1. 别把水印想简单了：AI蛋白时代的“出厂信息”
如果你这几年一直在关注蛋白设计，会发现一个很明显的变化：以前我们拿到一个蛋白质序列，第一反应是“它折叠成什么样”，但现在拿到一个序列，第一反应变成了“它是谁设计出来的”。AlphaFold把结构预测拉到了接近实验水平之后，RFdiffusion、ProteinMPNN这类生成模型又让“按需造蛋白”变成了流水线操作。你可以像写提示词一样输入目标形状、功能位点、结合表面，然后模型给你吐出一堆全新序列。这个能力很酷，但紧接着就逼出一个问题：全世界都开始在数据库里上传AI生成的蛋白质，你怎么知道这个序列是谁造的？造出来之后被别人拿去改了两笔，还能不能溯源？
DeepMind最近给AI设计的蛋白质加“水印”这件事，本质上就是在回答这个问题。它要做的是在氨基酸序列里埋一个可读的标记，让任何拿到序列的人都可以通过一个固定的解码规则反查来源，而且这层标记不能损伤蛋白质原本的折叠、稳定性和功能。听起来像一个版权保护问题，实际上比版权复杂得多。
先说一个行业背景：AI做蛋白设计的门槛在过去两年已经低到让人吃惊。不需要懂物理化学，你也能用别人训练好的模型生成一段看起来合理的新蛋白。但这种“易得性”带来了两个直接后果。第一个是知识产权纠纷变多了，两个团队可能先后设计出相似序列，谁先上传、谁有完整设计日志，很难说清。第二个是生物安全层面的担忧，既然设计工具是公开的，那就存在恶意生成有毒蛋白并提交给合成公司订购的风险，哪怕不做实验，只污染数据库也会产生信任危机。
所以DeepMind做水印，表面上是给序列“盖个戳”，实际上是在建立一套AI蛋白时代的“出厂信息”制度。就像买电子设备要有序列号一样，机器本身能正常用，但序列号能告诉你它是哪条产线出来的。蛋白质水印要做的，就是把这种序列号直接烧进氨基酸排列里——它不改变蛋白的“能”，只增加“可追溯”的“信息通道”。这个思路一旦跑通，后续的监管、授权、溯源、审计就都有了抓手。否则等AI蛋白设计普及到药企、合成生物公司甚至开源社区，再想回头补这套规则就来不及了。
这篇文章我会从方案原理、实操设计、验证指标、踩坑经验四个层面，把这套“给蛋白质加水印”的技术逻辑拆开讲清楚。不堆术语，重点讲明白每一步为什么这么做、怎么做才能不影响功能，以及哪些坑是真实验证中反复踩过的。
2. 给蛋白质打标的三条路，DeepMind选了最难但最实用的一条
水印不是只能加在序列字符串上。在分子生物学里，想给一个生物大分子留下“可读标记”，技术上至少有三条已知路线。
2.1 核苷酸层面的同义密码子水印
最早被讨论的是在DNA/RNA层面用同义密码子做水印。遗传密码有简并性，很多氨基酸对应多个密码子，比如亮氨酸有六个密码子，丝氨酸有六个。翻译成蛋白质时，不同的同义密码子都编码同一个氨基酸。所以理论上你可以把一段信息加密成“密码子偏好模式”，嵌入基因序列中，不影响最终蛋白的氨基酸序列。因为氨基酸序列没变，蛋白质折叠和功能基本不受影响——至少在一级序列层面是这个逻辑。
这个方案的优势是隐蔽性好、成本低。做基因合成时直接按特定密码子偏好把水印信息翻译过去就行，不需要设计蛋白质本身。但它也有明显短板：如果你给我的是纯氨基酸序列，而我已经把DNA信息丢了，那水印就消失了。现实中蛋白质数据库里存的大多是氨基酸序列，AI模型预测结构也是从氨基酸序列出发。所以同义密码子水印适合细胞株溯源、质粒传播追踪这类场景，不适合给“AI生成的蛋白质序列”本体做标记。
2.2 结构标签水印
第二条路是在蛋白表面挂一段额外的“显性标签”。比如在N端或C端加His标签、Flag标签、myc标签，这是实验室里最常用的蛋白纯化或检测手段。把水印信息放在一个短肽标签里，暴露在蛋白表面，拿抗体就能检测到。好处是识别方便、现成工具多，坏处是痕迹太明显。只要有人想抹除来源，随便用蛋白酶切掉这段标签，溯源链条就断了。而且很多时候，在N端或C端加长肽段会影响分泌、折叠和稳定性，并不算“不影响功能”。
