DeepMind开始给AI设计的蛋白质加“水印”，可追溯来源，还不影响蛋白功能

近年来，以 AlphaFold 3、ProteinMPNN 为代表的 AI 工具正在改变蛋白质研究。科学家不仅可以利用 AI 预测蛋白质结构，也开始让 AI 直接设计自然界中从未出现过的新蛋白质，用于药物研发、抗体设计和新型生物材料等方向。

但随着 AI 设计的蛋白质越来越多，一个新的问题也随之出现：拿到一条蛋白质序列，我们能不能判断它究竟来自自然界，还是由 AI 设计出来的？

近日，Google DeepMind 团队在 Nature 发表研究，推出了 SynthID Bio，一套专门用于生物设计的水印技术。它可以在 AI 生成的蛋白质氨基酸序列，以及 AI 预测的蛋白质三维结构中嵌入隐藏水印。研究团队进一步在实验室中合成并测试了带水印的蛋白质，结果显示，水印基本没有影响其原本的生物学功能。

这项研究由 Google DeepMind 研究人员 David Stutz、Alexander Cowen-Rivers 等人共同完成，DeepMind CEO Demis Hassabis、负责科学与安全研究的 Pushmeet Kohli 也参与其中。

给蛋白质加“水印”，还不影响正常功能

SynthID 最早并不是为蛋白质开发的。

2023 年，Google DeepMind 首次推出 SynthID，用于给 AI 生成内容添加人眼难以察觉、但机器能够识别的隐藏信号。此后，这套技术逐步扩展到图片、视频、音频和文本。Google 今年披露，SynthID 已经为超过 1,000 亿张图片和视频，以及累计超过 6 万年的音频内容添加水印，OpenAI、NVIDIA、Kakao 和 ElevenLabs 等公司也开始采用相关技术。

SynthID Bio 延续了类似思路，只不过这一次面对的不是像素、声音或者文字，而是蛋白质。

蛋白质由一串氨基酸按照特定顺序排列而成，随后折叠形成复杂的三维结构。氨基酸序列以及最终形成的结构共同决定蛋白质能够完成什么功能。因此，给蛋白质加水印并不像给图片修改几个像素那么简单：一旦改动不合适，就可能影响蛋白质的稳定性、结构甚至功能。

DeepMind 为此设计了两种不同的水印方法。

第一种叫 SynthIDBio-sequence，用于给蛋白质的氨基酸序列加水印。

研究团队将它整合进 ProteinMPNN。ProteinMPNN 是目前常用的一种蛋白质序列设计模型，模型会根据给定的蛋白质骨架，为不同位置选择合适的氨基酸，最终生成一条完整的蛋白质序列。

SynthID Bio 并不是在蛋白质设计完成后，再强行增加一段特殊序列，而是在 ProteinMPNN 原本选择氨基酸的过程中加入一套隐藏规则。当一个位置存在多个合适的氨基酸时，系统会根据秘密密钥，轻微改变不同候选氨基酸被选中的倾向。

单独看某一个位置，这种差异很难察觉，但类似的选择不断出现在整条蛋白质序列中后，就会形成一个可以被检测的统计模式。掌握相应检测密钥的一方，可以据此判断这条序列是否由带有 SynthID Bio 的模型生成。

为了验证加入水印后蛋白质还能不能正常工作，DeepMind 选择了一类叫作蛋白质结合物的分子进行实验。这类小型蛋白可以被设计成专门识别和结合某个目标蛋白，在药物研发和生命科学研究中都有重要用途。

研究团队使用 AlphaProteo 已经设计出的蛋白质骨架，再分别通过普通版 ProteinMPNN 和加入 SynthID Bio 的 ProteinMPNN 重新生成蛋白质序列，并将这些蛋白质真正合成出来进行实验。测试涉及三个靶点，分别是与血管生成有关的 VEGF-A、新冠病毒刺突蛋白的受体结合域，以及肿瘤免疫领域的重要靶点 PD-L1。

结果显示，加水印之后，这些蛋白质仍然能够正常发挥作用。与没有水印的版本相比，带水印蛋白在成功结合目标蛋白的比例、结合亲和力以及序列多样性等指标上整体相当。研究团队最终获得了针对新冠病毒受体结合域的低纳摩尔级结合蛋白，以及针对 VEGF-A 和 PD-L1 的亚纳摩尔级结合蛋白。

（来源：DeepMind）

水印本身也具有较高的可检测性。论文显示，在特定检测条件下，研究团队可以在较低假阳性率下识别带水印的设计。不过，提高水印可检测性也需要更严格地筛选候选蛋白，因此可能减少最终可以通过筛选的设计数量。

第二种方法叫 SynthIDBio-structure，针对 AI 预测出的蛋白质三维结构。

这一次，研究人员并不是在 AlphaFold 3 完成结构预测后，再修改几个原子的位置，而是直接对 AlphaFold 3 的部分网络进行微调，让模型在生成三维结构时，就自动留下隐藏的水印信号。这些信号被嵌入原子之间的距离、角度等非常细微的几何关系中。对正常使用蛋白质结构的研究人员而言，这些差异几乎不可察觉，但专门训练的检测器可以识别出来。

