Исследование
Проект Google HEIR решает инженерные проблемы в гомоморфно-зашифрованном выводе ИИ
Инициатива HEIR от Google направлена на то, чтобы сделать полностью гомоморфное шифрование более практичным для конфиденциальных рабочих нагрузок ИИ, предоставляя инструменты компилятора и снижая сложность развертывания. Работа учитывает реальные операционные ограничения, хотя готовность к производству по-прежнему ограничена конкретными модельными угрозами.
Автор: Лео У ·
Согласно отчету InfoQ о проекте HEIR компании, Google вкладывает инженерные усилия в инфраструктуру гомоморфного шифрования для вывода ИИ. Работа нацелена на конкретный класс проблем развертывания: защиту входных и выходных данных модели от самого облачного провайдера во время вывода, без необходимости использования аппаратных анклавов или доверенных сред исполнения. Полностью гомоморфное шифрование позволяет выполнять произвольные вычисления на зашифрованных данных без расшифровки, сохраняя конфиденциальность ценой значительных затрат на производительность и сложности реализации. Инициатива HEIR от Google направлена на сокращение этой сложности с помощью инструментов компиляции и стандартизированных операций, хотя проект не претендует на обеспечение готовности к производству одним кликом.
Здесь имеет значение модель угроз. Гомоморфное шифрование защищает от противника, который контролирует инфраструктуру, на которой работает модель, включая гипервизор, ядро и системное программное обеспечение. Оно не защищает от скомпрометированных весов модели, зараженных обучающих данных или внедрения подсказок во время вывода. Также оно не заменяет проверку входных данных или фильтрацию выходных данных. Для организаций, основная угроза для которых — ненадежный облачный провайдер, гомоморфное шифрование предоставляет криптографическую гарантию. Для тех, чьи угрозы включают извлечение моделей, утечку данных через шаблоны вывода или атаки на уровне API, более актуальны другие меры контроля. Это различие не является академическим: оно определяет, отвечает ли HEIR вашим фактическим требованиям безопасности или предлагает дорогостоящую защиту от угрозы, с которой вы не сталкиваетесь. Отчет InfoQ документирует материалы, лежащие в основе этого отчета.
Гомоморфное шифрование теоретически возможно с 2009 года, но переход от академической конструкции к используемой инфраструктуре требует решения множества проблем реализации. Google HEIR , доступный на GitHub, сосредоточен на проектировании компиляторов и выборе операций. Работа включает абстракции для представления зашифрованных вычислительных графов, оптимизационные проходы для уменьшения количества гомоморфных операций и поддержку специфических арифметических схем, часто используемых при выводе нейронных сетей, таких как умножение матриц и функции активации. По сути, это инженерная задача: не вопрос в том, может ли работать гомоморфное шифрование, а как сделать так, чтобы оно работало достаточно эффективно для оправдания развертывания.
Компромиссы между производительностью и развертыванием
Практические ограничения значительны. Гомоморфное шифрование вводит задержку в диапазоне от сотен миллисекунд до секунд на один вывод, в зависимости от размера модели и набора операций. Нейронная сеть с тысячами параметров может завершить работу за разумное время; для больших моделей затраты могут быть непомерными. Бутстрэппинг, операция, которая обновляет шифротексты для продолжения вычислений, потребляет большую часть времени выполнения в большинстве гомоморфных схем. Затраты памяти также значительны: зашифрованные данные занимают больше места, чем открытые, и промежуточные результаты накапливаются во время вычислений. Это не ошибки, которые можно исправить только с помощью более быстрого оборудования. Это фундаментальные свойства криптографической конструкции. Система, построенная на гомоморфном шифровании, должна быть разработана с учётом этих ограничений с самого начала, а не модифицирована постфактум.
Проект HEIR занимается инженерным уровнем, а не криптографическим. Работа Google включает руководство по выбору параметров, планированию операций и компиляторские проходы, которые уменьшают глубину графа вычислений. Эти оптимизации имеют значение на практике: хорошо настроенная гомоморфная схема может работать на порядки быстрее, чем наивная реализация. Но оптимизация имеет пределы. Если ваша модель угроз требует конфиденциального вывода модели на больших языковых моделях с миллиардами параметров, гомоморфное шифрование по-прежнему является непрактичным сегодня. Если ваша задача заключается в защите вывода на небольших моделях, специализированных сетях для конкретных задач или синтетических данных для тестирования, этот инструмент становится пригодным к использованию.
