AI 生成生命的时代，DeepMind 开始给它们加上"出生证明"

基因合成公司的安检逻辑一直很直接：把客户订单序列和已知威胁数据库比对，同源就拦下。但 AI 设计的蛋白可以和数据库里的一切零同源，功能却相差无几。2025 年《科学》杂志的一项研究已经证明，只要对蛋白序列做一次重测序改写，就能绕过当时部署的筛查算法。

另一头的风险更隐蔽。PDB、UniProt、GenBank 这些公共数据库是 AlphaFold、RFdiffusion 等几乎所有 AI 生物工具的训练地基，但它们对公众开放提交。已有先例：错误标注的合成 DNA 涌入 GenBank，足以降低 BLAST 识别病原体的能力。单起事故尚且如此，AI 生成物的规模化涌入会把污染变成常态。

SynthIDBio-sequence 的设计管线：在 ProteinMPNN 重测序环节嵌入水印采样，再经 AF3 指标与水印信号双重过滤（图源：Nature 论文）

给图片加水印，只要不被人眼察觉就算成功。但蛋白序列从来不只是一串文本：它是要在自然界里工作的物理实体，得正确折叠、结合受体、和细胞里的分子打交道。水印成立的前提，是加了水印的分子和没加的干得一样好。

第一条路线长在序列上。团队把自家文本水印 SynthID-text 的"锦标赛采样"搬进了蛋白设计标配工具 ProteinMPNN：每生成一个位置，就让候选氨基酸两两对决，用一把只有检测方掌握的密钥决定谁晋级。25 层锦标赛下来，单个氨基酸的选择几乎不变，但整条序列已经带上了可检测的统计指纹。

SynthIDBio-structure 的训练流程：微调 AlphaFold 3 的扩散模块与置信模块，在结构损失之外加入水印损失（图源：Nature 论文）

第二条路线长在结构上。团队直接微调 AlphaFold 3 的扩散模块，训练时叠加一个水印损失，让模型输出的三维坐标自带检测器能读懂的信号。信号藏在原子间距的微小分布偏移里，幅度被压进 AF3 自身的预测误差之内。但检测器不随模型公开，只交给可信合作方——水印能验，不能仿。

水印蛋白行不行？最终湿实验室说了算。团队选了三个真实治疗靶点——新冠病毒受体结合域（SC2RBD）、血管内皮生长因子 A（VEGF-A）、程序性死亡配体 1（PD-L1），从历史 AlphaProteo 项目里取出 45 个已知可结合的骨架做重测序。这条路比全新设计保守，但能换来更高的结合成功率。810 条序列被真正合成：45 条母本序列、222 条非水印重测序、两种水印设置各 267 条，另有 9 条阴性对照。全部用表面等离子共振（SPR）逐条测量结合亲和力。

三个靶点上水印与非水印结合物的亲和力分布（左）与分级命中率（右），群体水平无显著差异（图源：Nature 论文）

结果干脆利落。水印组与非水印组的结合亲和力分布在群体水平上没有显著差异（双尾 Wilcoxon 秩和检验），低纳摩尔级的 SC2RBD 结合物、亚纳摩尔级的 VEGF-A 和 PD-L1 结合物照常出现。两组之间唯一的显著差异出现在最宽松的亲和力阈值上：非水印组命中率略高，但阈值一收紧，差异随之消失。

水印也不藏在某个固定位点上。序列比对显示，水印信号散布整条序列，遍布所有类型的二级结构。这让"剪掉一段就能洗白"的朴素想法直接落空，但真正的攻击手段要比剪刀聪明得多。

代表性序列比对：水印序列的逐残基信号（红色系）整体高于非水印序列（蓝色系），且散布全序列（图源：Nature 论文）

结构层面同样如此。一个带水印的 VEGF-A 结合物，预测结构正常、实测亲和力 K_D = 0.344 μM，逐残基的水印信号用颜色标在三维结构上。但它和未加水印的对照分子摆在一起，功能上分辨不出差别。

带水印的 VEGF-A 结合物预测结构，颜色标注逐残基水印信号强度（图源：Nature 论文）

结构水印的成绩单同样硬。0.1% 假阳性率下，三个水印模型的真阳性率全部超过 99.8%；推荐的 s = 0.001 模型在更严的 0.01% 假阳性率下仍保住 98.99%。它的 LDDT 与 TM 评分相对原版 AF3 没有下降，但键合几何有极轻微的扰动——代价存在，只是小到可以忽略。

三个结构水印模型的预测精度、检测率与抗噪表现：精度指标不低于 AF3 基线，TPR 均超 99.8%（图源：Nature 论文）

水印具体藏在哪？对 1000 个结构的统计分析给出答案：带水印模型会轻微平移 Cα 原子距离等几何特征的分布，偏移幅度与 AF3 预测相对真实结构的天然波动无法区分。蛋白、RNA、DNA 结构都能带上水印，但短于 16 个残基的小结构，检测率会明显掉队。