在 AlphaFold 3 的评测数据上，SynthIDBio-structure 对模型整体结构预测精度的影响很小，同时实现了接近完美的水印检测。简单的平移、旋转以及小幅度的坐标噪声，也不会轻易破坏水印。

不过，水印并不是无法删除。论文同时测试了针对水印的主动修改，例如对蛋白质结构进行进一步的计算优化，就可能破坏现有结构水印；对蛋白质序列重新进行设计，也可能削弱甚至移除原有水印。

AI 开始创造新蛋白质，传统生物安全筛查面临新的问题

给蛋白质加水印，一个重要的应用场景来自 DNA 合成行业。

虽然 SynthIDBio-sequence 的水印写在蛋白质的氨基酸序列中，但 AI 设计出来的蛋白质如果要真正被制造出来，通常需要先获得编码这种蛋白质的 DNA，再通过细胞等生物系统将 DNA 中的信息表达成蛋白质。

因此，DNA 合成公司实际上处在 AI 蛋白质设计从数字世界进入现实实验的一道重要关口。

目前，DNA 合成企业会对客户提交的序列进行安全筛查，其中一种重要方式，是将新订单与已知病原体、毒素等具有潜在风险的生物序列进行比较。如果发现高度相似的内容，通常需要进一步核查客户身份和具体用途。

但生成式 AI 正在给这种筛查方式带来新的问题。过去，如果一条陌生序列既没有出现在数据库中，也与已知危险序列差异很大，它可能只是一种尚未被发现或收录的天然生物序列。但现在，AI 可以主动设计自然界中从未存在过的新蛋白质，而且两条蛋白质即使氨基酸序列差异很大，也可能形成相似结构、实现相近功能。

这意味着，一个经过 AI 重新设计的蛋白质，可能与已知危险蛋白在序列上几乎看不出明显联系，却仍然具有类似功能。面对这样的陌生序列，仅仅依赖传统数据库比对，就越来越难判断它究竟来自天然生物、正常科研设计，还是人工设计出的潜在风险序列。

SynthID Bio 想提供的，是一条额外的来源信息。

如果一个蛋白质由带有水印机制、同时设置了安全措施的 AI 模型生成，那么，当编码这一蛋白质的 DNA 进入合成环节时，合成企业可以根据其中所编码的蛋白质序列检查相应水印，从而确认这一设计是否来自已知模型。

它并不能直接证明一个蛋白质“安全”或者“危险”，而是告诉筛查人员：这个设计来自哪里。DeepMind 认为，这类来源信息可以与现有的序列筛查、客户身份核验以及模型本身的安全限制结合起来，成为生物安全体系中的一层补充。

DeepMind 将这种思路比作“瑞士奶酪模型”。每一种安全措施都存在自己的漏洞，但多层机制叠加后，可以相互覆盖盲区。模型开发者限制高风险使用、DNA 合成企业核查客户身份、序列数据库识别已知风险，再加上 SynthID Bio 提供的来源证明，共同构成不同层次的防线。

审阅这项研究的生物安全政策专家 Sarah Carter 表示，SynthID Bio 的一个重要作用，是把具体生物设计与相应模型开发者联系起来，从而帮助模型开发者参与安全管理，也让 DNA 合成公司能够根据设计来源优化筛查流程。

DNA 合成企业 Twist Bioscience 政策与生物安全副总裁 James Diggans 也为论文提供了早期反馈。他认为，水印可以成为现有生物安全工具箱的一种补充，帮助合成企业把更多资源集中到真正需要进一步审查的序列上。

不过，这种来源证明也存在明显边界。检测到水印，并不意味着一种蛋白质一定安全；没有水印，也不意味着它一定存在风险。研究人员可以使用没有水印功能的其他模型，也可以尝试重新设计蛋白质，从而破坏原有水印。论文也明确指出，提高水印抵抗蓄意篡改的能力，仍然是下一步需要解决的问题。

除了 DNA 合成筛查，DeepMind 还希望利用这套技术维护生命科学数据库的信息完整性。

Protein Data Bank、UniProt 和 GenBank 等公共数据库保存着大量蛋白质结构、序列和基因组数据，也是许多生命科学研究和 AI 模型的重要数据来源。随着 AI 可以越来越容易地生成蛋白质结构和序列，如果 AI 生成的数据被错误标记成天然或者实验获得的数据，可能影响后续科研以及生物安全判断。

蛋白质也可能只是第一步。DeepMind 还披露，团队正在与斯坦福大学 Brian Hie 实验室以及 Arc Institute 合作，把 SynthID Bio 延伸到基因组生成模型 Evo 2，并尝试给 Evo 2 设计的噬菌体基因组加入水印。早期实验显示，这些带水印的噬菌体仍然能够发挥功能，不过完整研究尚未正式发表。

1.https://deepmind.google/blog/introducing-synthid-bio/

2.Stutz, D., Cowen-Rivers, A.I., Ortiz-Jimenez, G. et al. Function-preserving watermarking of AI-generated proteins. Nature (2026). https://doi.org/10.1038/s41586-026-10965-y

3.https://www.nature.com/articles/d41586-026-03033-y

排版：胡莉花