Google DeepMind stellt SynthID Bio vor: Wasserzeichen für KI-entworfene Proteine

Unsichtbare Signaturen in KI-entworfenen Proteinen

Google DeepMind hat SynthID Bio vorgestellt, ein Framework, das unsichtbare Wasserzeichen direkt in KI-generierte Proteinsequenzen und 3D-Strukturen einbettet. Die Signaturen sind so gestaltet, dass sie die biologische Funktion nicht beeinträchtigen. Ziel ist, die Herkunft von KI-entworfenen Proteinen nachvollziehbar zu machen und die Biosicherheit zu stärken. Die Forschung wurde in der Fachzeitschrift Nature veröffentlicht. Das Verfahren überträgt die bestehende SynthID-Technologie erstmals auf synthetische Biologie; zuvor wurde sie für Bilder, Video, Audio und Text eingesetzt. Laut Google DeepMind wurden mit SynthID bereits über 100 Milliarden Bilder und Videos markiert, und Unternehmen wie OpenAI, NVIDIA, Kakao und ElevenLabs nutzen die Technologie.

Der Funktionserhalt beruht darauf, dass das Wasserzeichen nicht nachträglich in eine fertige Sequenz eingefügt wird. Stattdessen verändert es während der Generierung nur die Wahrscheinlichkeiten, mit denen einzelne Aminosäuren ausgewählt werden. An einer einzelnen Position ist die Verschiebung minimal und liegt im Rahmen natürlicher Variabilität; erst über die gesamte Sequenz hinweg entsteht ein statistisches Muster, das mit dem passenden Schlüssel erkannt werden kann. Dadurch bleiben Faltung, Stabilität und Bindungsfähigkeit des Proteins erhalten, weil das Modell weiterhin nur Aminosäuren vorschlägt, die zu einem funktionierenden Protein passen. DeepMind betont, dass die Wasserzeichen als zusätzliche, unabhängige Sicherheitsschicht gedacht sind, die andere Maßnahmen wie Modell-Absicherungen und Kundenprüfungen ergänzt – ein „Schweizer-Käse-Modell“ der Biosicherheit, bei dem mehrere Schichten die Lücken der jeweils anderen abdecken.

Zwei Methoden: Sequenz- und Struktur-Wasserzeichen

SynthID Bio umfasst zwei getrennte Methoden, die auf die jeweilige Art der KI-Ausgabe zugeschnitten sind. SynthID Bio-sequence ist für Aminosäuresequenzen gedacht und in das weit verbreitete Modell ProteinMPNN integriert. Beim Erzeugen einer Sequenz verändert das System die Auswahl der Aminosäuren anhand eines geheimen Schlüssels leicht, sodass ein statistisches Muster entsteht, das mit dem passenden Schlüssel erkannt werden kann. Konkret wird bei jedem Schritt der autoregressiven Dekodierung die Wahrscheinlichkeitsverteilung über die möglichen Aminosäuren minimal verschoben; ProteinMPNN verwirft dabei weiterhin alle Vorschläge, die nicht zu einem funktionierenden Protein passen. Die wasserzeichenmarkierte Version ist als direkter Ersatz (Drop-in-Replacement) in bestehende Protein-Design-Pipelines integrierbar – mit minimalem Installationsaufwand lassen sich Wasserzeichen einfach durch Aktivieren entsprechender Flags erzeugen. Zur Erkennung scannt eine Software die gesamte Sequenz mit dem Schlüssel und berechnet sogenannte g-Werte, um das statistische Signal zu finden.

SynthID Bio-structure zielt auf 3D-Strukturen und basiert auf einem feingetunten AlphaFold 3. Hier werden die Atomkoordinaten in der Vorhersage minimal angepasst, sodass das Wasserzeichen in den räumlichen Daten steckt. Die Anpassung erfolgt über einen kleinen Teil des Diffusionsnetzwerks von AlphaFold 3; das Wasserzeichen liegt damit in den Modellgewichten. Beide Ansätze sollen die Funktion des Proteins erhalten, indem sie nur minimale, statistisch verteilte Änderungen vornehmen, die die strukturelle Stabilität nicht verändern. Während bei Sequenzen das Wasserzeichen in der Reihenfolge der Aminosäuren verborgen ist, liegt es bei Strukturen in den atomaren Koordinaten – in beiden Fällen ist es für das menschliche Auge nicht erkennbar, aber maschinell verifizierbar.

Labortests bestätigen Funktionserhalt

In Labortests wurden Protein-Binder gegen drei Zielproteine untersucht: VEGF-A, die Rezeptorbindungsdomäne des SARS-CoV-2-Spike-Proteins und PD-L1. Die wasserzeichenmarkierten Designs wurden mit unmarkierten Versionen verglichen. Nach Angaben von Google DeepMind zeigten sie gleiche Trefferquote, Bindungsaffinität und natürliche Sequenzdiversität. Das Wasserzeichen lässt sich nach der Synthese auch im physischen Protein nachweisen, nicht nur im digitalen Entwurf. Damit ist die Signatur über den gesamten Prozess hinweg überprüfbar – vom Computermodell bis zum realen Molekül.

Die Tests bestätigen, dass die minimalen Änderungen an den Aminosäure-Wahrscheinlichkeiten und Atomkoordinaten die biologische Aktivität nicht beeinträchtigen. Die wasserzeichenmarkierten Binder erreichten in den Labortests dieselbe Leistung wie die unmarkierten Versionen, was die Funktionstreue des Verfahrens belegt. Zusätzlich zu den Protein-Bindern hat das Team in Zusammenarbeit mit dem Hie-Labor an der Stanford University und dem Arc Institute auch Bakteriophagen-Genome wasserzeichenmarkiert, was die Anwendbarkeit über einzelne Proteine hinaus demonstriert. Die Ergebnisse zeigen, dass die Wasserzeichen nicht nur in silico, sondern auch nach der tatsächlichen Synthese und Faltung der Proteine nachweisbar bleiben.