2.3 序列级隐形水印：DeepMind这条路的取舍逻辑
DeepMind方案真正有意思的地方，是把水印埋在蛋白质序列内部的柔性区域，而不是挂在两端。你可以把它理解为“在蛋白质表面比较松散的位置，嵌入一段经过重编码的氨基酸短签名”。这段签名不是天然功能所必需的，但因为被设计成和整体折叠兼容，所以不会改变蛋白的结构和活性。
为什么说这是三条路里最难但最实用的？因为它同时满足几个硬条件。第一，水印信息直接存在于氨基酸序列中，你只要拿到序列就能解码，不需要拿到DNA。第二，水印被设计成与蛋白质折叠兼容，不会被抗体或蛋白酶轻易剥离，你想去掉它就得改动核心序列，改完就破坏了原始设计的完整性。第三，水印可以和AI模型的设计过程绑定，比如在生成模型的采样阶段就强制加入一段受控序列，或者在后处理阶段用序列设计算法把水印“缝”进高容忍度区域。
从技术路径去反推，DeepMind大概率用的是“后处理+结构验证”的组合：先生成目标蛋白，然后找出序列上对突变不敏感的位点，再把水印密码逐步替换进去，每一步都用结构预测和统计能量打分确认没有破坏折叠。这跟我们做带标签蛋白设计的逻辑是相通的，但工程化程度高很多。
我自己实操下来的体会是：前两条路更像是“在包裹上贴快递单”，第三条路则是“把快递单上的地址信息直接编进产品本身的唯一ID里”。那接下来要解决的问题就变成了：究竟哪些位置允许你打这个ID而不翻车？
3. 实操视角：设计一个不影响功能的水印需要哪几步
这部分我不讲抽象概念，直接按我做过类似验证项目时的流程走一遍。假设你已经有一个AI设计的候选蛋白，比如一个能结合特定抗原的结合蛋白，现在要往它序列里加水印，目标是不改变表达量、不降低亲和力、不改变热稳定性。以下四步是核心。
3.1 第一步：找对可动的“安全区”
不是蛋白序列里随便挑几个位点都能塞东西。如果替换发生在折叠核心或结合界面上，哪怕只改一个氨基酸，整个结构都可能散架。安全区一般优先选三类：
- 蛋白表面的柔性环（loop），尤其是远离活性位点和结合界面的短环；
- 序列末端附近，但N端会影响信号肽切割效率，C端可能改变稳定性，所以不是无脑选；
- 进化上不保守的区域。如果你能找到同源家族序列比对，那些在不同物种里“什么氨基酸都有”的位置，往往是最安全的。
实际操作时，我会先用AlphaFold2或ESMFold预测结构，再用Rosetta做饱和突变打分，筛出那些“换成任意氨基酸都几乎不影响整体能量”的位点。这一步听起来简单，但特别考耐心。很多人偷懒只看B-factor或者说温度因子高就判定为柔性区域，结果把水印塞进了一个连接β-strand的受力loop，表达倒是正常，但蛋白熔解温度掉了十几度，功能直接废了。
我总结的一个经验是：安全区至少要满足两个条件——你替换进去的水印氨基酸侧链朝外，而且不与周围残基形成新的氢键网络。侧链朝内容易造成空间冲突，形成新氢键则可能误导折叠中间态。
3.2 第二步：把水印编码成“氨基酸短句”
水印信息本身要转成氨基酸序列。这一步不能直接用ASCII码，因为很多氨基酸组合会有偶发问题，比如连续疏水氨基酸容易形成聚集体，连续带电荷氨基酸可能破坏局部pH环境。常见的做法是给每个字符定义一个“氨基酸字母表”，比如用20种氨基酸对应20个不同的数值，然后结合纠错码把水印信息编码成一段8到20个残基的短肽。
理论上水印越短，功能越安全；但太短，解码时信噪比不够，别人拿错序列也能撞上相同模式。我测试下来的平衡点通常在12到16个残基之间。如果你要记录的信息更多，可以分成两段，分别塞在两个独立的柔性环区域，避免单个区域改动过大。
编码时还有几个原则：尽量避开甲硫氨酸和半胱氨酸，避免产生新的起始翻译位点或误配二硫键；尽量保证亲水残基占多数，保证水印片段暴露在水相表面；不要连续使用三种以上强疏水残基，否则容易引出免疫原性或聚集问题。
