AIが設計したタンパク質に、消えない印を埋め込む技術

この記事には広告（Amazon アソシエイトのリンク）を含みます。

AIが作った画像や文章に、目に見えない印を埋め込む技術がある。電子透かしと呼ばれるもので、画像・音声・動画・文章では実際に使われはじめている。その同じ考え方を、タンパク質という「物」に持ち込んだ研究が2026年9月30日、科学誌ネイチャーに載った。Google DeepMind（ロンドン）のチームによるもので、名前は SynthIDBio という。

AIが設計したタンパク質の中に、人の目にも実験にも見えない統計的な偏りを仕込んでおく。あとから専用の鍵で調べると「これはAIが作ったものだ」と読み取れる。しかも、タンパク質の働きは落とさない。そういう技術である。

DNA合成の受託会社が抱える穴

なぜタンパク質に印を付けたいのか。きっかけは、生物学の安全対策（バイオセキュリティ)にある穴だった。

研究者が新しいタンパク質を実際に手に入れたいとき、その設計図にあたるDNAを、合成を請け負う会社に注文する。注文を受けた会社は、届いた配列を既知の毒素や病原体のデータベースと照合して、危ないものが混じっていないかを調べる。この照合は「似ているかどうか」で判定している。

ところがAIが設計した配列は、データベースの中のどれとも似ていないことがある。見た目の並びはまったく新しいのに、細胞に入れて作らせると、既知の危険なタンパク質とほぼ同じ働きをする——そういう設計が成り立ってしまう。2025年にサイエンス誌に出た研究では、配列を設計し直すだけで、実際に運用されている審査の仕組みをすり抜ける悪性の配列を作れることが示されている。

働きで判定する方式に切り替える取り組みは進んでいるが、まだ開発の途中にある。その間をつなぐ手として出てきたのが、設計した側が印を付けておく、という発想だった。

配列に入れる印と、立体構造に入れる印

SynthIDBio は一つの技術ではなく、性格の違う二つの方法をまとめた呼び名である。

一つめが SynthIDBio-sequence。タンパク質はアミノ酸が一列につながったもので、設計用のAIはこれを前から順に一個ずつ選んで決めていく。この「次にどのアミノ酸を置くか」の選び方に手を入れる。候補を複数出して、秘密の鍵と直前の数個の並びから計算した点数で勝ち抜き戦をさせ、勝った候補を採用する。文章向けの透かし SynthID-Text で使われている方式を、そのままタンパク質の設計モデル ProteinMPNN に組み込んだ形だ。

できあがった配列を見ても、普通の配列と区別はつかない。けれど鍵を持っている人が同じ計算をやり直すと、選ばれたアミノ酸の点数が平均して高いことが分かる。鍵を持たない人の目には、ただのタンパク質である。

二つめが SynthIDBio-structure。こちらはタンパク質の立体構造を予測する AlphaFold 3 を作り変えたものだ。構造を描き出す部分（拡散モジュール）を、透かしを見分ける検出器と一緒に学習させ直す。すると、予測される原子の座標そのものに、ごくわずかな癖が乗る。

この二つめのやり方には理由がある。一つめは設計の手順に後付けするものなので、ユーザーが外そうと思えば外せる。対して構造版は、印の付け方がモデルの重みの中に溶け込んでいる。モデルを公開しても、受け取った人がその機能だけ切り離すことはできない。微調整にかかったのは A100 を256台で約1日、AlphaFold 3 本体の学習（約20日）と比べればずっと軽い。

結合力は落ちなかった

印を入れた結果タンパク質が働かなくなるなら、この話は成立しない。チームは実際に物を作って確かめている。

狙いを定めたのは三つの相手——新型コロナウイルスのスパイクタンパク質の受容体結合部位、血管を作る働きに関わる VEGF-A、免疫の抑制に関わる PD-L1 である。これらにくっつくタンパク質（バインダー）を、透かしあり・なしの両方で設計し、遺伝子を発注して実際に作らせ、どれくらい強く結合するかを測った。透かしなし222配列、透かしあり267配列（設定ごと）という規模になる。

結果は、集団として見たときの結合の強さに有意な差なし。新型コロナの的に対しては低ナノモル、VEGF-A と PD-L1 に対してはサブナノモルという、しっかり強い結合が得られている。そして印の検出は、誤検出率0.1%の設定で取りこぼしゼロだった。構造版のほうも、検出率は99.8%を超えつつ、構造の正確さを示す指標はほぼそのままだったという。

タンパク質以外にも効く。RNA、DNAの構造でも印は検出できた。だいたい32〜48残基くらいの小さな構造からは読み取れるが、16残基を切るような極端に短いものは苦手になる。

