跑一次，评分规则在 9 次试点后回溯调过。环境也是仿真，Gamow 自称它“镜像物理机器人的命令接口”；它 10 月 30 日的 V0.2 报告称，仿真里和真机视觉任务的表现，Spearman 相关系数是 0.85（11 个模型，孪生渲染图对真实录像），那是视觉问答，不是排障。

真设备上也有同类的事。8 月 28 日 R&D World 报道 Anthropic 的设备接口 MHS 时写到，Genentech 的测试里 Claude 把气泡造成的报错当成了软件故障，起初的处理还产生了更多泡沫，人工介入。MHS 目前要求设备有可编程接口，Anthropic 也承认 Claude 的空间与物理推理仍需要专家监督。

再往不可逆的方向走，就是 Exin 的三台手术。三个模型遇到三种意外，处理各不相同：Claude 守住了“不许改固件”的约束，拒绝去修一个它自己承认容易修的问题；GPT 把一个不算严重的疑似出血交给外科医生；Grok 在被误按停止之后，拒绝再进针去补完一个已经给过药的点，却把它记成了未完成。三个决定都站得住，也都带着各自的怪癖。作者强调这些反应没有脚本。Opus 5 的停手是同一个问题的另一头：不确定能不能收场，就不开始。

所以“收场”至少有这几种坏法或怪法：没做完就收、超时、报告与实况不符、拒绝、推给人、该完成的记成未完成。我原先设想的“安全退针成功率”，只覆盖了其中很小的一块。要紧的是把它们变成可测的指标，比如假收场率（没做完就收，或报告完成而实际没完成）、误诊后的二次损害、拒绝或推诿造成的悬停时间。这些指标在仿真里已有雏形，在实物上还没有人系统地测。

Robin 是一个小例子。预印本里，Robin 的数据分析 Agent（Finch）称 ripasudil 让视网膜色素上皮细胞的吞噬增加 7.5 倍，人工分析是 1.75 倍；Nature 版里是 1.89 倍和 1.75 倍。正文没有说为什么变，也没提预印本。论文倒是写明，流式细胞的门控选择因人而异，Finch 的分析即使提示和数据完全相同也会随运行而变，所以对同一份数据跑 8 条独立轨迹取共识。

流传的那句“Agent 7.5 倍、人工 1.75 倍”，把两个版本的数字拼在了一起。真正的故事是另一个：同一轮药物实验的数据，Agent 的数字在两个版本之间缩了近 4 倍，人工的一直没动。两个版本的分析配置不完全相同（Finch 的轨迹数从 10 条变成 8 条，Nature 版还加了 KL001 并重做了验证），所以不能说是同一份分析的两个结果。为什么缩，论文没说，我也不猜。

Robin 只是单例，系统性的对账已经有人在做，主要在计算和社科数据上：

• Kosmos（Edison 与 FutureHouse 的自评，3 份报告抽出的 102 条陈述）：独立科学家认为数据分析类陈述能复现的占 85.5%，文献综述类能在一手文献里找到支持的占 82.1%，综合解读类准确的占 57.9%。这个样本里数据层较稳，解释层差。
• Forking Paths（arXiv 2607.01507，2026-07）：给 Agent 分配不同立场后，分析同一数据集的结论常常相反；160 份分析里 86%（137 份）通过独立 AI 审查，抽样的 40 份里 78%（31 份）通过多数人类审查者。
• data-to-paper（arXiv 版，后发表于 NEJM AI 2025）：在“复现已发表研究”的 10 次运行里，分析都对，但 2 次解释出错，其中 1 次影响了结论。
• Anthropic 的酶发现：技术报告自己写到，同一个筛选活动再跑十次，没有一次读到 RT 上游的 DNA，阵列在每次重跑里都被漏掉了；报告把原因归于 RT 的搜索空间太大和 Agent 框架的非确定性，并另用固定输入的基准表明，模型读到那段 DNA 时是认得出阵列的。

一篇综述给了一个概念性的警告：LLM Agent 可以跑对方案、测到真值，却配上一个编造或站不住的机制解释，物理回路里没有环节能抓住这个缺口。注意这是综述作者的论断，不是实测。

