AIが作ったタンパク質に「透かし」を入れる技術、狙いは生物兵器への悪用の抑止

ネットで流れてきた写真が本物なのかAI製なのか、見分けがつかない場面が増えました。

この「本物かどうかを見分けたい」という悩みが、いま生命科学の現場にも持ち込まれています。

タンパク質の立体構造を言い当てるAI「AlphaFold 3」と、新しいタンパク質を設計するAIがそろい、自然界に存在しなかったタンパク質を生み出せるところまで来ました。

新しい薬にも生物兵器にも使われうるだけに、AIが作ったタンパク質の配列や構造がどこから来たのかをたどることは、ますます重要になっています。

そこで研究チームは、設計されたタンパク質のアミノ酸の並びと立体構造そのものに、目印を埋め込む方法を考えました。

しかし、目印を入れてもタンパク質の働きは落ちないのでしょうか。そして、その目印は本当に役に立つのでしょうか。

この研究はグーグル・ディープマインドらにより報告されました。

研究の詳細は、グーグル・ディープマインドらにより、2026年9月30日付で学術誌『Nature』に掲載されました。

AIが作る「見たことのない並び」は、検査の網をすり抜けかねない

AlphaFoldのタンパク質構造データベースが作った、ヒトのタンパク質ZNF555の立体構造の予測モデルです。アミノ酸の並びから、このような形が言い当てられます。 / Credit: Unknown authorUnknown author / Wikimedia Commons（CC BY 4.0）

タンパク質を扱うAIにとって大きな節目は、2020年に訪れました。

2020年に公開された AlphaFold は、アミノ酸の並びからタンパク質の立体構造を言い当てる道具でした。

タンパク質は折り紙のように折りたたまれ、できあがった形がその働きを決めます。

ヒトの遺伝子NDNFが作るタンパク質の推定構造で、青と緑の2つの領域に分かれて描かれています。この形は、遺伝子のアミノ酸の並びをもとに割り出されたものです。 / Credit: Alpha Fold Team / Wikimedia Commons（CC BY 4.0）

この形を読み解く技術は、2024年のノーベル化学賞の対象になりました。

そして同じ技術は、これまで誰も見たことのないタンパク質を新しく作る方向にも扉を開きました。

画期的な新薬づくりに使える一方で、免疫やワクチンをすり抜けるウイルスのタンパク質のような使い道も心配されています。

「良いことに使えるものは、悪いことにも使えます」と、ジョンズ・ホプキンス大学の生物物理学者ジョージ・ローズ名誉教授は言います。

厄介なのは、いまの危険物の検査が「すでに知られている危険なものと配列がどれだけ似ているか」で見分けている点です。

AIは、人類がまだ目にしたことのない並びを平気で出してきます。

似ていない並びをどう見分けるかが、この方法の課題になります。

だからこそ、配列や構造が「どこから来たのか」をたどる手がかりが必要になっていました。

では、アミノ酸の並びにどうやって目印を隠すのか

タンパク質の立体の形を、リボンのような線で描いた画像です(モータータンパク質)。設計プログラムは、このような望みの立体の形を与えられると、その形に折りたたまれるアミノ酸の組み合わせを選び出します。 / Credit: Oregon State University / Flickr（CC BY-SA 2.0）

研究チームが提案した一群の手法は SynthIDBio と呼ばれ、その一つ目は配列に目印を埋め込むものです。

土台になったのは、ProteinMPNN という配列を設計するプログラムです。

利用者が望む立体の形を与えると、その形に折りたたまれるアミノ酸の組み合わせを選び出してくれます。

同じ形を作る並びは何通りもあり、プログラムは一か所ずつ、候補の中から確率的に選んでいます。ここが鍵になります。

SynthIDBio-sequence は、この選び方にごくわずかな偏りを混ぜ込みます。

直前の並びと外部に出さない秘密の鍵の両方から乱数を作り、それを使って候補のアミノ酸どうしを「トーナメント戦」させるのです。

AIがアミノ酸を一つずつ選ぶときに、秘密の鍵を使って勝ち負けを決める流れの図です。選ばれた候補が積み重なることで、配列全体に薄い目印が残るところを見てください。 / Credit: ナゾロジー編集部（編集部が作成した図、論文の図1(Stutz et al., Nature (2026)、CC BY 4.0)をもとに作成）

