内盖夫本·古里安大学（BGU）的研究人员最近发现了一种端到端的网络生化攻击——DNA注入攻击（是的你没看错，不是DNS注入），可欺骗不知情的生物学家在实验室中制造危险的毒素甚至未知的病毒。

生物黑客的远程DNA注入攻击

研究者在《自然》上发表的论文“网络生物安全，合成生物工程面临远程DNA注入威胁”（下载链接在文末）指出，过去人们认为生物黑客需要与危险物质物理接触才能生产有毒物质和病毒，但如今恶意软件或生物黑客通过“远程DNA注入攻击”可以很容易地替换生物工程师计算机上的DNA片段，通过篡改DNA序列排序，创建一个能产生毒素的DNA序列，甚至一个全新的病毒。

BGU复杂网络分析实验室负责人Rami Puzis说：“为了规范有意和无意产生的危险物质（病毒），大多数合成基因提供者会检查筛选DNA序列，这是目前针对此类攻击最有效的防线。加州是2020年第一个引入基因购买法规的州。”

“然而，在加州以外，生物恐怖分子可以从不筛选DNA序列的公司那里购买危险的DNA。”Puzis说。不幸的是，筛选指南尚未适应合成生物学和网络战的最新发展。

美国卫生与人类服务部（HHS）对DNA提供者的指导存在缺陷，因此使用通用混淆程序可以规避筛查方案，这使得筛查软件难以检测到能产生毒素的DNA。

“使用这种技术，我们的实验表明，50个混淆的DNA样本中，采用HHS指南进行筛选有16个没有检测出来。”Puzis说。

合成DNA供应链需要安全加固

研究人员还发现，鉴于合成基因工程工作流程的可访问性和自动化性，加上网络安全控制不足，恶意软件可以干扰实验室的生物流程，篡改并利用DNA分子（DNA注射攻击）。

DNA注入攻击是恶意代码改变生物工程流程的重大新威胁。攻击者可在生物工程工作流程的三个层面（软件、生物安全筛选和生物协议）中利用多个漏洞，这也凸显了在生物安全和基因编码等新环境中应用网络安全技术的机会和必要性。

软件方面，用于设计和管理DNA合成项目的软件容易受到浏览器内攻击，这些攻击可用于将任意DNA片段注入基因序列，也就是所谓的“端到端网络生物学攻击”。例如，远程黑客可能使用恶意浏览器插件“将混淆的致病DNA注入在线合成基因序列中”。

在一次概念验证攻击案例中，研究小组使用恶意软件将Cas9蛋白序列转化为活性病原体。据研究小组说，Cas9蛋白在使用CRISPR协议时，可在宿主细胞内分离出恶意DNA。

对于一个对网络安全一窍不通的生物科学家来说，DNA序列被篡改可能意味着意外产生危险物质，包括合成病毒或有毒物质。

“这种潜在攻击场景突出表明，业界迫切需要对合成DNA供应链进行安全加固防范网络生物威胁。”Puzis说道：“为了解决这些威胁，我们提出了一种改进的筛选算法，该算法考虑到体内基因编辑。我们希望，当全球地方法规实施生物安全筛查时，对DNA注入攻击的研究将为稳健、韧性DNA序列筛查以及合成基因生产的网络安全加固提供了一个研究基础。”

参考资料

《网络生物安全，合成生物工程面临远程DNA注入威胁》：

https://www.nature.com/articles/s41587-020-00761-y.epdf