3.3 第三步：结构预测与稳定性校验
水印肽段设计出来后，把它替换到候选位点上，重新做结构预测和能量评估。这一步的关键不是单看pLDDT分值，而是要看替换前后的结构一致性。我会同时跑三件事：
- AlphaFold2预测替换后的结构，对比原始结构，算RMSD。核心区域的RMSD如果超过0.5Å，就要警惕；
- Rosetta的ddG计算，看替换导致的折叠自由能变化。ddG大于1.5 kcal/mol的位点直接弃用，因为那基本意味着折叠稳定性有明显损失；
- 分子动力学短时间模拟，比如50纳秒，观察水印区域是否始终游离在表面、没有诱导暴露疏水核心。
有条件的团队还可以跑一下Z-score、克莱默函数等蛋白稳定性描述符，用多个指标交叉判断。因为单一模型很可能“看着没问题”，实际上某个关键疏水残基从球体内部露出一角，后来实验做出来才发现稳定性很差。
3.4 第四步：实验表达与功能回测
计算层面的验证过完，最终还得靠实验拉一下功能。“不影响功能”不能只靠软件打分，而是要去测。我建议至少测三项：
- 表达量和可溶性：通常用一个小的His标签做Ni柱亲和纯化，看产量是否和未加水印的原始蛋白一致；
- 热稳定性：用差示扫描荧光法测Tm值，偏差在正负2°C以内算可接受；
- 生物活性：如果是一个结合蛋白，用表面等离子共振或生物膜干涉测结合常数，KD值不能掉一个数量级以上。
这里有一个特别容易被忽略的点：不要让水印序列影响翻译起始效率。很多人在设计水印时只关心蛋白质序列，忘了在基因合成时水印片段对应的mRNA二级结构可能很强，导致核糖体前进卡壳，表达量骤降。遇到这种情况，不一定要换水印内容，可以通过同义密码子稀释二级结构，但这就回到了第一部分说的DNA层面问题，说明水印设计其实需要把DNA和蛋白两个维度同时考虑进去。
4. 验证水印质量的核心指标与测试方法
一个水印设计完之后，怎么判断它合格不合格？我平时会用五项指标来评估，缺一项都容易在后期翻车。
4.1 五项关键指标
第一是功能保守性，也就是原生蛋白的活性、稳定性、表达量不出现显著下降。这是底线。第二是可检测率，在正确定位信息的前提下，能不能从纯序列中稳定解码出水印内容。第三是误检率，随便从数据库里捞一万条天然蛋白序列，有多少条会被误判成“含DeepMind水印”，这个数字越低越好。第四是稳健性，把水印蛋白序列人为截短、加突变或者做重组，还有多少比例能保持可读。第五是不可去除性，如果要抹掉水印，必须破坏蛋白本身的功能或结构，真正实现“去水印即损坏”。
其中我会特别看重稳健性。因为蛋白质序列在现实传播中几乎一定会经历突变。比如基因合成公司做密码子优化、实验室为了表达方便加个点突变、甚至数据库提交时截断信号肽，这些操作都会改变序列。如果水印是一整段连续序列，任何一位突变都会导致解码失败，那这个水印就太脆了。更合理的做法是让水印以冗余方式分散编码，比如采用重复片段、同位点双备份，或者类似纠错码的方式，即使有一两个残基发生改变，依然能还原出原始来源信息。
4.2 一个完整的验证流程示例
我做一个水印验证时通常会跑两轮。第一轮是纯计算验证：把水印方案发给另一个没有参与设计的人做盲测，让他只通过我提供的解码算法，从一个含1000条蛋白序列的混合库里找水印痕迹，最后统计检出率和误报率。第二轮是湿实验验证：把水印蛋白和原始蛋白同时放进同一个表达体系中，跑平行三组，分别测产量、Tm、活性，再用双向方差分析看差异有没有统计学意义。
这里最让我意外的是，有一轮盲测里，解码人没有拿到水印的完整长度信息，只拿到“某段序列的特定位置会有一个模式”的提示。结果他在30条序列里找出了27条，但另外把两条天然蛋白也误判了。后来排查发现是我用的氨基酸字母表太常规，编码后的片段和某些天然短肽容易混淆。从那以后，我每次都会刻意把自己设计的字母表替换掉几个高频氨基酸的组合，降低和天然蛋白序列的偶然碰撞。