勝ち上がった候補が採用され、その積み重ねが、配列全体に薄く広がった署名になります。

鍵を知っている人は、その並びが偏りの下で生まれた可能性の高さを計算できます。

【これまでの研究】

グーグル・ディープマインドの研究チームは以前に、大規模言語モデルが書いた文章に目印を入れる SynthID-Text という仕組みを報告しています。

実際のサービスで Gemini の応答を大規模に調べた実験でも、目印を入れて文章の質が保たれることを確かめています。

今回の配列への目印は、その文章向けに作られた「トーナメント方式」の選び方を、そのままアミノ酸の並びに持ち込んだものです。 （関連研究）

ただし、目印のために薬としての働きが落ちてしまえば、誰も使いません。

そこで研究チームは、相手にくっつくタンパク質を実際に作り、結合の強さを測る試験に回しました。

標的は3つで、新型コロナウイルスが細胞に取り付くときに使う部分、血管内皮増殖因子A(VEGF-A)、プログラム細胞死リガンド1(PD-L1)です。

新型コロナウイルスのスパイクタンパク質を、横から見た向きと90度回して上から見た向きで並べた図です。結合の試験では、このタンパク質のうちウイルスが細胞に取り付くときに使う部分が、3つの標的の一つになりました。 / Credit: 5-HT2AR / Wikimedia Commons（CC0）

それぞれの標的について、くっつくことが分かっている15個の骨格を使い、目印ありと目印なしの両方で配列を引き直しました。

目印ありと目印なしの配列を同じ条件でつくり、くっつく強さを比べた試験の流れの図です。同じ骨格から両方をつくって測り、差が出るかを調べた点が見どころです。 / Credit: ナゾロジー編集部（編集部が作成した図、論文の図2(Stutz et al., Nature (2026)、CC BY 4.0)をもとに作成）

測定の結果、結合の強さの分布も、うまくくっついた割合も、両者で目立った差は見られませんでした。ただし、くっついたと見なす基準をゆるめて数えたときには、目印なしのほうがうまくくっついた割合が高いという差も出ています。

目印の検出もほぼ完璧な精度だったと報告されています。配列と構造の二つの手法についての試験では、目印入りのタンパク質の99%以上を拾い上げ、目印の入っていないものの99.9%を正しく見送りました。

透かしを見分ける検査の成績を示した図です。どちらの帯もほぼいっぱいまで伸びていて、取りこぼしも誤りもごくわずかだと分かります。 / Credit: ナゾロジー編集部（編集部が作成した図）

つまり、働きをそのままにしたまま、出どころの分かる印を仕込めることが、実験室の水準で示されたわけです。

AIが入れた透かしは、AIが消せてしまう

立体構造に目印を入れ、あとから読み取るしくみの図です。ファイル形式によって数値が丸められても目印が残るように、ずらす大きさに決まりがあるところに注目してください。 / Credit: ナゾロジー編集部（編集部が作成した図）

もう一つの手法は、配列ではなく立体構造そのものに目印を入れます。

SynthIDBio-structure は AlphaFold 3 を微調整したもので、構造を予測するついでに、原子の位置をほんのわずかだけずらします。

ずれは、見た目には歪みと分からない程度に小さく保たれます。

それでも検出する側は、原子どうしの距離やねじれ角という「内側の寸法」を読むので、構造を回したり動かしたりしても目印は消えません。

研究チームは、さらに厄介な現実にも手を打っています。構造のファイル形式として広く使われるCIFは、原子の座標を通常は小数3桁までに丸めるのです。

そこで研究チームは学習の段階で座標に雑音を混ぜており、一般的なファイル形式で保存しても目印が残るようにするには、0.001オングストローム以上の摂動が必要だったと報告しています。

ここまでは成功談ですが、弱点は研究チーム自身も論文で認めています。

青いふたの付いた試料の容器が、実験室に並べられています(イメージ写真)。目印が消えるかどうかだけでなく、攻撃を受けた設計が相手にくっつく力を保てるかどうかも、こうした設計のデータをもとに見積もられました。 / Credit: Photo by Polina Tankilevitch on Pexels（Pexels のライセンス）