水印模型与 AF3、真实结构在原子距离和键角分布上的对比：偏移在 AF3 自身误差范围内（图源：Nature 论文）

学界的反应是谨慎乐观。哈佛医学院的 Marinka Zitnik——她也是 FoldMark 的共同作者——认为结果鼓舞人心：此前不少人担心，隐藏信号会损害蛋白的设计与功能。但她追问：越小的蛋白可改动的氨基酸越少，水印还藏得住吗？拜罗伊特大学的生物化学家 Birte Höcker 更直接：酶这类约束繁多的复杂蛋白，未必容得下水印。

代价有多大？先算这笔账。为保证每个合成的设计都能被检出，团队用水印分数做了预过滤，非失真设置下的设计通过率因此下降 41.7%，相当于要多生成 171.5% 的候选序列。但账算得过来：最烧算力的 AF3 结构验证排在过滤之后，被刷掉的候选根本不消耗这笔开销，实际增加的成本可以忽略。

不同水印设置下的真阳性率（左）与通过率变化（右）：过滤保证 100% 检出，但压缩通过率（图源：Nature 论文）

真正的麻烦是攻击。最直白的擦除手段，是把带水印的序列丢回 ProteinMPNN 重测序一遍——团队在 38,396 个结合物上验证，这一手确实能抹掉水印。代价取决于攻击者的手艺：懂行的人重测序时加上结构过滤，估计结合命中率几乎不动（SC2RBD 97%、PD-L1 70%、VEGF-A 66%）；但直接蛮干的，命中率会跌到 33%、20% 甚至 3%——水印没了，功能也没了。

重测序攻击后的估计结合命中率：带结构过滤（深色）几乎无损，不带过滤（浅色）大幅下跌（图源：Nature 论文）

局限还有一串。水印是零比特的，只能说明"AI 造的"，说不出谁造的、用哪个模型；开源模型用户可以干脆关掉水印模块；结构水印扛不住分子动力学弛豫。没有哪一条是致命的，但加在一起，"银弹"的想象先破灭了。

零比特并非唯一选择。香港科技大学 Zaixi Zhang 团队的 FoldMark 走了另一条路：把唯一识别码直接嵌进蛋白的三维结构，理论上可区分约 100 万个不同用户——从"是不是 AI 造的"，推进到"是哪个用户造的"。但它目前只是 bioRxiv 预印本，未经同行评审，与 SynthIDBio 也未交叉验证过。

FoldMark 预印本：在蛋白三维结构中嵌入用户级识别码，作者包括 Zaixi Zhang、Le Cong、Marinka Zitnik 等（图源：bioRxiv 截图）

采纳的难题同样具体。为英国政府提供负责任创新咨询的牛津大学蛋白化学家 Oliver Crook 判断很直接：对多数做非敏感课题的实验室，水印"是额外的复杂性"，生物安全"并不那么切身"。但更棘手的是钥匙归谁管：两套方案都依赖只有专门工具才能读取的隐藏信号，谁该控制检测系统、谁有权使用，远无定论——Zhang 团队调查了 130 位利益相关方，结论是"目前没有共识"。

Nature 同日刊发新闻解读：水印能标记"AI 制造"，但可以被擦除（图源：Nature 网站截图）

水印的边界还在向外推。DeepMind 负责科学研究的副总裁 Pushmeet Kohli 在官方博客中透露了下一步：团队正与斯坦福大学 Hie 实验室和 Arc Institute 合作，把 SynthID Bio 扩展到 Evo 2 设计的噬菌体基因组上。从一个蛋白，到一整个基因组。他还对 Science 透露，把水印扩展到 DNA 等其他生物分子的工作"结果非常有希望"。早期细菌培养实验显示带水印的噬菌体保住了感染功能，但这只是概念验证，详细数据尚未公开。

更实际的动作是开放。SynthIDBio 的代码、体外实验数据和结构模型权重已向研究社区开放，就放在 GitHub 上。CEO Demis Hassabis 当天在 X 上亲自定调，但把重点落在了风险上：

google-deepmind/synthidbio 仓库：代码、体外数据与模型权重已开放（图源：GitHub 截图）

SynthID 家族本身也不是实验室玩具：OpenAI、NVIDIA、Kakao 都在用。但生物版本的推广，需要的远不止谷歌一家的善意。

论文自己的结尾很克制：水印解决不了生物安全，它只是让"追踪来源"第一次有了技术抓手。技术证明题已经交卷，协调证明题才刚开始。