SynthID Bio：水印写进蛋白序列与 AlphaFold 3 权重，湿实验证明功能未受影响，序列水印可被重新设计抹掉

9 月 30 日，Google DeepMind 在官方博客发布了 SynthID Bio，把它的水印技术从图像、视频、文本搬到了合成生物学12。同一天，配套的方法论文《Function-preserving watermarking of AI-generated proteins》在 Nature 上线，一作 David Stutz，作者列里有 Pushmeet Kohli3；官方 RSS 里这条博客的发布时刻是北京时间 9 月 30 日 23 点 03 分4。

这套方法在蛋白序列和 AlphaFold 3 预测出的 3D 结构上各打一处水印。官方称这是首个经湿实验验证、同时保持生物功能的水印结合蛋白（binder）1。

DNA 合成公司是生物安全的第一道关口。客户下一段 DNA 订单，公司拿它比对已知毒素和病原体蛋白的数据库。AI 把这道关口的前提打破了：它能设计出与库中任何条目都不相似的分子，却执行同样的功能。于是「没见过」不再等于「安全」，每一单陌生序列都要人工细查，正当推进的研究也跟着变慢1。数据库那头有同类麻烦：Protein Data Bank、UniProt、GenBank 都开放提交，一条被误标成「天然」的 AI 生成条目会顺着下游研究传开。

DeepMind 把 SynthID Bio 放进「分层防御」的框架，博客里比作瑞士奶酪——每一层防护各自有洞，叠起来才盖得住1。DNA 合成厂商 Twist Bioscience 负责政策与生物安全的副总裁 James Diggans 说，水印是「生物安全工具箱里一个有希望的新成员，能把资源集中到真正需要细看的序列上」；RAND 的生物安全研究者 Stef Guerra 说，它支持创新与可复现，同时带来一层安全收益5。这两句话已经把这枚水印的位置说清楚了：它在整条链路里承担标记，至于这层标记有多厚，要看后面几节拆开的证据。

序列侧的做法，是给 ProteinMPNN 加装 SynthID-text 的锦标赛采样（tournament sampling）6。语言模型一个字一个字地生成，水印就做在每一步的候选分布上；蛋白序列模型同样一个残基地吐氨基酸，同一套机制可以直接接上来。采样时按一个秘密密钥对候选做偏置，让某些氨基酸更容易被选中；密钥在整条序列上按 n-gram 上下文反复起作用，一段序列因此攒出可统计的信号。检测端拿同一个密钥重算一遍，得到一个 g 值——未加水印的序列平均 g 值落在 0.5 附近，论文用的序列级判定阈值是 0.5457。

开源仓库里能直接看到这套接法的工程代价。加水印时，ProteinMPNN 必须改成从左到右顺序解码，而它的默认行为是随机顺序生成；批大小被强制为 1。词表是 20 种标准氨基酸加一个掩码 token，共 21 个候选，水印的偏置就发生在这 21 个选择里8。

水印藏在「选了哪个氨基酸」里，而氨基酸一旦被偏置，序列的多样性就会跟着变。这是序列侧最实在的取舍：水印要强，就得让出一点设计质量。

论文用 23 个结合靶点、每个 10,000 条设计把这道取舍画了出来9。采样温度取 0.1 时，水印信号很弱：把假阳性率放宽到 1%，真阳性率也只有 2.5%，收紧到 0.01% 时基本归零。把温度提到 0.5，1% 假阳性率下的真阳性率升到 99.9%。还有一条扭曲型水印（distortionary）的路子，在低温度下把信号拉满。第三条路加一道 g 值过滤，只保留分数过线的候选：真阳性率可以保证到 100%，代价落在通过率上——温度 0.5、目标假阳性率 0.01% 那一档，通过率下降了 80.4%。除扭曲型设置外，水印对 AF3 置信度分布的影响可以忽略。

结构侧把水印写进模型本身：微调 AlphaFold 3 的扩散模块最后一层和置信模块，在原有扩散损失之外加一路水印损失，同时训练一个检测器6。训练完成后，这个模型预测出的任何结构，原子坐标都自带签名，不管是谁在跑推理；检测器单独保管，不随模型交给使用者，论文用的说法是「保持秘密」。

