Що компілятор HEIR від Google означає для запуску ШІ на зашифрованих даних?

Як працює HEIR

Гомоморфне шифрування дозволяє серверу обчислювати на шифротексті та повертати зашифрований результат. Сервер ніколи не бачить відкритого тексту. У блозі Google це подається як перехід від компромісу «здатності проти приватності» до питання витрат. HEIR (Homomorphic Encryption Intermediate Representation) — компілятор, що намагається зробити ці витрати прийнятними для звичайних інженерів.

Він бере попередньо натреновану модель, написану для нешифрованого виведення, і переписує її для зашифрованого. Криптограф не потрібен. Це заявлена візія: шлях у один клік від стандартної моделі до виробничого сервісу, який ніколи не чіпає дані користувача у відкритому вигляді. Проект анонсували у 2023 році. Сьогодні він відкритий і розміщений на GitHub.

Показники затримки у публікації виміряні на однопотоковому процесорі. Прискорювачі від Belfort, Niobium, Cornami та Optalysys інтегруються. Google обіцяє продемонструвати прискорення від цих прискорювачів найближчим часом.

Чотири демонстрації, що показав Google

Рекомендаційна модель глибокого навчання, скомпільована за допомогою HEIR, видає приватні рекомендації контенту. Роботу проводили разом із Belfort Labs і LG. Також до спільної роботи приєднався Нью-Йоркський університет. Детектор кредитного карткового шахрайства скомпільовано спільно з Niobium та hardshell.ai. Систему Kitsune для виявлення аномалій у зашифрованому мережевому трафіку скомпільовано з Niobium. Модель детекції гарячого слова скомпільовано з Belfort Labs.

Кожен демо доказує окремий сценарій. Рекомендації без перегляду ознак користувача. Виявлення шахрайства без перегляду деталей транзакцій. Виявлення вторгнень у мережу без перегляду вмісту пакетів. Голосова активація без прослуховування аудіо. Вихідний код усіх чотирьох у репозиторії.

Хто будує на цій основі

Академічні групи прийняли HEIR як дослідницьку платформу. У списку співробітників — Georgia Tech, Carnegie Mellon, UC Santa Barbara, Illinois Institute of Technology, Purdue, Університет Единбурга та Ціньхуа. Чотири рецензовані публікації побудовано на HEIR. Ще кілька у підготовці. Компілятор набрав численних цитувань.

Партнери з «заліза» створюють прискорювачі, що націлені на проміжне представлення HEIR. Названі Belfort, Niobium, Cornami та Optalysys. У публікації немає термінів поставки цих чіпів. Також немає інформації, які хмарні регіони отримають їх першими.

Де залишається тертя

Автори визнають істотні накладні витрати. Не квантують їх у доларах або ватах. Не порівнюють затримку HEIR-компіляції з нешифрованим виведенням на тому ж «залізі». Не кажуть, які розміри моделей поміщаються в пам'ять сьогодні. Однонитеві дані процесора — це базова лінія, не обіцянка.

Відправка власніцьких моделей на пристрої несе ризик витоку моделі. Гомоморфне шифрування тримає модель на сервері. Серверу все одно потрібна модель у відкритому вигляді для компіляції. У публікації немає опису потоку, де власник моделі шифрує її сам перед передачею компілятору.

Відкритий компілятор. Відкриті демо. Інтеграції з «залізом» ще не публічні. Візія «у один клік» залишається візією.