Google DeepMind versieht KI-entworfene Proteine mit SynthIDBio-Wasserzeichen

Die Arbeit, über die Ars Technica am 30. September berichtete, schließt eine Lücke, die vor fast einem Jahr benannt wurde. Die Software, mit der DNA-Sequenzen auf möglicherweise gefährliche Proteine geprüft werden, erkennt KI-entworfene Proteine nicht. Niemand hat sie gut genug charakterisiert, um zu sagen, welche davon eine Gefahr darstellen.

DeepMind will die Entwürfe selbst markieren. SynthIDBio nutzt einen Schlüssel, ähnlich einem kryptografischen Schlüssel, und die Identität der zuvor gewählten Aminosäuren, um die nächste vorzuschlagen. ProteinMPNN prüft dann, ob dieser Vorschlag noch ein funktionsfähiges Protein ergibt. Wenn ja, bleibt er erhalten; wenn nicht, wird er verworfen. Laut Ars Technica baut das System Wasserzeichen-Aminosäuren nur dann ein, wenn sie mit einem funktionierenden Protein vereinbar sind. Weil die Beeinflussung über die gesamte Sequenz verteilt ist, lässt sich die Markierung nicht entfernen, ohne zu wissen, wie sie kodiert wurde.

Die Chemie verzeiht nichts. Proteine bestehen aus nur 20 Aminosäuren. Manche sind sich chemisch ähnlich, andere tragen entgegengesetzte Ladungen. Viele Proteine haben Bereiche, in denen begrenzte Substitutionen toleriert werden, und Bereiche, in denen schon eine geringe Abweichung die Aktivität zunichtemacht.

Sie sind außerdem klein. Ein Protein aus 500 Aminosäuren gilt als recht groß, verglichen mit Millionen Pixeln in einem typischen Bild. Es gibt also weit weniger Rohmaterial, in dem sich ein Signal verstecken lässt. Ars Technica merkt an, es sei keineswegs selbstverständlich gewesen, dass der SynthID-Ansatz überhaupt übertragbar ist. Das Team hätte zu wenig Platz für ein Wasserzeichen finden können. Oder es hätte feststellen können, dass das Hineinpressen genügend vieler Informationen inaktive Proteine erzeugt.

Warum der Zeitpunkt zählt

Biologische Werkzeuge wirken in beide Richtungen. Dieselben Proteinentwurfsmethoden, die Enzyme hervorgebracht haben, die Kunststoffe abbauen oder Giftproteine blockieren können, ließen sich grundsätzlich auf Toxine oder virale Proteine richten. Die Lücke bei der Prüfung ist das praktische Problem. Ein Wasserzeichen auf vertrauenswürdigen Entwürfen gibt den Prüfstellen etwas, wonach sie suchen können, und drängt alles Unmarkierte in stärkere Kontrolle.

SynthID selbst ist älter als diese Arbeit. Es versieht KI-erzeugtes digitales Material mit subtilen Markierungen, indem es die Wahrscheinlichkeit bestimmter Entscheidungen des Modells beeinflusst. So verteilt sich die Beeinflussung systematisch über die Ausgabe. Google hat es zuvor auf Text und Bilder angewandt, wo es einfaches Exportieren und Verkleinern übersteht. Dieselbe Idee auf ein Molekül anzuwenden, ist eine andere Größenordnung von Schwierigkeit.

Das Proteinwerkzeug im Zentrum des Experiments, ProteinMPNN, wurde vom Baker Lab entwickelt. David Baker teilte den Nobelpreis mit dem Leiter von DeepMind. Dieses Detail nimmt Ars Technica in seine Darstellung der Forschungslinie auf.

ProteinMPNN arbeitet in zwei Stufen. Ein separates Werkzeug beschreibt zunächst eine Rückgratkonfiguration, die für den Entwurf geeignet ist. ProteinMPNN geht dann dieses Rückgrat entlang und setzt Seitenketten Aminosäure für Aminosäure. Jede wählt es danach aus, ob sie in die Form passt, mit den Nachbarn wechselwirkt und weitere Vorgaben erfüllt, etwa katalytische Taschen bildet oder ein anderes Protein bindet. SynthIDBio greift während dieses Durchlaufs ein.

