AI时代，协议必须自带证据

一个 DNA 司法证据的漏洞说明：AI 时代的关键系统不能只交付一个结果，还必须证明这个结果从哪里来、是否被修改、经历了什么过程。

一份 DNA 证据进入法庭之前，通常要经过极其严格的物理保管。样本被装进证物袋，贴上编号，封条上签字，每一次转移、每一个接触过它的人，都要留下可追溯的记录。这套被称为"证据链"（chain of custody）的制度，是现代司法体系花了上百年时间建立起来的信任基础设施。

但当这份样本被实验室仪器读取、变成一个数字文件之后，它所受到的保护，可能还不如那只装着它的纸袋。

据《华尔街日报》近期报道，美国犯罪实验室广泛使用的一类 DNA 数字分析文件，长期缺少可靠的防篡改标记。研究人员借助 Claude 辅助编写代码，在大约 45 分钟后成功修改了公开的测试文件，而修改后的文件仍能被常用分析软件正常读取、正常解析、正常出报告。报道同时强调了两点边界：目前没有证据显示这一漏洞曾被真实恶意利用；攻击者也必须先取得实验室服务器的访问权限。厂商随后发布了更新，引入数字签名机制。

这条新闻很容易被写成一个惊悚故事——"AI 可以伪造 DNA 证据"。但那是最不重要的一层。

真正值得所有做系统、做协议、做基础设施的人警觉的，是它暴露出的一个结构性问题：

司法系统用一百年时间严密保护了物理样本，却在它进入数字世界的那一刻，丢掉了封条。

而这个问题，远远不只属于 DNA。

一、旧系统相信文件，未来系统必须验证事实

过去三十年，几乎所有关键行业的软件系统，都建立在一种从未被明确写下来的默认信任上：

所以，这个结果应该可信

这条推理链条在物理世界里是成立的——因为在物理世界里，伪造一个证物袋、仿制一个封条、绕过五个签字环节，成本极高。

但在数字世界里，这条链条只能证明一件事：

这个文件符合格式规范。

它不能证明：

这个文件，就是仪器最初生成的那一个。

这是本文最关键的一处区分，值得单独拎出来：

能被系统读取，不等于能被系统证明。

一个被篡改过的文件，完全可以做到：格式百分之百正确、时间戳看起来毫无异常、专业软件顺利打开、数值落在合理区间、最终报告不触发任何告警。它通过了所有检查，因为所有检查问的都是"你合不合理"，而没有一个检查在问"你是不是你"。

所以，真正的问题从来不是"数据是否合理"，而是：

数据有没有保持住自己的身份。

这个区分之所以过去不重要，是因为没人有能力、也没人有动机去做那件麻烦事。而这个前提，正在被 AI 迅速拆掉。

二、AI 没有拆掉那扇门，门本来就没有锁

必须把这一节说清楚，否则整篇文章会滑向猎奇。

在这次研究里，AI 扮演的角色其实相当朴素。研究人员本来就知道 DNA 数据是什么、知道文件里的哪些字段有意义、也清楚自己想验证什么假设。Claude 承担的是格式理解、代码生成和调试排错——它是一把更快的螺丝刀，不是那个决定要拧哪颗螺丝的人。

AI 改变的，不是漏洞是否存在，而是利用漏洞所需要付出的成本。

放在三年前，一个人想做同样的事，大致需要：读懂一种没有公开文档的二进制文件结构；自己写解析工具；反复试错定位字段；搞清楚校验方式和加密逻辑；最后还要验证修改后的文件能被下游软件接受。这是几周到几个月的工作量，而且要求一个同时懂逆向工程和生物信息学的人。

今天，大模型可以协助阅读格式、生成解析代码、快速迭代试错。45 分钟。

所以结论应该这样写：

AI 没有拆掉那扇门。那扇门从一开始就没有锁。AI 只是让更多人看懂了门是怎么开的。

这句话的商业含义比技术含义更重。

过去几十年，大量系统的"安全"，实际上并不来自严格的密码学设计，而来自一个隐性的经济假设：攻击成本足够高，高到不值得。没人懂这个私有格式、没人愿意花三个月逆向、这事太麻烦了——这些都不是安全机制，它们是摩擦力。

而 AI 的本质，就是大规模消除认知摩擦力和工程摩擦力。

AI 时代首先失效的，不一定是密码学，而是那些从未被写进协议里的默认信任。

对企业而言，这意味着一次隐性负债的集中暴露。你的系统里有多少地方，安全性依赖的不是设计，而是"应该没人会去动它"？在 AI 把逆向成本压到接近于零之后，这些地方会同时到期。

