Google DeepMind、AI設計タンパク質に透かしを埋め込む手法を発表

何が発表されたのか

GoogleのDeepMindチームは、AIが設計したタンパク質に透かしを埋め込む手法を発表した。背景にはバイオセキュリティの課題がある。AIによるタンパク質設計では、プラスチックを分解する酵素や毒タンパク質を阻害する設計など、実用的な成功例が生まれている。一方で同じツールは、毒素の作成やウイルスタンパク質の挙動の改変にも使われうる。既存のDNA配列スクリーニングは、AIが設計したタンパク質を検出できない。誰もそれを脅威と特徴づけられていないためだ。

そうしたリスクが指摘されてから約1年、有効な対策は明らかになっていなかった。今回の研究は、その空白を埋める候補としてタンパク質の透かしを提案する。タンパク質配列そのものに透かしを入れ、かつタンパク質の機能を損なわない点が特徴とされる。信頼できる研究者が設計した新規タンパク質を識別できるようになれば、それ以外を重点的に精査できる。

なぜ透かしを入れられるのか

この研究は、GoogleがAI生成のデジタル素材に付与する透かし技術SynthIDを土台にしている。SynthIDは、AIが下す選択の確率にわずかな偏りを与え、その偏りを生成物全体に系統的に分散させる仕組みだ。エンコード方法を知らなければ透かしを識別できず、除去も難しいとされる。画像であればエクスポートやリサイズを経ても透かしが残る。

しかしタンパク質は画像とは条件が大きく異なる。タンパク質は20種類のアミノ酸だけで構成され、そのうちのどれも構造の維持や触媒活性に必須になりうる。化学的に似たアミノ酸（ロイシンとイソロイシンなど）がある一方で、電荷が逆のものもある。アミノ酸の変更が許される領域と、わずかな違いでも機能を失う領域が混在している。加えてタンパク質は小さく、500アミノ酸あればかなり大きい方で、透かしを隠す余地は画像のピクセル数に比べてはるかに少ない。

仕組みを理解するにはタンパク質の化学を少し知っておくとよい。アミノ酸は炭素2つと窒素を中心とする共通部分を持ち、それらが連なって主鎖を作る。各アミノ酸には側鎖がぶら下がり、その性質が立体構造を決める。Googleのチームは、一般的なAIタンパク質設計ツールであるProteinMPNNを出発点にした。ProteinMPNNは2段階で動き、まず別のツールが適切な主鎖の配置を決め、次に主鎖に沿って1アミノ酸ずつ側鎖を配置していく。この過程にSynthIDの派生版であるSynthIDBioが介在し、鍵（暗号鍵に似たもの）とそれまでに選ばれたアミノ酸の情報から次の候補を提案する。ProteinMPNNがその候補を機能的かどうかで判断し、不適なら却下する。結果として透かしは配列全体にランダムに分散するため、検出は単純なyes/noではなく、鍵を使って配列全体を走査し、SynthIDBioが提案するアミノ酸が実際にどれだけ現れるかを統計的に測る作業になる。Googleはその検出用ソフトも開発したという。

機能は保たれるのか

問題は、透かしを入れたタンパク質が実際に機能するかどうかだ。チームは、これまでAI設計の標的とされてきた主要な天然タンパク質に物理的に結合するタンパク質を、この仕組みで設計した。透かし入りの版も意図した標的に問題なく結合したという。触媒活性を見つけるテストほど厳密ではないが、より複雑な設計課題でも深刻な問題が起きると考える理由はないことを示唆するとされる。

用途はバイオセキュリティにある。DNAを合成する事業者は通常、注文された配列がウイルスの一部や毒素タンパク質などをコードする能力を持たないかをスクリーニングしている。しかし既知の配列に似ていないタンパク質、つまりAI設計でありうるものについては、脅威を評価できない。大学や大手バイオ企業のような信頼できる機関から鍵の提供を受けていれば、未知のタンパク質が信頼できる出所のAI設計かどうかを素早く判定できる。そうなれば、信頼できないもの、とくにAI設計らしいのに信頼できる出所でないものへ、評価の労力と資源を集中できる。

残る課題と限界

研究チーム自身が複数の穴を指摘している。まず、鍵の配布と維持の仕組みが安全でなければ、システム全体の安全性もそこまでになる。非常に短いタンパク質は透かしのアミノ酸を十分に含められず、識別できない可能性がある。透かしのない配列を付加して希釈する、たとえばAI設計タンパク質を天然の蛍光タンパク質と融合させるといった手口も考えられる。

ProteinMPNNに依存しないAI設計ソフトも多数ある。一部は「1アミノ酸ずつ」という同様の方式を採るためSynthIDBioと統合しやすいが、すべてではない。Googleが他の統合方法を確立するまでは、すべての設計者が透かしを入れられるわけではない。さらに検出は統計的な判定なので、閾値の設定が偽陽性と偽陰性の量を大きく左右する。

元の形のまま実務でとくに役立つかは不明だと原文は述べている。それでも、この発想が実際に機能すること自体が興味深いとしている。AI業界の少なくとも一部が、リスクを抑える方法を考えていることが分かる点も評価されている。論文はNatureに掲載され、DOIは10.1038/s41586-026-10965-yである。