给 AI 设计的蛋白加水印：能证明来源，不能证明安全

分类器会失效，所以要在生成时就写入信号

Kohli 说，早期用机器学习区分 AI 内容的做法，随着生成模型变好而越来越不准；水印则在生成时加入一个不可感知、难以去除的偏置。他给好水印定了三条：不降低质量、抗变换、易集成易检测。

同一个想法从文字搬到蛋白：在“等价的选项”里藏信号

文字水印靠一把密钥，在几个同样合适的词里偏向某些词；蛋白序列水印则在能保持结构和功能的氨基酸之间做选择（比如亮氨酸和异亮氨酸）。序列版本建在第三方的 ProteinMPNN 上，结构版本建在 AlphaFold 3 上，微调原子位置。

目标用户是 DNA 合成公司的订单筛查

合成公司核实买家身份，再把订单和已知危险序列库比对。Ratcliff 说风险在于：AI 能做出序列上离数据库很远、却折叠成同样东西的蛋白，还可以拼进一份正常订单里。水印不判断是否有害，只让筛查者知道这条序列来自一个他们信任的 AI 系统。

“you can make something that in sequence space is very different than something that's present in that pathogen database but might fold into the thing that is of concern.”Jeremy Ratcliff

他们做了结合蛋白并在实验室里测了

Ratcliff 说，加了水印的结合蛋白（两种方案）和没加的相比，命中率、结合的定量指标几乎一样。他自己事先怀疑过。他们还说，据他们所知，这是第一个同时展示不可感知和保持功能、并有体外实验的水印工作，这是作者自己的优先权说法。

“near identical hit rates, near identical quantitative measures of binding.”Jeremy Ratcliff

DeepMind 的角色是催化，不是运营

代码会开源，别人不必和 DeepMind 协调就能集成；但要真正起作用，模型方要接入，合成公司要和模型方交换密钥。DeepMind 没有蛋白设计服务，也不认为标准该由它来定。公开的检测器会促使人去绕过，Kohli 把“猫鼠游戏”称为真实风险。