Google DeepMind 用 SynthIDBio 给 AI 设计的蛋白质加水印

Ars Technica 在 9 月 30 日报道了这项工作。它补的是一个将近一年前就被指出的缺口。筛查 DNA 序列、寻找潜在危险蛋白质的软件认不出 AI 设计的蛋白质，因为没人把这些蛋白质描述得足够清楚，说不出哪些是威胁。

DeepMind 的办法是给设计本身做标记。SynthIDBio 用一把密钥，类似密码学里的密钥，再加上此前已经选定的氨基酸身份，给出下一个氨基酸的建议。ProteinMPNN 随后检查这个建议是否仍能生成有功能的蛋白质。可以就保留，不可以就弃掉。据 Ars Technica 报道，只有当水印氨基酸与一个能正常工作的蛋白质相容时，系统才会采用它。这种偏向分散在整个序列上，不知道编码方式就去不掉标记。

化学层面并不宽容。蛋白质只由 20 种氨基酸构成。有些在化学性质上彼此相似，有些则带相反的电荷。许多蛋白质既有只容许有限替换的区域，也有哪怕轻微偏离就会让活性消失的区域。

它们还很小。一条 500 个氨基酸的蛋白质已经算相当大，而一张普通图像有数百万像素，能用来藏信号的原料少得多。Ars Technica 指出，SynthID 这套思路能否迁移过来，起初并不明显。团队可能发现根本没有足够空间放水印，也可能发现塞进足够信息后得到的蛋白质失去了活性。

时机为何重要

生物工具是双刃剑。同一批蛋白质设计方法既能造出分解塑料的酶，也能造出阻断毒液蛋白的分子，原则上也可以被转向毒素或病毒蛋白。筛查缺口才是实际问题。给可信设计加上水印，筛查方就有了可查的目标，所有没有标记的东西都会被推向更严格的审视。

SynthID 本身早于这项工作。它通过影响模型某些选择的概率，为 AI 生成的数字内容加上不易察觉的标记，偏向于是被系统地分布到输出之中。Google 此前已把它用于文本和图像，标记能挺过基本的导出和缩放。把同样的思路用到分子上，难度完全不是一个量级。

实验的核心蛋白质设计工具 ProteinMPNN 由 Baker Lab 开发。David Baker 与 DeepMind 负责人共同获得诺贝尔奖，Ars Technica 在讲述这项研究的源流时提到了这个细节。

ProteinMPNN 分两步工作。先由另一个工具描述出适合该设计的骨架构型。ProteinMPNN 再沿着这条骨架往下走，一次放一个氨基酸的侧链，依据是它能否贴合形状、能否与邻近部分相互作用，以及能否满足其他约束，比如形成催化口袋或结合另一个蛋白质。SynthIDBio 就在这一过程中介入。

Ars Technica 的报道是目前已发表的对该机制最详细的说明。9 月 30 日还有一篇更短的条目，标题为 "SynthID Bio Watermarks Secure AI Proteins"，出现在与 Ars 文章一同流传的近期头条中，不过本文所见的材料里没有它的全文。Analytics Insight 则在 9 月 29 日发表了一篇 DeepMind 首席执行官 Demis Hassabis 的人物报道，把公司的科学发现工作放在更宽的背景下讲述。那篇是背景，不是关于水印方法的证据。

周边报道说明了什么

这批材料里还有些内容与蛋白质无关，值得单独拎出来。Fox News 在 9 月 30 日报道，都柏林大学学院中世纪考古学教授 Tadhg O'Keeffe 发现，中世纪 Roebuck Castle 的 70% 到 80% 仍存留在校园一栋建筑内的维多利亚时期灰泥之下。都柏林大学学院于 9 月 18 日公布了这一发现。O'Keeffe 对 Fox News Digital 说，他是在研究画家 Gabriel Beranger 的 18 世纪水彩画之后开始调查的。这是个引人注目的故事，但不是生物安全故事。

材料里还有两个来源属于技术类，与蛋白质设计无关。vibecodingdiscover.com 上一个目录页日期为 9 月 30 日，列出面向智能体、MCP 服务器、技能和 RAG 流水线的开源 AI 工具，其中包括一个覆盖 646 种语言的本地 ElevenLabs 替代方案，以及一个面向自主智能体的沙箱运行时。Materialize 在 9 月 29 日发表博客，讲述其第三次尝试把数据溢出到磁盘，用自己管理的缓冲池取代 Linux swap，理由是 DRAM 延迟约为 100 纳秒，而本地 NVMe 读取要几十微秒，慢几百倍，尽管带宽上的差距更接近 10 倍。

把这两条放进来，是因为它们是材料里最新的内容之一，而不是因为它们与蛋白质工作有关。对 DeepMind 这篇论文来说，真正的问题更窄：水印能否在蛋白质化学的约束下存活到足以对做筛查的人有用的程度。

Ars Technica 的报道没有说这套系统已被任何筛查机构采用，也没有说它在研究之外部署过。论文描述的是一种可能的解决方案，在周三发表，针对的是将近一年前提出、至今未解的风险。接下来会怎样，取决于那些检查序列中威胁的实验室和数据库是否采纳这套标记方案，也取决于没有标记的 AI 设计蛋白质是否会默认成为一种值得追查的信号。

目前这还是一个技术层面的主张，而非可运行的主张：水印可以嵌入设计好的蛋白质，同时不损害它的功能。其余的一切都还没有定论。