Google HEIR Membuat Private Inference Dapat Dikompilasi, Bukan Otomatis Praktis

Google memperkenalkan HEIR sebagai jalur dari model machine learning biasa menuju inference atas input terenkripsi. Compiler open-source ini nyata, empat demonya yang tersedia untuk publik mencakup workload yang berguna, dan desainnya menjangkau beberapa skema kriptografi serta backend software.

Ini bukan switch yang membuat model apa pun menjadi privat. Dokumentasi HEIR saat ini masih memerlukan pilihan engineering tentang operator, aproksimasi numerik, layout ciphertext, parameter enkripsi, backend, key, dan hardware. Showcase Google melaporkan pengukuran CPU single-thread untuk demonya dan mengatakan hasil latensi accelerator akan menyusul. Itu menjadikan HEIR jalur prototipe yang kredibel, bukan bukti bahwa model sembarang akan memenuhi service-level objective produksi.

Pemisahan pentingnya adalah antara kebutuhan privasi dan kelayakan sistem. Fully homomorphic encryption (FHE) hanya penting ketika ia menghilangkan paparan input yang memang dimiliki aplikasi; HEIR hanya penting ketika model sesuai dengan jalur kompilasinya. Waktu evaluasi terenkripsi, memori, traffic ciphertext, akurasi, penanganan key, dan pemulihan kegagalan kemudian menentukan apakah keuntungan privasi itu layak pada workload yang dituju. Memperlakukan semua hal ini sebagai pertanyaan terpisah mencegah persyaratan privasi berubah diam-diam menjadi proyek infrastruktur tanpa batas.

HEIR mengubah masalah compiler, bukan persamaan biaya

Enkripsi transport dan storage biasa melindungi data saat bergerak atau tersimpan, tetapi service biasanya mendekripsi data itu sebelum menghitungnya. FHE menggunakan skema enkripsi khusus yang memungkinkan server mengevaluasi operasi yang didukung pada ciphertext. Klien mendekripsi ciphertext yang dikembalikan untuk memperoleh hasil terkait, sementara server yang melakukan evaluasi tidak memerlukan secret key atau input plaintext.

Properti ini dapat menghilangkan titik paparan yang konsekuensial. Misalnya, recommender dapat memberi skor pada fitur pengguna yang terenkripsi tanpa service scoring melihat fitur tersebut. Namun, ini tidak melindungi setiap bagian produk. Endpoint klien, key, log, pembaruan model, preprocessing plaintext, jawaban yang dikembalikan, kontrol akses, dan side channel tetap memerlukan desain masing-masing. Output itu sendiri dapat mengungkap informasi sensitif jika aplikasi mengajukan pertanyaan yang tidak aman.

HEIR menangani terjemahan sulit di tengahnya. Desain machine learning-nya membawa representasi model dari jalur terkait PyTorch, TensorFlow, dan ONNX ke MLIR, sebuah framework compiler dengan beberapa tingkat intermediate representation. Pipeline menandai data rahasia, memilih skema kriptografi dan backend, mengganti atau mengaproksimasi operasi yang tidak terpetakan dengan baik ke aritmetika terenkripsi, memilih layout ciphertext, mengelola pertumbuhan noise, memilih parameter, dan menghasilkan kode untuk library atau jalur hardware level lebih rendah.

Compiler dapat mengotomatisasi banyak pekerjaan itu, tetapi pemilik aplikasi tetap memasok keputusan yang mengubah kebenaran dan biaya. Konfigurasi contoh HEIR sendiri mencakup derajat aproksimasi dan rentang input untuk aktivasi nonlinear. Pilih rentang yang tidak cocok dengan data produksi, dan program terenkripsi yang valid sekalipun dapat kehilangan kualitas model. Pilih sirkuit yang lebih dalam atau lebih mahal, maka latensi, ukuran ciphertext, material key, atau memori dapat melewati budget deployment.

Empat demo menetapkan cakupan, bukan kesiapan universal

Pengumuman 14 Agustus Google menunjuk empat demo yang dikompilasi: rekomendasi konten, deteksi penipuan kartu kredit, deteksi anomali jaringan, dan pengenalan hotword. Repositori demo publik membuat batasnya lebih konkret.

Contoh fraud mengompilasi multilayer perceptron kecil dengan aktivasi sigmoid ke CKKS, sebuah skema untuk aritmetika angka aproksimatif, dan menyediakan jalur evaluasi Lattigo serta OpenFHE. Contoh rekomendasi dan hotword memperingatkan bahwa prosesnya dapat memerlukan setidaknya 96 GiB RAM. Model hotword adalah temporal convolutional network yang ringkas, bukan model speech atau language umum. Contoh jaringan mencakup detektor anomali dengan lima dan 50 fitur serta timing harness yang memisahkan enkripsi, evaluasi, dan dekripsi.