38,396個の結合タンパク質を使い、配列を引き直すという攻撃を試したところ、この方法で目印はほぼ消えてしまいました。

ただし、攻撃する側も無傷ではありません。配列を引き直すと、狙った相手にうまくくっつく設計の割合も落ちてしまい、AIによる構造のふるい分けを併用しない場合、VEGF-A向けではその割合が3%まで下がると見積もられています。

構造の目印も、座標に雑音を足すなどして取り除けると専門家は指摘します。

しかも検査する側には、目印が「最初から無い」のか「消された」のかを区別する手立てがありません。

マイクロソフトの応用科学者ブルース・ウィットマン氏は、二つの手法を「効果はあるが、もろい」と評しました。

もう一つの壁は、タンパク質の予測や設計のソフトの大半が、誰でも中身を書き換えられる形で公開されていることです。

紙の透かしの模様を写し取った図です。紙の透かしのように誰が見ても通じる印にするには、業界全体の足並みと標準づくりが要るといいます。 / Credit: Unknown authorUnknown author / Wikimedia Commons（Public domain）

ウィットマン氏は、目印が業界の標準になるには、まず中身を閉じたモデルへ軸足が移る必要があると述べています。

スイスのシュピーツ研究所の専門家マックス・ブラックマン氏は、別の角度から水を差します。

身元が後から分かることは一部の犯罪者を思いとどまらせるかもしれないが、新しいタンパク質で生物兵器を作ろうとするテロリストは、攻撃が成功した後に身元が割れることをあまり気にしないだろう、という見立てです。

ローズ名誉教授はもっと率直で、「うまくいかないと確信している」と語りました。

便利な技術が生まれたあとで、それを規制で封じ込めようとして成功した例はほとんどない、というのが同氏の見立てです。

一方で、アイルランドのマンスター工科大学のロイ・スレイター教授は、実際には設計の出どころをたどったり、追加の検査に回すべき人工のタンパク質に印を付けたり、作り方についての誤解を招く主張を減らしたりするのに役立つ可能性があると見ています。

白い防護服とゴーグルを着けた研究者が、緑色の液体の入った試験管を2本かざしています(イメージ写真)。人工のタンパク質に印が付いていれば、追加の検査に回すべきものを選び分ける手がかりになると期待されています。 / Credit: Photo by Mikhail Nilov on Pexels（Pexels のライセンス）

人工の設計が通常のデータベースに紛れ込むのを防ぐ、地味な整理の役にも立つかもしれないといいます。

研究チーム自身も、これは技術が成り立つことを示した実証であり、実際に使うには業界全体の足並みと標準づくりが必要だと書いています。

お札の透かしが偽札を一枚も作らせないわけではないのと同じで、この目印も単独の防壁ではなく、何重かの防御の一枚目として置かれるものなのでしょう。

ただ、VEGF-AやPD-L1にくっつく設計タンパク質で、結合の働きを損なわずに署名を入れられることは示されました。実際に使うには、技術のさらなる工夫も含めて、まだ越えるべき段階が残っています。

AIが入れた印をAIが消すというので、結局いちばん忙しいのはAIになりそうですね。

ここからは、電子透かしをもっと知りたい人へ

電子透かしとは、データの中に目印となる情報をそっと埋め込んでおく技術です

紙をすかして見たときに現れる「Holland」の透かしです(上下と左右が反転しています)。電子透かしという呼び名は、こうした紙の透かしになぞらえたものです。 / Credit: Mixed authorship. Paper mills – mostly the 19th century, mostly Europe. / Wikimedia Commons（Public domain）

