Skip to content
Published on

準同型暗号コンパイラHEIRとコストという条件 — 発表文にない数字をコメントが埋めた事例

🇰🇷KO🇺🇸EN🇯🇵JA🇨🇳ZH
Split View필사 모드
シェア
Authors

この記事は2026-08-15にHacker News APIとGeekNewsフィードで直接確認した項目に基づいています。スコアと順位は変わり続けます。

何が上がっていたか

Hacker News APIで確認した項目です。タイトルは Google is making private AI practical with homomorphic encryption、アイテム番号は49300314で、2026-08-15時点で234ポイント、コメント143件でした。リンク先はGoogleのセキュリティブログの記事です。

発表文が紹介するのはHEIRというオープンソースのコンパイラツールチェーン兼開発プラットフォームです。名前自体が準同型暗号向けの中間表現という意味で、学習済みのモデルを暗号文の上で動作するように変換すると記されています。

ニュースは暗号ではなくコンパイラです

準同型暗号そのものは新しくありません。暗号文の上で加算と乗算を行い結果を暗号文で返す方式は以前から知られていました。それでも配備事例が少ない理由は、数学が足りないからではありませんでした。

実際の障壁はパラメータ選択です。準同型暗号では演算を重ねるほど雑音が溜まり、それが許容値を超えると復号結果が崩れます。だから回路を設計するときは雑音予算を計算し、どこでブートストラップして予算を戻すかを決め、複数の値を暗号文のスロットにどう詰めるかを決める必要があります。

これらの決定は絡み合っています。パッキングを変えれば必要な回転演算が変わり、すると雑音の増加率が変わり、するとブートストラップの位置が変わります。そして1つでも間違えば結果が静かに壊れます。この作業を手でできる人は世界に多くなく、それがこの技術が論文にとどまってきた実質的な理由でした。

発表文が言うHEIRの意義はまさにここです。これらの決定をコンパイラのパスに移すということであり、だから暗号の専門家が毎回付く必要がなくなるということです。中間表現を置く理由もここにあります。複数のバックエンドと複数の暗号方式に対して同じ最適化を再利用する構造です。

これは見覚えのある話です。ある技術が広く使われるようになる契機は、たいていその技術自体の改善ではなく、それを使うのに必要な専門性を道具が吸収した時点です。

発表文が言わなかった数字

ところがこの発表文には決定的な空欄があります。オーバーヘッドの数値が1つもありません。

シングルスレッドCPUでの遅延計測には触れているものの、具体的な時間も倍数も出てきません。代わりに準同型暗号には無視できないコストのオーバーヘッドがあると認めつつ、それが能力とプライバシーの引き換えをコストの問題に変えるという趣旨で述べています。

この言い方は間違いではありませんが、コストの問題だと言いながらそのコストがいくらか言わなければ、読む側は判断できません。

コメントがその空欄を埋めました

この項目で最も情報量が大きい部分はコメントで、複数の人が自分の背景を明かして数字を示しました。

プライバシー保護機械学習で修士論文を書いているというコメントは、準同型暗号を含むこの系統の技法が推論タスクでおおよそ1,000倍程度のオーバーヘッドを持つと書き、だから商業的に成り立ちにくいとしました。別のコメントも1,000倍を超える資源使用に言及しました。さらに別のコメントは基本的な演算すら数千倍複雑だと理解しているとして、その後大きな進展があったのかと問いました。

この分野で論文を2本出したというコメントは、大手が使える道具を出すのは歓迎だが商業的な実用性まではまだ遠いとまとめました。20年前にこの分野を調査したというコメントは、当時の結論が暗号文の膨張が最大のボトルネックだというものだったと振り返りました。この指摘は今も有効です。演算時間だけを見て保存と転送のコストを落としてしまう場合が多いからです。

ではどこに適用されるのか

発表文に載った4つの実演事例を上の数字と重ねると、適用条件が鮮明になります。事例はディープラーニングの推薦システム、クレジットカードの不正利用検知、Kitsuneベースのネットワーク侵入検知、そして音声プライバシーのための呼び出し語検知です。

この4つには共通点があります。

  • モデルが小さいです。 不正利用検知や呼び出し語検知はパラメータの大きなモデルではありません。1,000倍のオーバーヘッドは元のコストが小さいときにだけ耐えられます。
  • 入力が小さく出力はさらに小さいです。 たいてい特徴ベクトルが入り、スコア1つかラベル1つが出ます。暗号文の膨張の影響が限定されます。
  • 演算の深さが浅いです。 層が浅ければ雑音が溜まりにくく、ブートストラップを減らすか完全に避けられます。
  • データが機微で遅延に余裕があります。 数百ミリ秒が数秒になってもサービスが成立する種類です。

ここを裏返すと適用されない場所もすぐ出ます。大規模言語モデルの推論はこの4条件をすべて破ります。モデルが大きく、入力と出力が長く、層が深く、ユーザーが応答を待っています。この発表文を読んで、プロンプトを暗号化したままモデルを回せるようになったと理解してはいけません。発表文もそのような主張はしていません。

どう適用するか

今この技術を検討する状況かどうかを判断する基準は単純です。自分たちのワークロードで、サーバに平文を見せないことの価値が1,000倍の計算コストより大きいか。

この問いが真になる場合は思ったよりあります。複数の機関がデータを合わせる必要があるのに規制で原本を渡せない場合、サービス提供者がデータを見られないこと自体が製品の販売条件である場合、監査対象でアクセス自体を技術的に遮断しなければならない場合です。こうした場ではオーバーヘッドが交渉可能な項目になります。

そして検討するなら順序があります。まずより安い代替を排除すべきです。端末内で推論する、サーバに送る前に特徴だけ抽出する、信頼実行環境を使う、差分プライバシーで集計だけ公開する、はいずれもはるかに安いです。コメントでも最も私的な推論は自分のハードウェアで動くものだという指摘が出ましたが、これは皮肉ではなく実際に最初に検討すべき選択肢です。この筋道は端末内AIとエッジ推論のプライバシーで扱いました。

それらの代替がどれも成り立たないとき、つまり計算は必ずサーバで行う必要があり、サーバは絶対に内容を見てはいけないとき、そこが準同型暗号が唯一の答えになる席です。

誰には当てはまらないか

一般的なウェブサービスで保存データの暗号化と通信区間の暗号化をしている組織なら、この技術は今は必要ありません。その2つはサーバがデータを見られるという前提の上で別の脅威を防ぐもので、多くの規制要求はそこで満たされます。

性能が製品の中核であるサービスも該当しません。1,000倍はチューニングで埋められる差ではありません。

暗号の移行計画を立てるチームなら、これと耐量子暗号への移行は別の作業だと明確にすべきです。後者は期限のある移行で、前者はまだ選択的な能力です。その区別は耐量子暗号への移行で扱った内容と併せて見ると良いです。

まとめ

この発表で実際に進んだのは暗号の性能ではなく到達しやすさです。コンパイラが専門家の判断を吸収すれば、その技術を使える人の数が増え、それが採用の実際の条件である場合が多いです。ただしコストの問題だと言いながらコストを書かない発表文は半分しか伝えておらず、残りの半分はこの項目のコメントにありました。判断に必要な数字が原典にないとき、議論がなぜ読む価値を持つかを示す事例でもあります。

原文と関連記事

適用条件の4つと検討の順序は、発表文とコメントで確認した内容をもとに筆者が整理したものです。

Discuss on Twitter • View on GitHub