Artefak ini berguna karena tim dapat memeriksa model, jalur data, target build, dan kode timing. Namun, artefak tersebut tetap merupakan demo yang dipilih karena strukturnya kompatibel. Tulisan Google mengatakan angka latensi yang dipublikasikan menggunakan satu thread CPU dan tim berencana menunjukkan manfaat latensi accelerator di kemudian hari. Tulisan itu tidak menerbitkan benchmark produksi lintas backend, uji serving konkuren, target availability, atau perbandingan total biaya.

Pemilihan kata penting. Contoh-contoh ini membuktikan bahwa HEIR dapat mengompilasi dan menjalankan beberapa program encrypted inference yang tidak sepele. Namun, contoh tersebut tidak membuktikan pipeline yang sama mendukung setiap operator dalam transformer, backend yang didemonstrasikan cocok dengan hardware tim, atau service FHE lebih murah daripada mempertahankan workload secara lokal. Catatan getting-started HEIR saat ini juga mengatakan binary end-to-end untuk workflow seperti mengonversi model Torch yang sudah dikompilasi ke backend masih dikembangkan; untuk sementara, jalur yang didokumentasikan menggunakan tool level lebih rendah heir-opt dan heir-translate.

Aritmetika membatasi backend

Skema FHE menentukan aritmetika terenkripsi yang tersedia bagi program. Backend mengimplementasikan skema tersebut. Ini adalah keputusan yang saling terhubung, bukan nama package yang dapat dipertukarkan.

Properti workload	Keluarga skema kandidat	Jalur library HEIR yang saat ini didokumentasikan	Pertanyaan prototipe yang dapat menghentikan pekerjaan
Aritmetika integer atau modular eksak	BGV atau BFV	OpenFHE atau Lattigo	Apakah setiap comparison, lookup, dan langkah nonlinear dapat direpresentasikan tanpa diam-diam mengubah model?
Inference bilangan real aproksimatif	CKKS	OpenFHE atau Lattigo	Apakah error aproksimasi tetap berada dalam gate kualitas tugas di seluruh rentang input nyata?
Sirkuit boolean atau integer pendek	CGGI	tfhe-rs atau Jaxite	Apakah kedalaman sirkuit dan frekuensi bootstrapping sesuai dengan budget latensi dan hardware?
Jalur riset berorientasi hardware	HEIR IR tingkat skema atau level lebih rendah	Integrasi CPU, GPU, FPGA, ASIC, atau fotonik berbeda menurut target	Apakah target dapat direproduksi dan tersedia, atau hanya demo riset atau partner?

Tabel ini adalah peta awal yang diturunkan dari pipeline HEIR dan dokumentasi backend saat ini, bukan janji kompatibilitas. Nama skema tidak menetapkan cakupan operator, keamanan parameter, kematangan compiler, atau hasil yang setara antar-library. Pin compiler, frontend, skema, backend, parameter set, model, dan artefak yang dihasilkan secara tepat dalam pengujian.

Pilihan versi memerlukan disiplin yang sama. Saat diperiksa pada 25 Agustus, endpoint latest-release GitHub mengidentifikasi v2026.08.11.dev0, meskipun memiliki suffix bergaya development; repositori ini juga menyediakan rilis bulanan 1 Agustus dan nightly bertanggal yang lebih baru. Penamaan ini membuat “stable” menjadi jalan pintas yang tidak aman. Pilih satu tag dan commit yang telah diuji secara sengaja. “Latest” bukan dependency yang reproducible.

Privasi harus membenarkan tagihan ciphertext

FHE paling meyakinkan ketika service eksternal harus menghitung data yang tidak boleh dilihatnya, eksekusi lokal tidak tersedia atau tidak dapat diterima, dan hardware enclave atau kontrol organisasi tidak memenuhi threat model. Kasus itu bergantung pada field mana yang tetap terenkripsi, di mana plaintext kembali, siapa yang memegang key, serta apa yang masih dapat diungkapkan oleh timing request, metadata, error, dan output yang didekripsi.

Jika batas-batas tersebut kabur, tidak ada hasil latensi yang menguntungkan yang dapat membuat sistem layak. Eksekusi on-device, minimisasi data, model lokal yang lebih kecil, confidential computing, atau workflow terpisah mungkin memenuhi kebutuhan yang sama dengan kompleksitas lebih sedikit. Analisis deployment lokal Qwen menunjukkan mengapa memori yang tercetak pada perangkat bukan kapasitas inference yang dapat digunakan; FHE menambahkan lapisan overhead representasi dan runtime yang berbeda tetapi sama pentingnya.

Satu operator tidak dapat mewakili sistem terenkripsi

Gate kedua dimulai dari workload publik atau sintetis kecil yang mempertahankan bentuk dan rentang model produksi tanpa mengekspos data sensitif. Kompilasikan jalur berguna terkecil terlebih dahulu. Catat operasi yang tidak didukung dan perubahan model sebagai hasil, bukan ketidaknyamanan untuk disembunyikan.