4.3 各指标对应的实测手段
下面这张表是我在实际验证中习惯使用的对照方式，可以直接作为设计验收清单的底稿。
| 指标 | 主要测试方法 | 通过标准 | 常见坑 |
|---|---|---|---|
| 功能性保留 | 表达量、Tm、亲和力/酶活检测 | 与原始蛋白相比差异不显著 | 只看序列，忽视翻译起始效率 |
| 可检测率 | 解码算法从已知水印序列中还原信息 | 不低于95% | 水印太短导致信息冗余不足 |
| 误检率 | 大规模天然蛋白库盲测 | 低于0.1% | 字母表过于常规，和天然短肽重合 |
| 稳健性 | 人为引入点突变后重新解码 | 保留50%以上可读 | 水印只存在于单一位点 |
| 不可去除性 | 尝试替换/删除水印区域后评估功能 | 去掉水印后功能显著变化 | 水印落在不影响折叠的末端标签上 |
看到这里你应该也明白了：水印设计不是“写一段字符串粘上去”那么简单。它本质上是一个多目标优化问题，在最大信息量、最小功能扰动、最强稳健性之间找平衡。很多人第一次做失败，几乎都是因为把功能指标和水印信息量同时拉满，结果没有可行解。
5. 踩坑实录：我在这类项目里吃过的教训
这一节专门写坑。我做过几个类似的项目，算是在这个方向上踩出了一个相对完整的“雷区地图”，分享出来希望你能少走弯路。
5.1 水印序列不是越长越安全
这是最常见的一个直觉误区。很多人会想，我想让水印更可靠，那就多塞几个氨基酸进去，信息冗余多一点，解码不容易出错。但实际上，水印序列越长，它和蛋白骨架之间产生扰动的概率就越大。尤其是当它超过20个残基后，几乎不可避免会和相邻二级结构元件发生相互作用，原本的柔性环会被“撑大”，导致蛋白表面构象偏移。
我踩过最典型的一次：把一段18个残基的水印塞进一个连接α-螺旋和β-折叠的loop里，计算预测看起来完全稳定，但是实验表达时蛋白形成包涵体，可溶性蛋白产量几乎为零。后来把水印缩到9个残基，删掉了一段带正电荷的尾巴，产量恢复到了原来的80%。所以教训是：如果必须塞长水印，宁可分成两段短水印分别放在两个独立环上，也不要集中堆在一处。
5.2 “保守替换”不等于零风险
设计水印时，很多人会用一个取巧思路：找同源序列中保守性高的残基，然后只替换成性质类似的氨基酸，这样看似不影响功能。但保守替换在计算层面没问题，不代表在水印场景里没问题。因为你要替换的不是一个残基，而是连续的一段残基。一段连续区域里哪怕每个位点单独看都保守，组合起来也可能改变局部主链骨架的柔性。
更麻烦的是，这种连续替换可能影响蛋白的翻译折叠早期事件。新生肽链在核糖体出口折叠时，较早出现的局部结构会引导后续折叠方向。如果水印区域恰好位于某个早期折叠成核位置，即使最终结构预测没问题，体内折叠效率也会下降。所以我现在的习惯是：无论多保守的替换，最终都要跑一轮共翻译折叠相关的二级结构预测，不要只盯着AlphaFold输出的最终三维结构。
5.3 水印位点不能只看B-factor
B-factor高不等于这个地方随便改。这个坑我印象特别深。有一个蛋白的表面loop，在多个晶体结构中都没看到电子密度，B-factor高到离谱，大家都默认它是“乱跳的区域”。我把水印放进去了，结果蛋白在表达后出现明显降解，原因就是这个loop虽然表面看很柔性，但它其实和另一个结构域之间有动态接触，插入水印后干扰了接触界面。
从那以后，我选择位点时不再只看结构文件里的B-factor，而是更看重分子动力学模拟里残基的均方根波动。如果一个区域在不同模拟时间点的构象变化很大但始终维持局部折叠，那它可以放水印；如果这个区域只是“飘在外面”没有任何约束，那它多半还承担着尚未被标注的模糊作用，最好别动。
5.4 模型验证一票否则，别信经验判断
有时四个验证指标里有两个极好，两个勉强压线，你会很纠结能不能上。我的建议是：只要有一个硬指标差得明显，这个水印就废掉，不要觉得“平均分还行”就硬推。因为实验验证成本远高于计算验证成本。你为了省几个小时的计算时间，最后可能要多花两周做表达纯化和活性检测，非常不划算。
