SynthID Bio, DeepMind inserisce una filigrana invisibile nelle proteine progettate dall’AI

Google DeepMind ha pubblicato su Nature i risultati di SynthID Bio, un sistema che inserisce una firma invisibile nelle proteine progettate dall’intelligenza artificiale, senza comprometterne la funzione. Dopo aver marchiato testi, immagini, video e audio, la tecnologia SynthID arriva così anche alla biologia, dove l’obiettivo non è tutelare il copyright ma ridurre un rischio concreto: che un modello di design molecolare venga usato per creare qualcosa di pericoloso.

La notizia è uscita il 30 settembre e il 1° ottobre ha ricevuto copertura da diverse testate scientifiche e di sicurezza. Vediamo cosa è stato dimostrato, come funziona il meccanismo e perché i limiti dichiarati dagli stessi ricercatori contano quanto i risultati.

Che cos’è SynthID Bio e cosa ha annunciato DeepMind

SynthID è il nome con cui Google chiama la propria famiglia di filigrane digitali per i contenuti generati dall’AI. Finora si è parlato soprattutto di media: lo stesso approccio è già stato adottato da altri attori, come abbiamo raccontato nell’articolo su la filigrana SynthID applicata all’audio di GPT-Live. SynthID Bio sposta il principio su un terreno completamente diverso, quello delle sequenze di amminoacidi e delle strutture tridimensionali.

Il lavoro, descritto nell’articolo Function-preserving watermarking of AI-generated proteins, mostra che è possibile incorporare un segnale riconoscibile in una proteina progettata da un modello senza che essa perda la capacità di fare ciò per cui è stata disegnata.

Il punto chiave è proprio questo. Una filigrana su una proteina è utile solo se la proteina continua a funzionare, altrimenti nessun laboratorio la userebbe.

Come funziona la filigrana per le proteine

Secondo la sintesi pubblicata da Help Net Security e dalla stessa Nature, il sistema agisce su due livelli complementari. Il primo è quello della sequenza: DeepMind ha modificato un generatore di sequenze molto diffuso, ProteinMPNN, in modo che la scelta degli amminoacidi segua un andamento statistico riconoscibile da chi possiede la chiave di rilevazione. Per chi legge, l’idea è simile a quella delle filigrane per il testo: tra molte scelte equivalenti il modello ne privilegia alcune secondo uno schema nascosto.

Il livello strutturale

Il secondo livello riguarda la forma. I ricercatori hanno messo a punto la rete di diffusione di AlphaFold 3 in modo che le coordinate atomiche previste contengano a loro volta il segnale. Secondo quanto riportato, la firma resiste a piccole alterazioni delle coordinate e al rumore digitale, e può essere rilevata anche in proteine realmente sintetizzate in laboratorio.

Questo è importante perché una filigrana che esistesse solo nel file digitale sarebbe inutile nel momento in cui una sequenza viene inviata a un’azienda che sintetizza il DNA.

Gli strumenti coinvolti

Nel lavoro compaiono AlphaProteo, il metodo di DeepMind per progettare proteine che si legano a un bersaglio, oltre a ProteinMPNN e ad AlphaFold 3. Un secondo filone usa Evo 2, un modello genomico, per marchiare bacteriofagi, cioè virus che infettano i batteri. I test iniziali, condotti con il laboratorio di Brian Hie a Stanford e con l’Arc Institute, indicano che i fagi marchiati restano funzionanti nelle colture batteriche. Un manoscritto tecnico dedicato è ancora in preparazione.

I risultati sperimentali, dalla provetta ai tre bersagli

La parte più solida è la validazione in laboratorio. DeepMind ha testato leganti progettati contro tre bersagli: VEGF-A, coinvolto nella formazione dei vasi sanguigni, il dominio di legame al recettore della proteina spike di SARS-CoV-2 e PD-L1, legato alla regolazione immunitaria.

In tutti i casi i progetti marchiati hanno eguagliato quelli non marchiati per tasso di successo, affinità di legame e diversità naturale delle sequenze. La rilevabilità è descritta come quasi perfetta, anche se la sintesi giornalistica non riporta una percentuale precisa e qui conviene non inventarla: per i numeri esatti vale la pena leggere direttamente l’articolo scientifico.