水印不落在单次采样的随机选择上，结构侧也就不用为信号强度让出结构精度。论文练了三个强度（s=0.001、0.01、0.1）。最弱一档 s=0.001 上，水印结构对真实结构的 LDDT 与 TM 分数不低于 AF3 基线；0.1% 假阳性率对应的真阳性率，三个模型都超过 99.8%，s=0.001 在 0.01% 假阳性率下仍有 98.99%。给坐标叠加标准差 0.01 Å 的高斯噪声，真阳性率几乎不掉；残基少于 16 的短结构检测较差，结构一大就迅速超过 99%，蛋白、RNA、DNA 都适用10。

代价换到了别处。结构水印标的是「这个结构来自这个模型」，它只能回答「有没有」：第三方分析把它称为零位水印，检测器能判断标记在不在，却区分不出是哪个用户、哪一次生成。同一篇分析转述论文补充材料说，它经不起结构弛豫——把结构重算一遍，签名可能就没了11。

功能有没有被破坏，最终要拿湿实验说话。验证用的三个靶点是 VEGF-A、SARS-CoV-2 刺突蛋白的 RBD 和 PD-L1。按第三方转述，实验从每个靶点此前验证过的 15 个 AlphaProteo 骨架重新生成序列，去掉负对照后，每种水印设置对应 222 条非水印序列和 267 条水印序列11。

结果是一组几乎重合的分布：三个靶点上，水印与非水印设计的结合亲和力（KD）分布差别很小，每个分箱 43 到 69 条；按不同 KD 阈值分层的命中率也相当，论文只在一格上标出统计显著性（SC2RBD，P≤0.05）。另一张小图更直接：PD-L1 的 15 个骨架里，水印结合蛋白的 g 值全部落在假阳性率 0.1% 的阈值线之上，非水印的全部落在下方7。

这套实验的边界要一起看：三个靶点、已验证过的骨架、规模有限。论文没有把结论推广到更广的蛋白类别，也还没有第三方独立复现。

把两侧证据合起来，得到的判断比「蛋白质也能打水印了」要窄一些。

序列水印挡不住有心人。论文用重测序攻击做了压力测试：从一个已知结合蛋白出发，用另一个设计工具重跑序列，就能得到保留结合功能、水印基本消失的新序列。论文图注的原话是这类攻击「largely remove the watermark」，图 3d 给出带与不带过滤两种攻击下的估计命中率——PD-L1 是 70% 与 20%，SC2RBD 是 97% 与 33%，VEGF-A 是 66% 与 10%9。攻击者只要知道自己在躲什么，水印就留不住。

结构水印另有软肋：零位、对结构弛豫不鲁棒，检测器还保密。保密让外人难以伪造，也让验证权只握在持有检测器的一方1011。

合起来，这枚水印能证明的是「某个设计出自带内置防护的模型」。它管不到「这个设计安全不安全」，也管不到「是谁做的」——这两件事得由合成厂商的筛查、数据库的审核和后续监管各自去答。它的用处在于把走正路的设计自动标出来，让筛查方把人工复核的注意力省给真正可疑的样本。Tessa Alexanian 把它放在「分层防御里的一层」，与论文自己「第一步」的口径一致15。把它当成阻止规避的安全边界，会超出材料能支撑的范围。

代码和湿实验数据已经开源在 github.com/google-deepmind/synthidbio：软件走 Apache-2.0，数据走 CC-BY 4.0，序列侧是 ProteinMPNN 的即插即用替换8。仓库里有全部序列的 g 值表，以及三个靶点各自的结合数据 CSV 和动力学图。结构模型的权重没有直接放出，要按 AlphaFold 3 仓库的流程申请，另受 AF3 权重条款约束。截至发布当天，还没有合成厂商或数据库宣布接入。

DeepMind 还预告了下一步：与 Stanford 的 Hie lab、Arc Institute 合作，把 SynthID Bio 接到基因组模型 Evo 2 上，给一个由 Evo 2 设计的噬菌体基因组打水印；早期在细菌培养里的测试显示这些带水印的噬菌体仍有功能，技术手稿稍后发布112。