2026-10-01
SynthIDBio把水印嵌进ProteinMPNN序列设计采样和微调后的AlphaFold 3。湿实验结合力与未加水印无显著差异，0.1%假阳性下检出率达到100%。
AI 设计蛋白已经进实验流水线。AlphaFold 3 预测结构,ProteinMPNN 给骨架填氨基酸,RFdiffusion、AlphaProteo、BindCraft 往外吐 binder。随后很难回答:这段序列是谁生成的、用了哪套模型。
两条现成路都脆。中央数据库要协调、会误报、还碰隐私;密码学签名的元数据可以撕掉。文本和水印那套搬到蛋白上,「质量」对应的是实验可测的功能,不是困惑度。同期工作要么只在 PDB 野生型单体上做了计算机实验,要么给结构加水印会把精度打下来:FoldMark 蒸馏进 ESMfold 后,RMSD 明显上升。功能还在、又能检出,此前没有现成方案。
SynthIDBio 分两路。
序列这一路把 SynthID-text 的 tournament sampling 接到 ProteinMPNN 的自回归采样上。每一步从「下一个氨基酸」的分布里抽候选,按密钥算出的二元 g-value 比大小,赢家留下;一层不够就叠 L 层。密钥每层都换,期望上不扭曲 token 分布。蛋白设计常用温度 0.1,熵太低,所以另外试了全层共用一把密钥的扭曲版,L=25。检出看整条序列的平均 g-value。为把假阳性压到目标水平,流水线多加一道 g-value 过滤,阈值用约 350 万条未加水印序列标定,覆盖设计 binder、PDB 和 UniRef50。
湿实验没有从头 de novo。三个靶点 VEGF-A、PD-L1、SARS-CoV-2 RBD,各用 15 条 AlphaProteo 里已经验证过的 binder 骨架再测序。每个骨架 18 条:1 条亲本、5 条未加水印、6 条非扭曲温度 0.5、6 条扭曲温度 0.1。未加水印 222 条,两种水印设置各 267 条。结合力用表面等离子共振(SPR)测解离常数 KD。
结构这一路不能靠采样时加水印,开源权重的人会直接关掉。他们冻结 AF3 的 trunk,微调 diffusion 模块,旁边挂一个 PointNet 风格的检测头:残基内原子距离和扭转角过 1D 卷积,平均池化后做二分类。总损失是扩散损失加 0.1 倍水印交叉熵。训练时给坐标加均匀噪声 U(-s,s),s 取 0.001、0.01、0.1 Å,为的是 CIF 文件三位小数四舍五入后水印还在。这些特征对平移旋转反射不变。微调用 256 张 A100,大约一天;相对 AF3 本体训练约 20 天,算便宜。推理没有额外开销。
| 设置 | 检出 | 功能或精度 |
| 序列,非扭曲温度 0.5,加 g-value 过滤 | 0.1% 假阳性下真阳性率 100% | 群体 SPR 结合力与对照无显著差异;KD≤10^-6 命中率低于对照 |
| 序列,扭曲温度 0.1,加 g-value 过滤 | 同样 100% | 群体无显著差异;SC2RBD 中位 KD 显著低于非扭曲 0.5 |
| 结构水印 s=0.001 Å | 0.1% 假阳性下真阳性率超过 99.8%;0.01% 假阳性下 98.99% | LDDT、TM-score 不低于 AF3 基线 |
没有 g-value 过滤时,温度 0.1 的非扭曲几乎检不出,真阳性率大约 2.5% 和 0.2%。把温度升到 0.5,对应 1%、0.1%、0.01% 假阳性,真阳性率大约 94.4%、67.3%、29.3%;扭曲温度 0.1 则到 99.9%、96.1%、75.1%。过滤能把真阳性率钉在 100%,代价是过率下降。非扭曲温度 0.5、0.1% 假阳性时过率掉 41.7%,候选量大约要乘 1.715。AF3 结构校验是算力大头,未过 g-value 的候选不用跑 AF3,论文据此认为实际增量可以忽略。
水印不抗 ProteinMPNN 再测序。38,396 条 binder 上这次攻击基本把信号洗掉。假设攻击者拿到的是已知能结合的水印 binder,带着结构过滤再测序后,估计命中率:SC2RBD 97%、PD-L1 70%、VEGF-A 66%;去掉过滤掉到 33%、20%、3%。结构水印对标准差 0.01 Å 的高斯噪声还在;0.1 Å 会毁掉小 s 模型,s=0.1 训练的模型还能到真阳性率 88.5%。OpenMM 配 Amber99sb 做约束松弛,能毁掉结构水印。负对照 9 条全部无结合。信号铺在整条序列和各类二级结构上,能加水印的程度跟输入骨架有关。
这是目前少有的、湿实验过关的生物水印。序列路不用改 ProteinMPNN 权重,接采样就能用,开源用户也可以关掉。结构路把水印写进权重,开源也卸不掉。DeepMind 放出了序列代码,并提供 s=0.001 结构权重的申请入口。
它解决不了 biosecurity。核酸合成筛查、公共数据库防投毒,都还要行业交换检测密钥、定操作点。对跑设计流水线的人,更直接的含义是:加水印的实验代价主要是多采样,不是把 binder 做坏。引言里拿到的水印 binder,对 SC2RBD 是低纳摩尔级,对 VEGF-A 是亚纳摩尔级。
作者列得很清楚。序列水印是 zero-bit,只能说有或没有,分不出是谁的模型。ProteinMPNN 再测序能去掉它,浏览器里就能跑。不支持随机或从右到左解码。保证 100% 真阳性会伤过率。湿实验是在已知 binder 骨架上再测序,不是完整 de novo,成功先验更高。结构水印不抗力场松弛,同样是 zero-bit,也没和 FoldMark 做过可区分性实验。
开放权重场景里,坏人会选不加水印的工具,或先加水印再测序。论文把这写成提高作恶成本,不是保证安全。密钥只能给受信方,公钥可检测方案还没有。短结构(少于 16 个残基)检出明显变差。