比如我之前设计过一个掺了非天然氨基酸类似物的水印，计算折叠能量很低，结构预测也很漂亮，但是实验时发现这个非天然氨基酸在常用的大肠杆菌表达体系里根本没有对应的tRNA，导致翻译提前终止。这类问题如果早一点在数据库里搜索稀有密码子或者非标准氨基酸的使用记录，完全可以避免。
5.5 常见问题速查表
| 现象 | 可能原因 | 处理方案 |
|---|---|---|
| 水印蛋白表达量骤降 | 水印对应mRNA形成强二级结构 | 用同义密码子优化，降低翻译障碍 |
| 蛋白可溶性差 | 水印疏水残基过多，引导聚集 | 把连续疏水位点替换成亲水氨基酸 |
| Tm下降超过预期 | 水印干扰了折叠核心附近的氢键 | 更换位点，换到表面柔性环 |
| 水印解码率不稳定 | 每段样本突变太多 | 增加重复编码，引入纠错逻辑 |
| 水印误检率高 | 字母表与天然序列碰撞 | 减少常用氨基酸组合，提高特异性 |
| 去掉水印后蛋白功能不变 | 水印放在不关键区域 | 说明水印可以不破坏功能，但也易于抹除，需增加分布式冗余 |
这些坑并不是每一个都能通过教程完全避免，因为它们高度依赖你的具体蛋白体系。但如果你在动手前把安全区筛选、稳定性和解码设计这三点抠细，80%的问题至少能在计算阶段暴露出来。
6. 水印之外，AI蛋白可追溯体系的边界
聊完实操，再说说我对这件事更宏观的判断。DeepMind这次把水印推向台前，最大的意义不是它发明了某一种具体的编码方式，而是它把“AI蛋白需要原产地标签”这个概念从一个学术讨论变成了一个行业默认选项。将来你打开一个蛋白质数据库条目，看到的不光是序列和结构，可能还会自动附一段“来源验证码”。这就像现在的软件供应链里，每个开源包都有哈希值和签名一样，虽然不能百分百保证安全，但至少让每一个环节都有了追责基础。
但水印绝不是万能药。它只能做到“让来源可追溯”，没法做到“让恶意者无法逃逸”。如果一个人拿到带水印的序列，用序列设计模型做几十轮定向突变，把水印区域逐步破坏掉，理论上还是有可能消除痕迹。我个人的看法是，水印需要和基因合成公司的序列筛查配合使用才更有价值。合成公司在接到订单时如果同时做生物安全数据库比对和水印解码，就能大概率识别出那些试图绕过监管的恶意序列。单独靠水印，它只是一串标记；水印加上行业共用的解码数据库，它才能真正变成一张监管网络。
还有一点需要提，水印也会引发关于“认知负担”的争论。对纯科研场景来说，蛋白数据库里的序列应该是干净、自然、不受人为设计痕迹污染的。如果大量AI蛋白被塞入水印，会不会影响基于进化信息的天然蛋白研究？比如“同源蛋白”注释可能会被水印区域干扰，如果把水印当作真实的功能够选位点，那就麻烦了。所以理想的水印方案，应该是在提交数据库前有一个“水印剥离说明”，计算端能自动区分哪些序列区域属于设计标记，不影响后续的进化分析和结构比对。
这个领域的标准目前还在快速变化中。DeepMind先走出这一步，后续大概率会有更多AI蛋白设计团队跟进。但对于我们这些做实际项目的人来说，水印问题的核心逻辑就是两句话：第一，给蛋白加信息，不能拿功能去换；第二，能被人读到的水印，同样也能被人攻击，所以永远不要只依赖单层保护机制。我会在项目初期就把溯源需求拆成“编码+解码+审计”三个模块，而不是到最后才补一个标签。
最后再分享一个做技术选型时的小经验：设计水印之前，先想清楚你要防的是谁。如果是防止误用和无意识的来源丢失，简单的水印就够了。如果是防止恶意篡改和逃避监管，那么需要的是多层冗余水印，甚至还要加入序列生成日志的上链方案。别一上来就追求最强的不可去除性，因为那通常意味着更大的功能扰动风险。先把源头可追溯建立起来，再随着行业共识一点点收紧规则，这条路比一步到位的方案要稳妥得多。
