Google DeepMind 发布 SynthID Bio，称造出首个带水印且具备生物功能的蛋白结合体

9 月 30 日，Google DeepMind 发布 SynthID Bio：一套面向合成生物学的水印方法。按其的说法，这套方法把难以察觉的签名直接嵌进生物代码（即蛋白的氨基酸序列与预测结构），使水印既能在数字模型上验证，也能在合成出来的实物蛋白上验证，同时保持蛋白的生物功能。在覆盖 VEGF-A、SARS-CoV-2 刺突蛋白受体结合域（RBD）与 PD-L1 三个靶点的湿实验中，DeepMind 称水印设计在命中率、结合亲和力与序列多样性上与未加水印的版本相当，并由此造出“首个带水印且具备生物功能的蛋白结合体”。

同一天，DeepMind 博客所称的方法论文《Function-preserving watermarking of AI-generated proteins》在刊出，给出了两类方法的详细实验数据。

一层水印改氨基酸采样，一层写进模型权重

SynthID 是 DeepMind 已有的水印工具，博客称这次发布把它带到了合成生物学。序列一侧（SynthIDBio-sequence）的做法，是把 SynthID-text 的“锦标赛采样”（tournament sampling）接进常用的蛋白序列生成模型 ProteinMPNN：采样每个氨基酸时，系统用前文算出的随机种子和一把秘密密钥给候选打分并偏向得分更高的候选，在序列里留下可检测的统计痕迹。检测时用同一把密钥重算 g 值，带水印序列的平均 g 值会系统性地高于 0.5 的随机预期。论文把判定阈值在 23 个靶点的非水印设计与天然蛋白序列上校准到 0.1% 的假阳性率，此时真阳性率可达 100%；设计管线里再加一道水印信号过滤，保证最终合成的设计都能被检出。

结构一侧（SynthIDBio-structure）则把水印做进模型权重：微调 AlphaFold 3 扩散模块的一小部分（论文示意图标注为最后一层），让一个水印检测器与扩散损失联合训练。无论谁运行这个微调后的模型，预测出的坐标都会自带签名。检测器本身保密，不随模型交给用户；它只读取原子间距离、扭转角这类几何特征，所以对结构的整体旋转与平移天然不敏感。训练时还会向坐标注入噪声：论文称，至少 0.001 Å 的扰动，是水印在坐标被四舍五入到三位小数、存成 CIF 等常见格式后仍然存留的前提。

论文报告，微调后的模型在保持预测精度的同时，水印的可检测性接近完美：在 0.1% 假阳性率口径下，向坐标加入 0.01 Å 噪声后，检测真阳性率仍约为 99.8%～99.9%，关键结构特征分布也得以维持。

三个靶点的体外结合数据与两处例外

体外验证覆盖三个靶点：VEGF-A、SARS-CoV-2 刺突蛋白受体结合域（RBD）和 PD-L1。每个靶点选 15 条来自以往 AlphaProteo 项目的已知结合骨架，用 ProteinMPNN 对其重新设计；每个骨架共测 18 条设计：1 条原始序列、5 条无水印版本，以及非破坏性（采样温度 0.5）与破坏性（采样温度 0.1）两种水印版本各 6 条。不计对照，体外评估包含 222 条无水印序列，两个水印设置各有 267 条水印序列；掺入的 9 条阴性对照全部检测不到结合。

结合亲和力用表面等离子共振（SPR）测定，以解离常数 KD 表示，数值越低结合越强。论文报告：对 VEGF-A 与 PD-L1 得到亚纳摩尔级结合体，对 SARS-CoV-2 RBD 得到低纳摩尔级结合体；水印版与无水印版在 KD 分布上没有显著的总体差异（双尾 Wilcoxon 秩和检验）。水印信号分布在整个序列上，覆盖各类二级结构。

论文也记录了两处例外：在 SARS-CoV-2 RBD 上，破坏性水印版（温度 0.1）的中位 KD 显著低于非破坏性水印版（温度 0.5）；在更宽松的 KD ≤ 10⁻⁶ M 阈值下，非破坏性水印版的命中率显著低于无水印版。论文另注明，重新设计后的序列常比原始设计结合更强，这一改善来自多轮采样迭代，与是否加水印无关。

论文报告的重测序攻击可有效移除水印

“首个”这一说法出自 DeepMind 自己：湿实验由该团队完成（博客致谢中提到，体外验证得到 Adaptyv Bio 协助），论文把整项工作定位为概念验证（proof-of-concept）。博客把“让水印更能抵抗蓄意篡改”明确列为下一步的关键挑战。

论文里的相应证据更具体：研究者用 ProteinMPNN 对 38,396 个结合体做了重测序攻击，结论是这类攻击可以有效移除序列水印；论文据此估算，若攻击者手上已有一条能结合的水印序列、并配合结构筛选，估计命中率仍可达 66%（VEGF-A）、70%（PD-L1）和 97%（SARS-CoV-2 RBD）。论文按目标、生物学与 AI 专业知识、算力和湿实验资源把攻击者分了类，重测序攻击是其中一例。

DNA 合成筛查与数据库标注的缺口

把数字设计变成实物分子，要经过 DNA 合成公司的订单与筛查：合成商把请求与已知威胁数据库比对。博客指出的缺口是，过去一个陌生序列或许还能被安全地当作未被发现的天然生物，但 AI 已经能生成与已知危害几乎毫无相似之处的新序列，筛查方不能再用这个假设；而人工逐条核查可能拖慢重要研究。博客还把这套水印放进一个“瑞士奶酪”式的多层防御模型：模型层面的缓解措施、客户审查各是一层，各自都有盲点，水印是嵌在设计本身的验证层——按博客的说法，它能提供自动化的验证信号，证明一笔订单来自带有内置安全措施的受信任模型。

博客引述了两位外部人士的评价。“SynthID Bio 是追踪生物设计来源拼图中重要的一块，”生物安全政策专家、Science Policy Consulting 负责人 Sarah Carter 在审阅这项工作后说，“通过把设计与模型开发者关联起来，这些水印让开发者能在安全上走在前头，也让合成服务商能更顺畅地筛查用过这些模型的客户订单。”

为论文提供早期反馈的 Twist Bioscience 政策与生物安全副总裁 James Diggans 说：“AI 正在拓展科学家能设计的东西，DNA 合成公司在帮助这类创新负责任地规模化上有重要角色。对 Twist 来说，水印是生物安全工具箱里一个很有前景的新增项：它可能强化筛查、把资源集中在更该细查的序列上，并随着 AI 设计的生物不断推进，让生物安全更有效率。”

博客提出，水印还能帮助维护 PDB、UniProt、GenBank 这类数据库的完整性：它们大多开放提交，错误标注的条目会干扰生物安全决策，水印可以在提交环节帮助把 AI 生成的条目正确标注，或标记出来供进一步审查。

从蛋白扩到噬菌体基因组，代码与数据将开放

水印研究正在向更复杂的生物对象延伸。DeepMind 与斯坦福大学 Hie 实验室和 Arc Institute 合作，把 SynthID Bio 接进了基因组模型 Evo 2，给一个由 Evo 2 设计的噬菌体基因组打上水印；博客称，细菌培养物中的早期实验室测试已确认这些带水印的噬菌体具有功能，更多细节会在即将发布的技术论文中给出。

博客称，SynthID Bio 的代码与体外实验数据将开源，模型权重将向研究社区发布。论文的结论写明了落地的前置条件：要让 SynthID Bio 用于生物安全等场景，除了技术创新，还需要全行业的协调与标准化。