一个 DNA 司法证据的漏洞说明：AI 时代的关键系统不能只交付一个结果，还必须证明这个结果从哪里来、是否被修改、经历了什么过程。引子：证物袋之外的世界
一份 DNA 证据进入法庭之前，通常要经过极其严格的物理保管。样本被装进证物袋，贴上编号，封条上签字，每一次转移、每一个接触过它的人，都要留下可追溯的记录。这套被称为"证据链"（chain of custody）的制度，是现代司法体系花了上百年时间建立起来的信任基础设施。
但当这份样本被实验室仪器读取、变成一个数字文件之后，它所受到的保护，可能还不如那只装着它的纸袋。
据《华尔街日报》近期报道，美国犯罪实验室广泛使用的一类 DNA 数字分析文件，长期缺少可靠的防篡改标记。研究人员借助 Claude 辅助编写代码，在大约 45 分钟后成功修改了公开的测试文件，而修改后的文件仍能被常用分析软件正常读取、正常解析、正常出报告。报道同时强调了两点边界：目前没有证据显示这一漏洞曾被真实恶意利用；攻击者也必须先取得实验室服务器的访问权限。厂商随后发布了更新，引入数字签名机制。
这条新闻很容易被写成一个惊悚故事——"AI 可以伪造 DNA 证据"。但那是最不重要的一层。
真正值得所有做系统、做协议、做基础设施的人警觉的，是它暴露出的一个结构性问题：
司法系统用一百年时间严密保护了物理样本，却在它进入数字世界的那一刻，丢掉了封条。
而这个问题，远远不只属于 DNA。
一、旧系统相信文件，未来系统必须验证事实
过去三十年，几乎所有关键行业的软件系统，都建立在一种从未被明确写下来的默认信任上：
所以，这个结果应该可信这条推理链条在物理世界里是成立的——因为在物理世界里，伪造一个证物袋、仿制一个封条、绕过五个签字环节，成本极高。
但在数字世界里，这条链条只能证明一件事：
这个文件符合格式规范。
它不能证明：
这个文件，就是仪器最初生成的那一个。
这是本文最关键的一处区分，值得单独拎出来：
能被系统读取，不等于能被系统证明。
一个被篡改过的文件，完全可以做到：格式百分之百正确、时间戳看起来毫无异常、专业软件顺利打开、数值落在合理区间、最终报告不触发任何告警。它通过了所有检查，因为所有检查问的都是"你合不合理"，而没有一个检查在问"你是不是你"。
所以，真正的问题从来不是"数据是否合理"，而是：
数据有没有保持住自己的身份。
这个区分之所以过去不重要，是因为没人有能力、也没人有动机去做那件麻烦事。而这个前提，正在被 AI 迅速拆掉。
二、AI 没有拆掉那扇门，门本来就没有锁
必须把这一节说清楚，否则整篇文章会滑向猎奇。
在这次研究里，AI 扮演的角色其实相当朴素。研究人员本来就知道 DNA 数据是什么、知道文件里的哪些字段有意义、也清楚自己想验证什么假设。Claude 承担的是格式理解、代码生成和调试排错——它是一把更快的螺丝刀，不是那个决定要拧哪颗螺丝的人。
AI 改变的，不是漏洞是否存在，而是利用漏洞所需要付出的成本。
放在三年前，一个人想做同样的事，大致需要：读懂一种没有公开文档的二进制文件结构；自己写解析工具；反复试错定位字段；搞清楚校验方式和加密逻辑；最后还要验证修改后的文件能被下游软件接受。这是几周到几个月的工作量，而且要求一个同时懂逆向工程和生物信息学的人。
今天，大模型可以协助阅读格式、生成解析代码、快速迭代试错。45 分钟。
所以结论应该这样写：
AI 没有拆掉那扇门。那扇门从一开始就没有锁。AI 只是让更多人看懂了门是怎么开的。
这句话的商业含义比技术含义更重。
过去几十年，大量系统的"安全"，实际上并不来自严格的密码学设计，而来自一个隐性的经济假设：攻击成本足够高，高到不值得。没人懂这个私有格式、没人愿意花三个月逆向、这事太麻烦了——这些都不是安全机制，它们是摩擦力。
而 AI 的本质，就是大规模消除认知摩擦力和工程摩擦力。
AI 时代首先失效的，不一定是密码学，而是那些从未被写进协议里的默认信任。
对企业而言，这意味着一次隐性负债的集中暴露。你的系统里有多少地方，安全性依赖的不是设计，而是"应该没人会去动它"？在 AI 把逆向成本压到接近于零之后，这些地方会同时到期。
三、数字签名是地基，但地基不是房子
厂商的应对是引入数字签名。这个方向完全正确，而且几乎可以确定，未来十年会有大量关键协议把数字签名变成标配。
但如果文章停在这里，就不够严谨了。
先说签名能解决什么。最基础的证据结构其实非常简单：
+ 数字签名它能证明三件事：数据由哪个密钥持有者签发；签名之后有没有被改动；当前这份文件是否与签名时那一份完全一致。
这已经比"文件能打开"强了一个数量级。
但签名有一个致命的边界条件：它只能证明"签名那一刻的状态"，不能证明"那一刻的状态是真实的"。
设想一个最简单的绕过路径：服务器管理员先修改原始文件，再让服务器对修改后的文件签名。签名完全有效，验证完全通过，链条毫无破绽——因为篡改发生在签名之前。
所以真正的工程要求不是"要不要签名"，而是签名必须尽可能贴近事实产生的那一瞬间：
生成不可分离的原始证据包签名点每往后挪一步，中间就多出一段"无人见证的空白"。而所有的信任，最终都会在那段空白里流失。
