AIにデータを見せずに処理させるGoogleの完全準同型暗号コンパイラ「HEIR」とは？

Googleが開発した、データを暗号化した状態のままAIモデルなどで処理できるようにするオープンソースのコンパイラが「HEIR(Homomorphic Encryption Intermediate Representation)」です。HEIRは「完全準同型暗号」という暗号技術を利用したプログラムを開発しやすくするためのツールで、通常のデータを扱う既存のAIモデルを、暗号化された入力データを扱える形へ変換できます。

HEIR
https://heir.dev/

How Google is Making Private AI Practical with Homomorphic Encryption
https://blog.google/security/how-google-is-making-private-ai-practical-with-homomorphic-encryption/

暗号化されたデータをコンピューターで処理する場合は、一度データを復号して元の内容を読み取れる状態にする必要があります。例えばクラウド上のAIに個人情報を渡して分析してもらう場合、通信中のデータを暗号化できても、サーバー側では処理のためにデータを読み取れる状態にする必要があります。

これに対して「準同型暗号」は暗号化されたデータを復号せず、そのまま計算できる暗号技術です。サーバーはデータの中身を見ることなく計算を実行し、暗号化された結果を返し、ユーザー側でその結果を復号すれば元のデータをサーバーへ公開することなく処理結果を得られるという仕組みです。これにより、ハードウェアによる隔離などに依存せずデータを保護できるとGoogleは説明しています。

ただし、完全準同型暗号を実際のソフトウェアで利用するのは簡単ではありません。暗号化されたデータに対する計算は通常の計算より複雑で、使用する暗号方式に合わせて演算方法やデータの配置などを調整する必要があります。Googleによると、既存のプログラムを効率よく完全準同型暗号へ対応させる作業には、従来は暗号技術の専門知識が必要だったとのこと。

Googleの研究者やエンジニアが開発している「HEIR」は、完全準同型暗号向けのコンパイラツールチェーンとして機能します。開発者がPythonなどで通常のプログラムを書き、どのデータを秘密として扱うか指定すると、HEIRがそのプログラムを暗号化されたデータ上で動作する処理へ変換します。また、OpenFHEやLattigoといった既存の完全準同型暗号ライブラリ向けのコードを生成することもできます。

HEIRはAIモデルにも同じ仕組みを利用でき、PyTorchやTensorFlow、ONNXなどから取り込んだ機械学習モデルを変換し、暗号化された入力データに対して推論を実行できるようにすることを目指しています。つまり、新しい「暗号化対応AI」を一から開発するのではなく、既存のAIモデルを完全準同型暗号に対応させるための橋渡しをHEIRが担当するというわけです。

GoogleはHEIRを使った例として、コンテンツのレコメンド、クレジットカードの不正利用検出、ネットワーク通信の異常検出、音声から特定のキーワードを検出するホットワード検出という4種類のAI処理を公開しています。例えばレコメンドシステムでは、サービス側がユーザーの特徴を直接確認することなく処理を行ったり、ネットワークの異常検出では通信内容そのものをサービス提供者へ公開せずに異常を検出したりすることが想定されています。

完全準同型暗号には通常の計算と比べて大きな処理コストがかかるという課題がありますが、GoogleはHEIRでソフトウェア側の最適化を進めるほか、Belfort、Niobium、Cornami、Optalysysなど完全準同型暗号向けハードウェアを開発する企業とも協力しているとのこと。HEIRはオープンソースで開発されており、Googleは最終的に、暗号技術の専門家でなくても既存のアプリケーションへ暗号化されたAI推論を組み込める環境を目指しています。