Google pokazał HEIR: AI liczące na zaszyfrowanych danych, bez ich odszyfrowania

Google pokazał HEIR, otwartoźródłowy kompilator zamieniający gotowe, już wytrenowane modele AI tak, żeby działały bezpośrednio na zaszyfrowanych danych, bez konieczności ich odszyfrowywania po drodze na serwerze. Brzmi jak sprzeczność samą w sobie: jak model ma cokolwiek policzyć na danych, których nie widzi. Odpowiedzią jest szyfrowanie homomorficzne, technologia znana od lat, ale dopiero teraz realnie zbliżająca się do praktycznego zastosowania.

Jak to w ogóle ma działać

Szyfrowanie homomorficzne (FHE, fully homomorphic encryption) pozwala wykonywać obliczenia bezpośrednio na zaszyfrowanych danych, a wynik takich obliczeń, po odszyfrowaniu, jest identyczny z tym, jaki dałoby wykonanie tych samych operacji na danych jawnych. Serwer przetwarzający dane nigdy nie widzi ich w formie odczytywalnej, widzi tylko matematyczny szyfrogram, na którym operuje. HEIR, skrót od Homomorphic Encryption Intermediate Representation, to warstwa kompilatora zbudowana na frameworku MLIR, która automatyzuje przekształcenie istniejącego, już wytrenowanego modelu AI w wersję zdolną do pracy na tak zaszyfrowanych wejściach.

Google zademonstrował HEIR na czterech konkretnych zastosowaniach: rekomendacjach opartych na głębokim uczeniu, wykrywaniu oszustw na kartach płatniczych, wykrywaniu włamań sieciowych oraz rozpoznawaniu słów-kluczy aktywujących (hotword detection, czyli mechanizm stojący za "OK Google" czy podobnymi frazami budzącymi asystenta). To nie przypadkowy dobór, wszystkie cztery scenariusze łączy to, że dane wejściowe są z natury wrażliwe: historia zakupów, numery kart, ruch sieciowy, nagrania głosu, a jednocześnie firma przetwarzająca te dane chce (albo musi, ze względów regulacyjnych) móc udowodnić, że nigdy nie miała do nich jawnego dostępu.

Dlaczego to wcześniej nie działało w praktyce

Szyfrowanie homomorficzne istnieje jako koncepcja matematyczna od dekad, a pierwsze praktyczne konstrukcje pojawiły się już ponad piętnaście lat temu. Problemem zawsze była wydajność: operacje na zaszyfrowanych danych są rzędy wielkości wolniejsze niż te same operacje na danych jawnych, co przez lata ograniczało FHE do niszowych, akademickich zastosowań, a nie realnych systemów produkcyjnych obsługujących miliony zapytań dziennie.

HEIR atakuje ten problem z dwóch stron naraz. Po pierwsze, jako kompilator automatyzuje proces, który wcześniej wymagał ręcznej, eksperckiej pracy inżynierów kryptografii przy każdym pojedynczym modelu, znacząco obniżając barierę wejścia dla firm chcących wdrożyć FHE bez zatrudniania własnego zespołu specjalistów. Po drugie, Google współpracuje przy akceleracji sprzętowej z firmami Belfort, Niobium, Cornami i Optalysys, budującymi dedykowane układy przyspieszające właśnie operacje homomorficzne, co ma zniwelować część różnicy wydajnościowej na poziomie krzemu, nie tylko oprogramowania.

Co to realnie zmienia

Dla firm zajmujących się danymi finansowymi, medycznymi czy inną kategorią informacji objętą surowymi regulacjami, HEIR otwiera scenariusz, w którym można skorzystać z zewnętrznego dostawcy obliczeń AI bez faktycznego udostępniania mu danych w formie, jaką dałoby się odczytać czy wykorzystać niezgodnie z przeznaczeniem, nawet w razie wycieku czy złamania zabezpieczeń po stronie dostawcy. To inny poziom bezpieczeństwa niż standardowe szyfrowanie transportu (HTTPS) czy szyfrowanie danych w spoczynku, oba te mechanizmy chronią dane w drodze albo na dysku, ale nie w trakcie samego przetwarzania, dokładnie w tym momencie, w którym większość realnych wycieków i nadużyć się zdarza.

HEIR jest dostępny publicznie na GitHubie na licencji open-source, z dokumentacją, cotygodniowymi godzinami konsultacyjnymi i comiesięcznymi spotkaniami społeczności. To sygnał, że Google nie traktuje tego jako zamkniętego, wewnętrznego narzędzia, tylko jako fundament, na którym inne firmy i badacze mają budować własne zastosowania, podobnie jak wcześniej stało się z wieloma innymi projektami wywodzącymi się z Google i budowanymi na MLIR.