8月14日、Jeremy Kunが「How Google is Making Private AI Practical with Homomorphic Encryption」と題した記事を公開した。Googleが準同型暗号を用いたプライベートAI推論を実現するオープンソースコンパイラ「HEIR」を公開し、暗号化したままレコメンドや不正検知を動作させるデモを実際に公開したという内容だ。「サーバが平文を一切見ずにAI推論を完結させる」という、これまで理論の域を出なかった仕組みが、既存の学習済みモデルをそのまま変換する形で動作することを示している。

準同型暗号とは何か、なぜ今なのか

AIの普及が進む中、プライバシーと利便性のトレードオフは業界共通の課題だ。従来のエンドツーエンド暗号化では、データを守れる反面、サービス側がそのデータを利用した機能（スパム検知やウイルス検出など）を提供できなくなる。医療・金融分野ではさらに厳しい規制があり、機関をまたいだデータ共有も制限される。

**準同型暗号（Homomorphic Encryption）**は、この構造的なトレードオフを変える技術だ。暗号化されたまま計算を行い、暗号化されたまま結果を返す。サーバ側は平文を一切見ることなく処理を完結できる。たとえばクラウドサービスが、ユーザーの属性情報を参照せずにコンテンツレコメンドを提供できる。

これは理論上の話ではない。Googleは今回、その動作デモを実際に公開している。準同型暗号はコスト面のオーバーヘッドが長年の課題だったが、Googleは「コストは急速に低下している」と述べており、今回のデモはその実用化水準を示す試みでもある。

HEIRとは何か

HEIR（Homomorphic Encryption Intermediate Representation）は、Googleが2023年に構想を発表し、研究・開発を進めてきたオープンソースのコンパイラツールチェーンだ。最大の特徴は、既存の学習済みAIモデル（平文データ向けに訓練されたもの）を、暗号化入力で動作するモデルに変換できる点にある。エンジニアは暗号スキームを自分で設計する必要がなく、コンパイラが変換を自動化する。

Googleの目標は、「暗号の専門家でなくてもプロダクションアプリケーションに暗号化推論を組み込める、ワンクリックのソリューション」にすることだ。既存モデルをそのまま持ち込んで変換できるこの設計思想は、プロダクション導入へのハードルを大幅に下げる可能性がある。また、ハードウェアベースのセキュアエンクレーブなどのソリューションと異なり、HEIRの保証は純粋に暗号学的であるため、特定のハードウェアへの依存が生じない点も特徴の一つだ。

ハードウェアアクセラレータ開発企業（Belfort、Niobium、Cornami、Optalysys）との連携も進んでおり、学術機関側ではGeorgia Tech、Carnegie Mellon、UC Santa Barbara、Illinois Institute of Technology、Purdue、University of Edinburgh、Tsinghua Universityなどとの共同研究が行われている。現時点で査読付き論文が4本公開されており、さらに複数の論文が準備中だ。

ソースコードはGitHubリポジトリで公開されている。

4つのデモアプリケーション

HEIRでコンパイルされた実際のアプリケーションが4つ公開されている。レイテンシはすべてシングルスレッドCPUでの測定値だ。各デモは「既存の学習済みモデルをHEIRで変換し、暗号化入力のまま推論を動かす」という共通のパターンを取っており、モデル設計の変更なしに暗号化推論が成立することを示している。

1. ディープラーニングレコメンデーションモデル（Belfort Labs・LG・ニューヨーク大学との共同研究）
プライベートなコンテンツレコメンド提供を実現する。サービス側がユーザーの特徴量を見ることなくレコメンドが動作するという、準同型暗号の典型的な活用例だ。ユーザーの視聴履歴や属性情報といったセンシティブなデータを暗号化したまま渡すことで、パーソナライズと個人情報保護を両立できる。

2. クレジットカード不正検知（Niobium・hardshell.ai との共同）
既存の不正検知器をHEIRでコンパイルしたもの。金融データのプライバシーを守りながら推論を実行する。複数の金融機関がデータを開示し合わずに共同で不正検知モデルを運用するといったシナリオへの応用も考えられる。

3. ネットワーク脅威検知（Niobiumとの共同）
ネットワーク異常検知システム「Kitsune」をコンパイルしたもの。暗号化されたネットワークトラフィックの内容をサービス提供者に開示せずに異常検知が可能だ。企業が外部のセキュリティサービスに解析を委託する際に、トラフィックの中身を見せずに脅威検知を受けられるという文脈で意義がある。

4. ホットワード検出（Belfort Labsとの共同）
音声トリガー型AIエージェントが、音声録音のプライバシーを保護しながらホットワードを認識できる。音声データという特にセンシティブな情報を暗号化したままサーバ側で処理できることは、スマートスピーカーや音声アシスタント分野のプライバシー議論に対する一つの技術的回答となりうる。

エンジニアとして注目すべき点

HEIRはGoogleがこれまで積み重ねてきたプライバシー技術の延長線上に位置づけられる。Googleはこれまで、差分プライバシー・プライベートセットメンバーシップ・プライベート情報検索・Google CloudのConfidential Computingといった技術を積み重ねてきた。HEIRはその中でも「暗号学的保証のみでプライバシーを担保する」という方向性を推し進めるものだ。

「専門家でなくても使える」というHEIRの設計思想は、コンパイラが暗号スキームへの変換を自動化することを前提にしている。準同型暗号の実装は従来、暗号理論の深い理解とパラメータチューニングの専門知識を要するものだったが、HEIRはその複雑さをコンパイラ層に押し込むことで、AIエンジニアが直接扱えるツールを目指している。今後のハードウェアアクセラレータとの統合が進めば、現在のシングルスレッドCPU測定値から大幅にレイテンシが改善することも期待できる。

詳細はHow Google is Making Private AI Practical with Homomorphic Encryptionを参照していただきたい。