Ziel: Automatisiertes DNA-Synthese-Screening

Das Wasserzeichen soll vor allem beim DNA-Synthese-Screening helfen. Anbieter, die digitale Proteinentwürfe in physische Moleküle umsetzen, prüfen jede Bestellung gegen Datenbanken bekannter Gefahren. KI kann jedoch Sequenzen erzeugen, die kaum Ähnlichkeit mit bekannten Bedrohungen haben, sodass die manuelle Prüfung aufwendig ist und Forschung verzögern kann. Ein Wasserzeichen liefert ein automatisches Signal, dass eine Bestellung aus einem vertrauenswürdigen Modell mit eingebauten Sicherheitsmaßnahmen stammt. Google DeepMind sieht darin eine wichtige Herkunftsebene zur Stärkung der Biosicherheit und zum Schutz der Integrität offener wissenschaftlicher Datenbanken.

Der konkrete Ablauf im Screening-Workflow gestaltet sich so: Wenn eine DNA-Bestellung bei einem Syntheseanbieter eingeht, wird die Sequenz zunächst wie üblich gegen die Datenbanken bekannter Bedrohungen abgeglichen. Zusätzlich kann der Anbieter nun einen SynthID-Bio-Detektor über die Sequenz laufen lassen. Dieser Detektor scannt die gesamte Sequenz mit dem geheimen Schlüssel und berechnet statistische Kennwerte (g-Werte), um festzustellen, ob das charakteristische Muster eines wasserzeichenmarkierten Modells vorliegt. Wird das Muster erkannt, erzeugt das System ein automatisches Signal, das die Bestellung als aus einem vertrauenswürdigen Modell stammend kennzeichnet. Dieses Signal kann in die interne Datenbank des Anbieters integriert werden, sodass die Bestellung automatisch als unbedenklich eingestuft oder zumindest priorisiert bearbeitet wird. Dadurch reduziert sich der manuelle Prüfaufwand erheblich, und Forscher, die mit abgesicherten Modellen arbeiten, erhalten schnellere Freigaben. Die Herstellerangaben ordnen das Verfahren als zusätzliche, unabhängige Sicherheitsschicht ein, die andere Maßnahmen wie Modell-Absicherungen und Kundenprüfungen ergänzt. Es soll Syntheseanbietern ermöglichen, Bestellungen aus vertrauenswürdigen Modellen automatisiert zu erkennen und so das Screening zu beschleunigen, ohne die Sicherheitsstandards zu senken.

Unabhängige Stimmen und offene Fragen

Sarah Carter, Biosecurity Policy Expert bei Science Policy Consulting, bezeichnete SynthID Bio als wichtigen Baustein für die Nachverfolgung der Herkunft biologischer Designs. Sie erklärte: „SynthID Bio ist ein wichtiges Puzzleteil für die Rückverfolgbarkeit biologischer Designs. Indem die Wasserzeichen Designs mit dem Modellentwickler verknüpfen, ermöglichen sie Entwicklern, bei der Sicherheit voranzugehen, und erlauben Syntheseanbietern, das Screening für Kunden zu rationalisieren, die diese Modelle genutzt haben.“ Diese Einschätzung unterstreicht den potenziellen Nutzen für die Praxis, bleibt aber eine Einzelstimme.

Offen bleibt, wie schnell DNA-Synthese-Anbieter die Technik praktisch integrieren. Die Umgehbarkeit des Wasserzeichens ist ebenfalls nicht abschließend geklärt: Da das Verfahren auf statistischen Mustern beruht, könnte ein Angreifer theoretisch versuchen, die Sequenz nachträglich so zu verändern, dass das Muster zerstört wird, ohne die Funktion zu beeinträchtigen – ob dies praktikabel ist, wurde nicht öffentlich getestet. Auch die Auswirkungen auf Open-Source-Projekte sind unklar: Wenn nur bestimmte, proprietäre Modelle wasserzeichenmarkiert sind, könnten Sequenzen aus offenen, nicht markierten Modellen fälschlich als verdächtig eingestuft werden, was die Nutzung von Open-Source-Werkzeugen erschweren könnte. Die Herstellerangaben zur tatsächlichen Wirkung auf Biosicherheit und Datenintegrität sind bislang nicht unabhängig durch Langzeitstudien belegt. Es fehlen zudem öffentliche Aussagen von DNA-Synthese-Unternehmen wie Twist Bioscience darüber, ob und wie sie die Technologie in ihre Screening-Pipelines aufnehmen werden.

Verfügbarkeit und Ausblick

Code, Daten und Modellgewichte stehen Forschern zur Verfügung. Die wasserzeichenmarkierte Version von ProteinMPNN ist als direkter Ersatz in bestehende Pipelines integrierbar; für AlphaFold 3 gibt es Anweisungen zum Herunterladen der Modellgewichte und zum Ausführen wasserzeichenmarkierter Strukturvorhersagen. Als nächster Schritt dürfte die Erprobung durch unabhängige Labore und Syntheseanbieter im Mittelpunkt stehen. Für die Community könnte SynthID Bio einen Standard für die Kennzeichnung KI-generierter biologischer Designs setzen – vergleichbar mit der Rolle, die SynthID bereits bei Bildern, Videos und Audio spielt. Die zusätzliche Validierung an Bakteriophagen-Genomen deutet darauf hin, dass sich der Ansatz über einzelne Proteine hinaus auf größere biologische Systeme ausweiten lässt.