谷歌开源 HEIR 编译器，推动同态加密私有 AI 推理实用化

今天，我们很高兴向大家介绍HEIR——这是我们为隐私计算工具库（Private Computing Toolkit）新增的一款强大工具。HEIR是一款开源编译器，可实现基于密码学安全的私有AI推理。

同态加密

随着AI技术发展带来诸多新价值，平衡隐私与安全成为首要关切。端到端加密这类常规防护手段存在取舍：虽能保护用户数据免遭泄露，但服务提供商无法开展依赖数据的功能，比如垃圾信息或病毒检测。医疗、金融等关键领域对这类风险更为敏感，严格的监管也限制了机构间的数据共享。本地处理等替代方案虽能实现相同功能，却受限于本地设备性能和服务提供商的知识产权（IP）敏感性——将专有AI模型部署到设备上，存在模型泄露的风险。

解决这些问题的方案是同态加密。这是一项日趋成熟的技术，从根本上打破了上述取舍困境：它允许直接对加密数据进行计算，服务器可处理密文并返回加密结果，全程不会暴露任何底层信息。例如，云服务可提供内容推荐，却无法查看用户的特征数据。这绝非夸大其词：本文展示的其中一个演示案例正是如此。尽管同态加密存在一定的成本开销，但它将“功能/隐私”的取舍转化为成本问题，而目前同态加密的成本正快速下降。

谷歌在隐私技术领域的创新历程——从差分隐私、私有集合成员身份验证，到私有信息检索和谷歌云安全飞地——始终以保护用户数据为核心。同态加密是我们为隐私计算工具库增添的又一强力工具。与私有信息检索类似，同态加密的高安全与隐私保障完全基于密码学，而非硬件方案。不过，要将现有程序高效改造为适配同态加密的版本，需要一支密码学专家团队才能完成。

关于HEIR

为攻克易用性难题，充分挖掘同态加密的潜力，谷歌的研究人员与工程师打造了HEIR编译器项目。HEIR（同态加密中间表示，Homomorphic Encryption Intermediate Representation）是一款面向同态加密的开源编译器工具链与开发平台，尤其擅长将针对明文数据训练的AI模型，转换为可处理加密输入的版本。我们的愿景是将HEIR打造为“一键式”解决方案，让非专业人士也能在生产应用中集成加密推理功能。

自2023年公布相关规划以来，HEIR已获得同态加密社区的广泛认可。我们与多家同态加密硬件加速器厂商展开合作，包括Belfort、Niobium、Cornami和Optalysys。合作成果已体现在下方演示案例中，我们计划在近期展示这些加速器带来的延迟优化效果。HEIR同时成为了高效的研究平台：密码学研究者可基于HEIR开展针对性优化，借助现有基础设施完成测试、基准测试与对比工作。目前，我们已与佐治亚理工学院、卡内基梅隆大学、加州大学圣巴巴拉分校、伊利诺伊理工大学、普渡大学、爱丁堡大学、清华大学等机构达成合作。截至目前，基于HEIR的同行评议论文已有4篇，更多论文正在筹备中，HEIR也已获得大量引用。

HEIR的应用场景

为展示同态加密的发展成果，我们分享四个私有推理应用案例。所有案例均由HEIR编译完成，延迟数据基于单线程CPU测试。所有示例的源代码可在我们的GitHub仓库中获取。

• 深度学习推荐模型：与Belfort Labs、LG和纽约大学合作开发。
• 信用卡欺诈检测：与Niobium和hardshell.ai合作编译了一款信用卡欺诈检测模型。
• 威胁入侵检测：与Niobium合作编译了Kitsune加密网络流量异常检测系统。服务提供商可借此检测异常，且无需获取网络数据包的内容。
• 热词检测器：与Belfort Labs合作编译了一款热词检测模型，可让音频触发式AI代理识别热词，同时保护音频记录的隐私。

随着软件行业在AI浪潮中不断适配安全与隐私需求，我们的研究团队正致力于让同态加密更易开发、运行更快，并在全行业实现广泛普及。