签名的价值不只在于证明"谁同意了"，更在于证明"事实从哪里开始"。
这也解释了为什么"事后补签"在合规上有意义、在证据上意义有限。审计要的是流程留痕，而证据要的是源头绑定，这是两件事。
四、区块链真正留下来的，不一定是链
这里必须小心，因为很容易滑进另一个极端——"所有东西都上链"。
事实是：在一个实验室内部，你大概率不需要运行公链，不需要代币，也不需要共识网络。为了防篡改而引入一个分布式账本，往往是用一个复杂度更高的问题，去掩盖一个本可以直接解决的问题。
但区块链这十几年确实沉淀下了一整套极有价值的工程思想，而且这些思想可以脱离"链"独立存在：
用哈希为数据建立唯一指纹；
用数字签名绑定身份与内容；
用前后状态互相绑定，形成不可静默插入的序列；
用单调递增的序号防止重放与回滚；
用 Merkle Tree 实现高效的局部验证；
让多方能够独立验证，而不必信任同一个管理员；
让任何历史修改都必然留下可被发现的痕迹。
在绝大多数企业和机构场景里，下面这套组合就足够了：
+ 独立审计节点只有当参与方来自警方、实验室、法院、辩方律师和第三方鉴定机构，彼此之间存在结构性的不信任、且谁都不该独占"真相解释权"时，才有必要进一步引入联盟链或多方共同见证。
换句话说：
区块链真正留下来的，可能不是"所有东西都上链"，而是任何关键事实都不能只靠数据库里的一行记录来证明自己。
这句话是过去十年加密行业最有价值的遗产，而它和币价没有任何关系。
五、未来的协议，必须是"证据原生"的
现在把视野从 DNA 拉回到所有关键系统。
今天绝大多数系统之间传递的，是一个结果：
}这个结构在人类主导、流程较慢、责任可追溯到具体的人的时代是够用的。但当执行者变成 AI Agent、决策周期压缩到毫秒、调用链跨越十几个服务和三家公司时，它就彻底不够了。
未来的协议必须携带的，是一个可以被独立复验的证明包：
每一步与前一步之间如何密码学绑定这不是"加一层日志"。日志是自述，证据是他证。日志可以被写日志的人修改，而证据的核心特征是：修改它需要的代价，高于伪造它带来的收益。
这套要求会重塑一大批行业的底层协议：
领域
需要被证明的事实
医疗检测
这份报告对应的是这个患者的这份样本
自动驾驶
事故前 5 秒的传感器数据未被事后重写
AI Agent
这次工具调用得到了哪一版策略的授权
金融交易
这笔指令的原始意图与最终执行一致
工业机器人
这个动作参数来自哪次经过批准的下发
软件供应链
这个二进制文件由那份源码编译而来
司法审计
这份材料从生成到呈堂未被静默替换
它们表面上毫不相干，底层却是同一个命题：如何让一个事实在离开现实世界之后，仍然能够自证。
顺带说一句，Havenlon 在做的事情本质上也属于这个命题：不能只记录"某次执行发生了"，而要把 Intent、Policy、Approval、Evidence、Device Decision 和 Final Execution 连成一条不可被静默重新绑定的证据链。让每一次执行都能回答"你凭什么执行"，而不只是回答"你执行了"。
结语：信任的旧价格与新价格
过去，我们默认：一份文件只要能够打开，一个数据库只要能够查询，一次审批只要显示"通过"，事实就已经成立。
这种朴素信任并不愚蠢——它在很长时间里是理性的，因为破坏它的成本太高。信任本质上是一种经济计算，而不是一种道德判断。
但 AI 正在重新定价。当理解私有格式、修改二进制文件、生成攻击代码的成本持续下降，"没人会去做这件事"就不再是一个可以依赖的前提。旧的价格体系失效了，而建立在旧价格上的所有安全假设，都需要重新结算。
未来的系统不能再要求人们相信"管理员没有动过它""服务器应该是安全的""专业软件不会出错"。
它必须自己提供证明。
证明自己由谁产生，证明自己没有被替换，证明自己的每一次变化都被记录，证明最终的结果仍然绑定着最初的那份现实。
未来真正重要的协议，不只是让机器能够交换数据，而是让事实在离开现实之后，仍然能够证明自己。附：关于本文事实边界的几点说明
为避免误读，有必要明确以下几点：
研究中 AI 承担的是辅助编码与格式解析工作，修改对象是公开测试文件，而非任何真实案件的证据；
该漏洞影响的是物理 DNA 检测所产生的数字文件，不涉及"AI 伪造生物样本"；
篡改后的文件对现有分析软件而言可能难以察觉，但这不等于"任何方式都无法发现"；
目前没有证据显示该漏洞曾被真实恶意利用，且利用它需要先获得实验室服务器访问权限；
数字签名是必要的地基，但一个完整的证据系统还需要源头签名、哈希链、设备身份、可信时间与防重放机制。
参考来源：《华尔街日报》，Security Flaw Placed 30 Years of DNA Evidence at Risk of Hackinghttps://www.wsj.com/tech/cybersecurity/security-flaw-placed-30-years-of-dna-evidence-at-risk-of-hacking-1932775a
热门跟贴