Когда гомоморфное шифрование является правильным решением
Гомоморфное шифрование не является инструментом по умолчанию для конфиденциальных вычислений. Аппаратно-обеспеченные среды доверенного выполнения, такие как Intel SGX или AMD SEV, предлагают лучшую производительность и более простую интеграцию для многих нагрузок. Они требуют доверия к производителю оборудования, а не к поставщику облачных услуг, и имели зарегистрированные уязвимости. Атаки побочного канала, эксплуатация транзиентного выполнения и компрометация прошивки создают собственную поверхность угроз. Однако они работают в разы быстрее, чем гомоморфное шифрование при эквивалентных свойствах безопасности. Организация, выбирающая между этими подходами, должна четко определить конкретную угрозу, которая оправдывает потери производительности криптографических решений. CISA безопасно по проекту Руководство подчеркивает необходимость устранения ненужных доверительных связей, что подтверждает использование конфиденциальных вычислений, где потенциальным злоумышленником может быть оператор инфраструктуры.
Проект HEIR не является попыткой заменить эти альтернативы. Это попытка сделать гомоморфное шифрование меньше исследовательским артефактом и больше инженерной опцией. Это другая цель: снизить барьер для команд, которые определили случай использования, где модель угроз оправдывает затраты, но которым не хватает криптографической экспертизы для безопасной реализации. HEIR предоставляет компилятор, библиотеки операций и шаблоны интеграции, чтобы специалисты по криптографии не должны были вручную кодировать гомоморфные схемы. Это уменьшает поверхность атак из-за ошибок реализации, улучшает согласованность между проектами и позволяет централизованно выполнять работу по оптимизации. Это не устраняет нагрузку на производительность и необходимость тщательно обдумывать, какие операции действительно необходимы. Рамочная структура кибербезопасности NIST помогает разместить проблему в более широком контексте политики и инженерии.
Рабочий процесс разработки систем с гомоморфным шифрованием отличается от стандартного машинного обучения. Нельзя просто обучить модель и обернуть её шифрованием. Необходимо понимать, какие операции поддерживаются гомоморфной схемой, как разложить вычисления на эти операции, какие ошибки аппроксимации допустимы и как проверять правильность выполнения на зашифрованных данных. Тестирование и отладка становятся сложнее, потому что нельзя напрямую просматривать промежуточные значения. Воспроизводимость требует внимательного обращения с случайными семенами и детерминированным порядком операций. Рамочная программа кибербезопасности NIST подчеркивает важность риска цепочки поставок и прозрачности в критически важной для безопасности инфраструктуре. Гомоморфное шифрование вводит новые зависимости от криптографических библиотек и инструментов компилятора. Организации, внедряющие его, должны понимать эти зависимости и планировать обслуживание и обновления.
Постепенный прогресс в решении сложной задачи
Проект HEIR от Google представляет собой постепенный прогресс в решении сложной проблемы, а не прорыв, который принципиально изменяет соотношение затрат и выгод для гомоморфного шифрования. Он может расширить круг случаев применения, где гомоморфное шифрование становится правильным выбором, особенно для организаций с определёнными моделями угроз, меньшими моделями или нагрузками, ориентированными на исследования. Для производственных систем, защищающих масштабные выводы от ненадёжной инфраструктуры, практические ограничения остаются. Ценность HEIR заключается в сокращении разрыва между криптографической теорией и инженерной практикой, позволяя принимать обоснованные решения по безопасности на основе фактических данных о производительности и воспроизводимых реализаций. Это менее гламурно, чем революционный прогресс, но более ценно для команд, создающих системы, которые действительно должны защищаться от реальных противников. Эти команды также должны сталкиваться с Топ-10 OWASP для приложений LLM и другими векторами атак, которые гомоморфное шифрование не покрывает, что делает его одним из инструментов среди многих в архитектуре безопасности.
Темы: криптография, инфраструктура ИИ, конфиденциальные вычисления, инструменты компилятора, инженерия безопасности