電子透かしは、画像や音声などのデータの中に、著作者の名前やコピーできる回数といった情報を、目立たない形で埋め込んでおく技術です。

印を付けるだけの受け身の守り方で、データを劣化させることも、利用を制限することもありません。

後から付け足すメタデータと違って、埋め込んでもデータの大きさは変わりません。

ただし、改変に強い透かしと気づかれない透かしは、片方だけなら作りやすく、両方を兼ね備えたものを作るのは難しいとされています。

逆に、ごくわずかな手直しで検出できなくなる「壊れやすい」透かしもあり、こちらはデータが書き換えられたことを見つけるのに使われます。

紙の透かし自体は古く、13世紀のイタリアに現れ、そこからヨーロッパ各地へ急速に広まりました。

身近な例では、デジタルシネマの規格に沿った映画館が、館内での再撮による盗用を抑えるために、映写のときに透かしを埋め込んでいます。

【よくある疑問】

Q. 電子透かしは目で見えるものですか？
A. 見える形のものと、見えない形のものがあります。ふだん電子透かしというときは、人が気づかないように埋め込む後者のほうを指します。

Q. 電子透かしの仕組みは、どんな流れになっているのですか？
A. 埋め込み、攻撃、検出という3つの段階に分けて考えるのがふつうです。

Q. 埋め込まれた電子透かしは、どうやって確かめるのですか？
A. 読み出しは専用の検出アプリケーションで行います。埋め込まれるのは、作成者やコピー回数といった著作権の情報が多いとされます。

Q. 文章にも電子透かしを入れられるのですか？
A. 入れられます。情報を埋め込む対象には、テキストのほか、画像や音声、動画、プログラムなどがあります。

Q. 画像の電子透かしは、加工すると消えてしまいますか？
A. 静止画向けの方式では、BMPからJPEGへといった形式の変換や、画像の一部を切り取る加工をしても検出できるとされています。画像を印刷したものからも検出できるといいます。

写真で見るタンパク質と実験室のようす

この研究の概要

発表

論文は「Function-preserving watermarking of AI-generated proteins」として、2026年9月30日付で科学誌 Nature に掲載されました。

研究チーム

著者はいずれも英国ロンドンのグーグル・ディープマインドに所属し、デビッド・スタッツ氏とアレクサンダー・コーウェン＝リバース氏が筆頭著者として同等の貢献をしています。

調べた対象

試験管での検証では、骨格1つにつき18種類の設計を用意し、元になった配列1つ、目印なし5つ、設定の違う目印入り6つずつという内訳でした。対照を除くと、目印なしが222配列、目印入りが各設定で267配列ずつ測られています。

調べ方

結合の強さは表面プラズモン共鳴という装置で測り、解離定数という数値で表しました。計算機の上での検証では、23種類の標的それぞれについて1万個の設計を作り、目印の見つけやすさを調べています。

分かったこと

目印の有無で結合の強さに統計的に意味のある差は出ず、これは順位和検定という方法で確かめられました。一方で、誤って目印ありと判定する割合を0.1%に抑えた設定では、目印が確実に見つかる設計だけを残そうとすると通過率が41.7%下がり、その分だけ候補を多めに用意する必要があると述べられています。

まだ分かっていないこと

選び方に偏りを与える設定がタンパク質の働きに響くかどうかは、計算の上での指標からは言えず、実際に作って試すしか確かめる道がないと論文は認めています。

全ての画像を見る

参考文献

Scientists can now 'watermark' AI-generated proteins to deter bioweapon creation. But will it really work? (Live Science)
https://www.livescience.com/technology/artificial-intelligence/scientists-can-now-watermark-ai-generated-proteins-to-deter-bioweapon-creation-but-will-it-really-work

コトバンク「電子透かし」
https://kotobank.jp/word/%E9%9B%BB%E5%AD%90%E9%80%8F%E3%81%8B%E3%81%97

元論文

Function-preserving watermarking of AI-generated proteins
https://doi.org/10.1038/s41586-026-10965-y

ライター

山下 浩介: むずかしい研究を、なるべく分かりやすく伝えたい。専門の言葉はふだんの言葉に置きかえて、身近な例で例える。それで「わかった」「楽しかった」と言ってもらえたら嬉しいです。
好きなのは、通学路や台所や日常の中にある科学。眠っているあいだに記憶が整理される話や、虫の鳴き方に意味がある話のように、読み終わったあとに誰かへ話したくなる研究を探しています。

編集者

ナゾロジー 編集部