Der Bericht von Ars Technica ist die bislang detaillierteste Darstellung des Mechanismus. Ein kürzerer Beitrag vom 30. September mit der Überschrift "SynthID Bio Watermarks Secure AI Proteins" erschien in den aktuellen Schlagzeilen, die zusammen mit dem Ars-Artikel kursierten. Der vollständige Text lag in dem hier geprüften Material nicht vor. Analytics Insight wiederum veröffentlichte am 29. September ein Porträt des DeepMind-Chefs Demis Hassabis, das die wissenschaftliche Entdeckungsarbeit des Unternehmens breiter einordnet. Dieser Beitrag ist Kontext, kein Beleg für die Wasserzeichenmethode.

Was die umliegende Berichterstattung zeigt

Das Dossier enthält außerdem Material, das nichts mit Proteinen zu tun hat und das man getrennt betrachten sollte. Fox News berichtete am 30. September, dass Tadhg O'Keeffe, Professor für mittelalterliche Archäologie am University College Dublin, herausgefunden hat, dass 70 bis 80 Prozent des mittelalterlichen Roebuck Castle unter viktorianischem Putz in einem Gebäude auf dem Campus erhalten sind. UCD gab die Entdeckung am 18. September bekannt. O'Keeffe sagte Fox News Digital, er habe mit der Untersuchung begonnen, nachdem er Aquarelle des Künstlers Gabriel Beranger aus dem 18. Jahrhundert studiert hatte. Es ist eine bemerkenswerte Geschichte, und es ist keine Biosecurity-Geschichte.

Zwei weitere Quellen im Dossier sind technisch und haben nichts mit Proteinentwurf zu tun. Eine Katalogseite bei vibecodingdiscover.com vom 30. September listet Open-Source-KI-Werkzeuge für Agenten, MCP-Server, Skills und RAG-Pipelines auf, darunter eine lokale ElevenLabs-Alternative für 646 Sprachen und eine Sandbox-Laufzeitumgebung für autonome Agenten. Materialize veröffentlichte am 29. September einen Blogbeitrag über seinen dritten Versuch, Daten auf die Festplatte auszulagern. Darin ersetzt das Unternehmen Linux-Swap durch einen selbst verwalteten Buffer Pool. Das Argument: Die DRAM-Latenz liegt bei rund 100 Nanosekunden, während lokale NVMe-Lesevorgänge im Bereich von mehreren zehn Mikrosekunden liegen, ein paar Hundert Mal langsamer, obwohl die Bandbreitenlücke eher bei 10 liegt.

Diese beiden sind hier aufgeführt, weil sie zu den frischesten Einträgen im Dossier gehören, nicht weil sie für die Proteinarbeit relevant wären. Die entscheidende Frage für die DeepMind-Arbeit ist enger: ob ein Wasserzeichen die Zwänge der Proteinchemie so weit übersteht, dass es für die Menschen nützlich ist, die die Prüfung durchführen.

Der Bericht von Ars Technica sagt nicht, dass das System von einer Prüfstelle übernommen oder außerhalb der Forschung eingesetzt wurde. Die Arbeit beschreibt eine mögliche Lösung, veröffentlicht an einem Mittwoch, für ein Risiko, das fast ein Jahr zuvor benannt wurde und ungelöst blieb. Was als Nächstes geschieht, hängt davon ab, ob die Labore und Datenbanken, die Sequenzen auf Gefahren prüfen, das Markierungsschema aufgreifen. Es hängt auch davon ab, ob unmarkierte KI-entworfene Proteine standardmäßig zu einem Signal werden, dem nachzugehen sich lohnt.

Vorerst ist die Aussage technisch, nicht operativ: Ein Wasserzeichen lässt sich in ein entworfenes Protein einbetten, ohne dessen Funktion zu beeinträchtigen. Alles andere ist noch offen.