La differenza rispetto a un semplice esercizio computazionale è netta. Qui le proteine sono state prodotte e misurate, e il verdetto è che la filigrana non costa nulla in termini di prestazioni.

Perché la biosicurezza è il vero tema

I modelli che progettano proteine stanno diventando potenti e accessibili. Basta ricordare come un altro grande laboratorio abbia mostrato di recente proteine leganti progettate da zero e validate contro quattordici bersagli su quindici. La stessa capacità che accelera la ricerca di farmaci può, in linea di principio, abbassare la barriera per chi volesse progettare molecole dannose.

Il punto di controllo più realistico oggi è lo screening degli ordini di DNA. Le aziende che sintetizzano sequenze su richiesta confrontano gli ordini con elenchi di agenti pericolosi, ma una proteina inedita progettata dall’AI può non assomigliare a nulla di noto. Una filigrana offrirebbe un segnale automatico del tipo: questo ordine proviene da un modello affidabile, dotato di salvaguardie. Secondo Nature, le chiavi di rilevazione sarebbero condivise solo con partner fidati, come proprio le aziende di sintesi.

Si tratta di un tassello che si inserisce nel lavoro più ampio sul tema, come il piano descritto nell’articolo su bioresilienza di Google DeepMind e Isomorphic Labs contro le minacce biologiche.

I limiti: la filigrana si può rimuovere

Qui entra l’onestà del quadro. Nature sottolinea che la protezione ha una vulnerabilità di fondo: chi vuole nascondere l’origine sintetica di una proteina può riprocessarla con un altro strumento di design, ottenendo una nuova sequenza che mantiene struttura e funzione ma perde il segnale. DeepMind stessa riconosce che la resistenza alla manomissione deliberata non è un problema risolto.

Per questo la raccomandazione è di non considerare la filigrana una soluzione isolata. Va combinata con metadati di provenienza, archivi centrali, mitigazioni a livello di modello e verifica dei clienti. La ricercatrice di biosicurezza Tessa Alexanian, citata da Nature, parla di un mondo nuovo e va nella stessa direzione: serve un approccio a strati.

Anche Steph Guerra della RAND vede un doppio beneficio: oltre alla sicurezza, la tracciabilità potrebbe favorire innovazione e riproducibilità scientifica, perché sapere quale modello ha generato quale proteina aiuta a replicare i risultati.

Cosa è aperto e cosa cambia per ricercatori e aziende

DeepMind dichiara che pubblicherà i metodi, renderà open source il codice e i dati in vitro e metterà a disposizione dei ricercatori i pesi dei modelli. È una scelta coerente con lo scopo: una filigrana funziona come standard solo se molti strumenti la adottano, e più a lungo resta confinata a un solo laboratorio meno è utile.

Per chi lavora con l’AI applicata alla biologia, il messaggio è che la provenienza dei contenuti sintetici diventa un requisito tecnico anche fuori dai media. Per chi segue il tema da lettore, ricorda quanto sia utile imparare a distinguere ciò che nasce da un modello, come spieghiamo nella guida su come riconoscere i contenuti generati dall’intelligenza artificiale.

Resta una domanda aperta, e riguarda gli strumenti di design non cooperativi: una filigrana funziona se i generatori la adottano, ma i modelli open source e quelli che scelgono di non marchiare restano fuori dal sistema.

Conclusioni

SynthID Bio non risolve il problema della biosicurezza, e DeepMind non lo sostiene. Dimostra però che marchiare una proteina senza danneggiarla è possibile, e questo apre la strada a una verifica automatica lungo la catena che va dal modello al laboratorio. Il vero banco di prova sarà l’adozione: quanti strumenti di design, quante aziende di sintesi e quali autorità decideranno di usare questo segnale.

Se ti occupi di AI, ricerca o sicurezza, leggi l’articolo originale su Nature e segui l’evoluzione del codice open source. Continua a seguire intelligenzaartificiale.net per gli aggiornamenti sul rapporto tra intelligenza artificiale e scienze della vita.