还空着的是湿实验这一侧：同一批原始数据（流式、成像、测序读数），交给 Agent 和盲法人工各分析一遍，报告效应量比值的分布。Robin 的代码按 Apache-2.0 公开，RNA-seq 原始数据在 SRA 上，两套数字都在论文里；但数据分析部分需要 Edison 平台权限，流式原始数据未见公开声明。所以这更像一个“可以向作者要数据”的起点，而不是现成的。我曾经把这一格排在“最先出现”，现在要改一句：它已经出现了一个单例，缺的是分布。

和本站另两篇讲的是同一件事的两面：评分器不可写讲的是让评分的东西别被被评的东西改写，放行之前谁来审讲的是谁来在放行点签字。这里的对账，是同一个问题落到了实验台上。

按我的分法，原样还空着的是 A5、B3、B6、C4、C6、C7。它们空着，各有各的原因。

C7 的数字补一句方向：Active Site 的主要终点，AI 组完成三个核心任务的是 5.2%，仅互联网组是 6.6%，P=0.759，所以“5% 对 7%”不能只看数，AI 组其实略低。但五个任务里有四个，AI 组的数值更高（细胞培养 68.8% 对 55.3%，P=0.059），作者称这是适度的、不显著的收益。另一项试验是 LANL 的 10 人试点，AI 组首次完成率 60% 对 20%，不显著，卡住时有专家指导。

“人工关卡”这一行值得单独说一句：读“自主”二字时，先问哪几步仍是人。微创机器人的声明把“自主”限定在“医生全程监督、随时可接管”之内，Exin 的每个不可逆步骤都有兽医，这些不是对自主的否定，是它现在的实际形状。

这几条是对机制的判断，不绑定日期。每条给依据、怎么检验、什么情况下认错。

1. 对账。 找一批能拿到原始数据的 Agent 湿实验（向 Robin 这类系统的作者索取，或用公开的原始数据），让 Agent 和盲法人工各分析一遍，比较效应量，报告比值的分布而不是单个数。不需要湿实验。
2. 在假体上做实物层的故障注入。 琼脂糖脑模型、3D 打印的三轴平台、一个摄像头就能起步。沿用 LabRobotBench 的思路，设统一的故障集（坐标偏移、断连、遮挡、误按停止），比较各模型的定位误差、拒绝行为和“安全退针”成功率，再加一项“假收场率”：报告完成，实际没完成。
3. 在 Exin 的技术报告出来之前，先写下它该回答的问题。 三台手术的疗效怎么读，“恢复良好”怎么定义，发作读数是否盲法，伦理批准来自哪个机构，三个模型选了不同的治疗，哪一种有效以及为什么。每个模型只有一只，样本量会不会扩大、怎么扩大。

不建议在没有机构动物伦理批准和持证兽医的情况下做任何活体哺乳动物实验。

• Exin 的一手材料是 10 月 28 日和 10 月 30 日两串帖子、10 月 7 日的预印本；WIRED 的采访稿与一手串有出入（改代码的人、“怕中途停下”的归属），本文采一手串。长文和技术报告没有读到。
• 本文的判定是按公开材料逐项找反例的结果。“没找到”不等于“没人在做”，英文和中文之外的、标题里不含常见关键词的、未发表的工作都可能漏掉。
• 有几处只见到检索摘要，没读到全文：Cell Reports 2026 的跨物种寿命平台，STAR 2022 的头数与介入次数，Dyno 与 Roche 的授权细节，Periodic Labs 与 DeepMind 的材料实验室（本文没有采用它们的任何数据），果蝇实时闭环那篇的细节。
• 没核到：Utah 官方协议与 5 个月数据的原件，FDA plausible mechanism 草案的原件，英国 AISI 与帝国理工 RCT 在 2026-03 之后的进展，ADVOCATE 的试验样本量。
• 没核到的还有：RAND 报告“没有人类对照”（只读到摘要）、Virtual Lab 的 Nature 版全文（用预印本核的）、Robin 补充材料里是否含流式原始文件、ARPA-H 的官方原件（只读到转述）。
• 时间、门槛与“还空着”的原因多数是我的推断，已在文中标明。
• 成稿后经两轮不看结论的独立核对，逐条回到原页对过，共发现并更正了 7 处较严重、27 处中等、33 处轻微的问题，其中包括对一手帖子后续串的遗漏和几处归属与口径错误。