8月14日、GoogleのソフトウェアエンジニアJeremy Kunが「How Google is Making Private AI Practical with Homomorphic Encryption」と題した記事を公開した。Googleが開発したオープンソースコンパイラ「HEIR」を使い、準同型暗号によるプライベートAI推論を実用化する取り組みについて詳しく紹介されている。
「暗号化したまま推論する」というトレードオフの解消
AIサービスが普及するにつれ、プライバシーとサービス品質のトレードオフが深刻化している。エンドツーエンド暗号化はデータ漏洩を防ぐが、サーバー側がデータを見られない以上、スパム検出やレコメンデーションといった機能も提供できなくなる。かといってデータを平文で処理すればプライバシーリスクが生じる。医療・金融分野ではこの問題が特に顕著で、機関をまたいだデータ共有は厳格な規制で縛られている。
準同型暗号（Homomorphic Encryption）はこのトレードオフに対する数学的な解法だ。暗号化されたデータのまま演算を実行し、暗号化された結果を返す仕組みで、サーバーは処理を行うがその中身を一切「見ること」ができない。課題はパフォーマンスで、平文演算と比べて数桁オーダーのオーバーヘッドが生じる——それでも「使えない」ではなく「まだ遅い」という段階まで来ており、専用ハードウェアの進化とともにそのコストは急速に低下しつつある。準同型暗号の基礎についてはOpenFHEのドキュメントが参考になる。
HEIRとは何か
Googleが開発したHEIR（Homomorphic Encryption Intermediate Representation）は、準同型暗号向けのオープンソースコンパイラ/開発プラットフォームだ。最大の特徴は、平文データで動作するよう学習済みのAIモデルを、暗号化入力で動作するモデルへと変換できる点にある。
準同型暗号の回路を手で書くには暗号専門家のチームが必要だったが、HEIRはそのハードルを取り除くことを目指している。Googleは「非専門家でも暗号化推論を本番アプリケーションに組み込めるワンクリックソリューション」をビジョンとして掲げており、コードはGitHubリポジトリで公開されている。
HEIRはMLIR（Multi-Level Intermediate Representation）を基盤としており、既存の機械学習モデルを暗号回路へと段階的に変換するパイプラインを提供する。この設計により、TensorFlowやJAXなど主要なMLフレームワークとの統合が視野に入っている。
企業・研究機関との連携
HEIRは準同型暗号向けのハードウェアアクセラレータを開発するBelfort、Niobium、Cornami、Optalysysとパートナーシップを結んでいる。研究面ではGeorgia Tech、Carnegie Mellon、UC Santa Barbara、イリノイ工科大学、Purdue、エジンバラ大学、清華大学などと共同研究が進んでおり、これまでに4本の査読付き論文がHEIRをベースに発表されている。
実際に動く4つのデモ
元記事ではHEIRでコンパイルした4つのプライベート推論アプリケーションを公開している。いずれもシングルスレッドCPUでのレイテンシ計測値が示されており、ソースコードも公開済みだ。ユースケースの幅広さが、HEIRの現時点での到達点を具体的に示している。
ディープラーニング・レコメンデーションモデル（Belfort Labs、LG、ニューヨーク大学との共同）：ユーザーの特徴量を一切サーバーに開示せずにコンテンツ推薦を実現する。クラウドサービスがユーザーデータを参照せずにレコメンドするというユースケースの実証だ。
クレジットカード不正検知（Niobium、hardshell.aiとの共同）：金融データを暗号化したまま不正取引を検出する。金融機関が顧客データを外部AIサービスに渡さずに推論を委託できる構図を実現する。
脅威侵入検知（Niobiumとの共同）：ネットワークパケットの内容をサービスプロバイダに開示せずに、暗号化トラフィックの異常検知を行うKitsuneシステムをコンパイル。
ホットワード検出器（Belfort Labsとの共同）：音声録音のプライバシーを保護しながらホットワードを認識するモデル。音声トリガー型AIエージェントへの応用が想定される。
いずれも「サービス提供者がデータの中身を知らないまま、高度なAI処理を実行できる」点で共通している。
残る課題と今後の展望
現時点では、準同型暗号の演算コストが平文演算と比べて数桁オーダーで大きい点が依然として課題だ。元記事ではパートナー企業によるハードウェアアクセラレータを活用したレイテンシ改善の実証を「近い将来に示す」としており、専用チップによるコスト圧縮が実用化の鍵を握る。
GoogleはHEIRを、差分プライバシーやプライベート情報検索、Google Cloud上のセキュアエンクレーブといった既存の「プライベートコンピューティングツールキット」の一環として位置付けている。ハードウェアベースのセキュアエンクレーブと異なり、準同型暗号のセキュリティ保証は純粋に暗号理論に基づく点が大きな違いだ。信頼できるハードウェアを前提とせず、数学的保証だけでデータを守れる——この性質が、長期的な普及を後押しする可能性がある。
詳細はHow Google is Making Private AI Practical with Homomorphic Encryptionを参照していただきたい。