再設計で消える印

ここからが、この論文のいちばん正直なところだ。

配列に入れた印は、消せる。印の付いたタンパク質を、透かし機能のない ProteinMPNN にもう一度通して配列を作り直す。骨格は同じなので、立体構造も働きも引き継がれる可能性が高い。そして新しく選ばれたアミノ酸には、もう鍵と一致する偏りがない。チームは38,396個のバインダーでこの攻撃を試し、印が実際に落ちることを確かめている。

ただし、タダでは消えない。攻撃する側が「このタンパク質は確かにくっつく」と分かっているものから出発したとして、作り直したあとにちゃんと結合する割合は、構造の選別を併用しても97%（新型コロナ）・70%（PD-L1）・66%（VEGF-A）まで落ちる。選別を使わなければ33%・20%・3%である。結合するかどうか分からない状態から始めるなら、さらに下がる。印を消す行為には、計算の手間と、物が働かなくなる危険が付いてくる。

構造版のほうは外せない代わりに、別の弱点がある。力場を使って構造をなじませる計算（緩和）をかけると、印は壊れる。小さなノイズや回転・平行移動には耐えるが、ここは今後の課題だと著者らも書いている。

取り締まりの鍵ではなく、通行証

消せるなら意味がないのではないか。この問いに対する論文の答えが、予想とは逆の向きを向いている。

著者らは、印を「見つけたら止める」ための道具として使う案を自分で挙げ、自分で否定している。理由は二つ。良い使い方をする人には、わざわざ透かし入りのツールを選ぶ動機がない。そしてもっと大きい理由として、悪意のある人はそもそも透かしを付けないツールを最初から使うか、受け取った設計を作り直してしまう。取り締まりの網としては、網の外に出る方法が多すぎる。

そこで提案されているのが、逆の使い方だ。印が無事に残っている注文は、「審査の仕組みが入った信頼できるツールを使って設計され、その出どころを隠そうともしていない」ことの前向きな証拠になる。合成を請け負う会社にとっては、重い審査を全部かけなくても安心できる材料が一つ増える。審査を軽くできたぶんのコストを値引きとして返せば、設計する側にも透かし入りツールを使う理由ができる——そういう循環の設計である。

つまりこの印は、悪い注文を捕まえる鍵ではなく、正直な注文を速く通すための通行証として構想されている。論文の言葉を借りれば、目指しているのは絶対的な安全の保証ではなく、参入の敷居を上げることだ。透かしを破るには、追加の技術と計算資源が要り、しかもタンパク質が働かなくなる危険を引き受けなければならない。その非対称な負担を相手に押し付ける、という考え方になる。

印にはもう一つ、研究の信頼性を守るという用途も挙げられている。PDB や UniProt、GenBank といった公共のデータベースは誰でも登録でき、そこに集まった情報がAIの学習に使われている。AIが作った配列を「天然のものだ」と偽って大量に投げ込まれれば、そのデータベースに頼る道具全体の精度が下がる。実際、合成DNAが正しく表示されないまま GenBank に入ったことで、配列を照合する定番ツール BLAST による病原体の同定が難しくなった例が報告されている。登録前に印を自動で調べれば、そこで一度立ち止まれる。

今の段階でできることと、できないこと

著者らは、この研究を「原理の実証」と位置づけている。実際に運用するには、まだ埋まっていない穴がいくつもある。

印が持てる情報は「ある／ない」の一ビットだけで、どのツールの誰が作ったかまでは分からない。鍵を秘密にしておく必要があるので、配れる相手は信頼できる当事者に限られ、誰でも検証できる公開鍵の方式はまだ研究の途中にある。設計したタンパク質に後から短い配列を付け足すと、印の信号はその割合ぶん薄まる。悪意のある人が短い危険な配列を透かし入りの設計に継ぎ足して、全体が透かし入りに見えることを当てにする、という抜け道も想定されている。これには、印とは別に従来どおりの照合もかけ続ける多層の守りで対応するしかない、と書かれている。

そもそも、こうした仕組みが働くには業界全体での足並みがいる。設計ツールを作る側が透かしを入れ、合成会社が検出の鍵を受け取り、閾値をどこに置くかで合意する。技術の話より、この調整のほうが重いかもしれない。論文はその点もはっきり認めている。

とはいえ、画像と文章で始まった「AI製であることを後から読み取る」という発想が、分子という物にまで届いたのは事実だ。そしてその最初の報告が、自分の限界を数字つきで並べる形で出てきた。消せること、消すと働かなくなりやすいこと、消せない版は別の方法で壊れること。そこまで書いたうえで「それでも敷居は上がる」と主張している。

この記事とAIの関係について

話題がAIの出力に印を付ける技術なので、立場を書いておく。当ブログの記事は、Anthropic の対話型AI「Claude」を使って下書きを作っている。Anthropic も、自社AIが生成した文章に電子透かしを入れる取り組みを進めており、今回の SynthIDBio と地続きの分野にいる。つまり筆者は中立な第三者ではない。そのうえで、数値と限界は上記の原論文で確認したものを書いた。