Lalu ukur seluruh siklus hidup request:

Pengukuran	Catatan minimum	Keputusan yang dilindungi
Kualitas tugas	Metrik plaintext, metrik terenkripsi, kegagalan per slice, pengaturan aproksimasi	Mencegah jalur terenkripsi yang cepat mengirim model yang secara material berbeda
Compile dan setup	Waktu ekspor frontend, waktu compile, pembuatan parameter, pembuatan key, ukuran artefak	Menyingkap pekerjaan yang tidak tercakup angka inference steady-state
Latensi	Enkripsi klien, transfer, evaluasi server, transfer balik, dekripsi klien; p50 dan p95	Memisahkan fase mahal dan mempertahankan budget yang terlihat pengguna
Throughput	Request per detik pada concurrency dan batch size yang dinyatakan	Mencegah demo single-thread menjadi perkiraan kapasitas
Memori	Peak resident memory, evaluation key, rotation atau bootstrapping key, artefak model, buffer ciphertext	Menguji apakah host target dapat menjalankan dan memulihkan service
Ekspansi data	Byte plaintext, byte ciphertext yang dikirim dan dikembalikan, byte sementara	Membuat biaya jaringan dan storage terlihat
Operasi	Jumlah addition, multiplication, rotation, comparison, bootstrap, dan konversi layout	Menemukan fitur sirkuit yang mengendalikan biaya
Reliabilitas	Timeout, input malformed, kegagalan presisi, retry, rotasi key, waktu rollback	Menguji apakah sistem operasional, bukan sekadar dapat dieksekusi

Memori layak memiliki gate tersendiri. Preprint KeyMemRT 2026 independen mengidentifikasi rotation key sebagai konsumen memori utama dalam aplikasi FHE kompleks dan menguji pendekatan compiler/runtime untuk mengelola lifetime-nya. Peningkatan yang dilaporkan berlaku pada setup mereka sendiri dan tidak boleh dipindahkan ke service HEIR. Temuan yang lebih luas tetap berguna: material key dan memori runtime adalah bagian dari desain sistem, bukan metadata kriptografi yang dapat diabaikan.

Hasil hardware memerlukan atribusi yang sama ketat. Benchmark accelerator dapat menunjukkan hasil satu sirkuit, skema, parameter set, revisi compiler, perangkat, strategi batching, dan presisi. Namun, ia tidak dapat menyediakan baris latensi untuk model lain. Analisis edge inference Waymo (bahasa Indonesia) menyampaikan poin paralel untuk TOPS: angka aritmetika puncak tidak menyelesaikan kecocokan memori, transfer, termal, software, atau workload.

Prototipe yang sukses masih dapat berakhir dengan “jangan deploy”

Ada beberapa hasil berguna selain service produksi FHE. Gate privasi dapat menunjukkan bahwa komputasi yang dilindungi cukup kecil untuk diisolasi sementara sisanya tetap lokal atau menggunakan enkripsi biasa. Uji compiler dapat mengidentifikasi satu aktivasi yang tidak didukung dan dapat diganti lalu dilatih ulang tanpa merusak kualitas. Benchmark dapat menunjukkan modelnya bekerja tetapi hanya workflow batch, bukan API interaktif, yang sesuai budget. Benchmark juga dapat menunjukkan memori, ekspansi ciphertext, atau operasi key mengalahkan nilainya.

Hasil terakhir bukan eksperimen yang gagal. Kontribusi HEIR adalah membuat lebih banyak trade-off ini dapat diperiksa dalam framework compiler bersama. Preprint HEIR 2025 menyajikan proyek ini sebagai platform untuk mengimplementasikan, menggabungkan, dan membandingkan teknik homomorphic encryption di seluruh stack. Showcase Google yang lebih baru menunjukkan bagaimana platform itu dapat menjangkau workload machine learning yang mudah dikenali.

Ketidakpastian yang tersisa berada pada aplikasi, bukan pengumuman. HEIR hanya memperoleh jalur produksi ketika hasil terenkripsi masih menyelesaikan tugas dan sistem lengkap—bukan satu operator yang menguntungkan—memenuhi batasan kualitas, latensi, memori, keamanan, dan pemulihan.

Sumber

1. Google: How Google Is Making Private AI Practical with Homomorphic Encryption
2. HEIR machine-learning compiler design
3. HEIR getting-started guide
4. HEIR compiler pipelines
5. HEIR v2026.08.11.dev0 release
6. Google fully homomorphic encryption demo repository
7. HEIR: A Universal Compiler for Homomorphic Encryption
8. KeyMemRT: Unlocking Memory-Scalable FHE