三、数字签名是地基，但地基不是房子

厂商的应对是引入数字签名。这个方向完全正确，而且几乎可以确定，未来十年会有大量关键协议把数字签名变成标配。

但如果文章停在这里，就不够严谨了。

先说签名能解决什么。最基础的证据结构其实非常简单：

+ 数字签名

它能证明三件事：数据由哪个密钥持有者签发；签名之后有没有被改动；当前这份文件是否与签名时那一份完全一致。

这已经比"文件能打开"强了一个数量级。

但签名有一个致命的边界条件：它只能证明"签名那一刻的状态"，不能证明"那一刻的状态是真实的"。

设想一个最简单的绕过路径：服务器管理员先修改原始文件，再让服务器对修改后的文件签名。签名完全有效，验证完全通过，链条毫无破绽——因为篡改发生在签名之前。

所以真正的工程要求不是"要不要签名"，而是签名必须尽可能贴近事实产生的那一瞬间：

生成不可分离的原始证据包

签名点每往后挪一步，中间就多出一段"无人见证的空白"。而所有的信任，最终都会在那段空白里流失。

签名的价值不只在于证明"谁同意了"，更在于证明"事实从哪里开始"。

这也解释了为什么"事后补签"在合规上有意义、在证据上意义有限。审计要的是流程留痕，而证据要的是源头绑定，这是两件事。

四、区块链真正留下来的，不一定是链

这里必须小心，因为很容易滑进另一个极端——"所有东西都上链"。

事实是：在一个实验室内部，你大概率不需要运行公链，不需要代币，也不需要共识网络。为了防篡改而引入一个分布式账本，往往是用一个复杂度更高的问题，去掩盖一个本可以直接解决的问题。

但区块链这十几年确实沉淀下了一整套极有价值的工程思想，而且这些思想可以脱离"链"独立存在：

• 用哈希为数据建立唯一指纹；

• 用数字签名绑定身份与内容；

• 用前后状态互相绑定，形成不可静默插入的序列；

• 用单调递增的序号防止重放与回滚；

• 用 Merkle Tree 实现高效的局部验证；

• 让多方能够独立验证，而不必信任同一个管理员；

• 让任何历史修改都必然留下可被发现的痕迹。

在绝大多数企业和机构场景里，下面这套组合就足够了：

+ 独立审计节点

只有当参与方来自警方、实验室、法院、辩方律师和第三方鉴定机构，彼此之间存在结构性的不信任、且谁都不该独占"真相解释权"时，才有必要进一步引入联盟链或多方共同见证。

换句话说：

区块链真正留下来的，可能不是"所有东西都上链"，而是任何关键事实都不能只靠数据库里的一行记录来证明自己。

这句话是过去十年加密行业最有价值的遗产，而它和币价没有任何关系。

五、未来的协议，必须是"证据原生"的

现在把视野从 DNA 拉回到所有关键系统。

今天绝大多数系统之间传递的，是一个结果：

}

这个结构在人类主导、流程较慢、责任可追溯到具体的人的时代是够用的。但当执行者变成 AI Agent、决策周期压缩到毫秒、调用链跨越十几个服务和三家公司时，它就彻底不够了。

未来的协议必须携带的，是一个可以被独立复验的证明包：

每一步与前一步之间如何密码学绑定

这不是"加一层日志"。日志是自述，证据是他证。日志可以被写日志的人修改，而证据的核心特征是：修改它需要的代价，高于伪造它带来的收益。

这套要求会重塑一大批行业的底层协议：

领域

需要被证明的事实

医疗检测

这份报告对应的是这个患者的这份样本

自动驾驶

事故前 5 秒的传感器数据未被事后重写

AI Agent

这次工具调用得到了哪一版策略的授权

金融交易

这笔指令的原始意图与最终执行一致

工业机器人

这个动作参数来自哪次经过批准的下发

软件供应链

这个二进制文件由那份源码编译而来

司法审计

这份材料从生成到呈堂未被静默替换

它们表面上毫不相干，底层却是同一个命题：如何让一个事实在离开现实世界之后，仍然能够自证。

顺带说一句，Havenlon 在做的事情本质上也属于这个命题：不能只记录"某次执行发生了"，而要把 Intent、Policy、Approval、Evidence、Device Decision 和 Final Execution 连成一条不可被静默重新绑定的证据链。让每一次执行都能回答"你凭什么执行"，而不只是回答"你执行了"。

结语：信任的旧价格与新价格

过去，我们默认：一份文件只要能够打开，一个数据库只要能够查询，一次审批只要显示"通过"，事实就已经成立。

这种朴素信任并不愚蠢——它在很长时间里是理性的，因为破坏它的成本太高。信任本质上是一种经济计算，而不是一种道德判断。

但 AI 正在重新定价。当理解私有格式、修改二进制文件、生成攻击代码的成本持续下降，"没人会去做这件事"就不再是一个可以依赖的前提。旧的价格体系失效了，而建立在旧价格上的所有安全假设，都需要重新结算。

未来的系统不能再要求人们相信"管理员没有动过它""服务器应该是安全的""专业软件不会出错"。

它必须自己提供证明。

证明自己由谁产生，证明自己没有被替换，证明自己的每一次变化都被记录，证明最终的结果仍然绑定着最初的那份现实。

未来真正重要的协议，不只是让机器能够交换数据，而是让事实在离开现实之后，仍然能够证明自己。

为避免误读，有必要明确以下几点：

1. 研究中 AI 承担的是辅助编码与格式解析工作，修改对象是公开测试文件，而非任何真实案件的证据；

2. 该漏洞影响的是物理 DNA 检测所产生的数字文件，不涉及"AI 伪造生物样本"；

3. 篡改后的文件对现有分析软件而言可能难以察觉，但这不等于"任何方式都无法发现"；

4. 目前没有证据显示该漏洞曾被真实恶意利用，且利用它需要先获得实验室服务器访问权限；

5. 数字签名是必要的地基，但一个完整的证据系统还需要源头签名、哈希链、设备身份、可信时间与防重放机制。

参考来源：《华尔街日报》，Security Flaw Placed 30 Years of DNA Evidence at Risk of Hackinghttps://www.wsj.com/tech/cybersecurity/security-flaw-placed-30-years-of-dna-evidence-at-risk-of-hacking-1932775a