Google HEIR: Compiler-Infrastruktur für verschlüsselte Berechnungen

Google entwickelt mit HEIR eine Open-Source-Compiler-Infrastruktur für homomorphe Verschlüsselung. Der Name steht für „Homomorphic Encryption Intermediate Representation“. Das Projekt soll die Lücke zwischen vertrauten Programmen und spezialisierten Bibliotheken für Berechnungen auf verschlüsselten Daten verkleinern.

Für KI-Anwendungen ist daran vor allem der Übersetzungspfad interessant. Statt ein Modell oder eine Datenverarbeitung vollständig für eine bestimmte Kryptografie-Bibliothek neu zu bauen, soll eine gemeinsame Zwischendarstellung verschiedene Frontends und Ausführungsziele verbinden. Ob sich ein vorhandenes Modell tatsächlich übernehmen lässt, hängt jedoch von den unterstützten Operationen, Datentypen und Zielsystemen ab. Eine pauschale Modellkompatibilität lässt sich daraus nicht ableiten.

Was der Compileransatz verändert

Homomorphe Verschlüsselung erlaubt Berechnungen, ohne die verarbeiteten Daten vorher im Klartext offenzulegen. In der Praxis ist dieser Schutz teuer: Operationen müssen in ein geeignetes kryptografisches Schema übersetzt werden, und Laufzeit sowie Speicherbedarf können stark steigen.

HEIR setzt an dieser Übersetzung an. Entwickler sollen sensible Werte in einem vertrauten Programmiermodell kennzeichnen können, während die Toolchain daraus eine für homomorphe Verschlüsselung geeignete Darstellung erzeugt. Die gemeinsame Zwischenschicht soll verhindern, dass jede Anwendung fest mit einer einzelnen FHE-Bibliothek verdrahtet werden muss.

Das ist der Hebel.

Compiler-Infrastruktur kann wiederkehrende Übersetzungs- und Optimierungsarbeit bündeln, die sonst jedes Projekt selbst lösen müsste; daraus folgt allerdings noch nicht, dass ein beliebiger KI-Workload vollständig unterstützt wird oder mit vertretbarer Laufzeit arbeitet.

Der Hardware-Anspruch ist groß

HEIR ist nicht nur als Abstraktion für Programme gedacht. Die Toolchain zielt auch auf unterschiedliche Beschleunigerklassen, darunter GPUs, TPUs, FPGAs und spezialisierte ASICs. Diese Spannweite beschreibt zunächst eine technische Richtung, keine belegte Produktionsreife über alle Ziele hinweg.

Eine gemeinsame Compilerschicht muss dafür Anforderungen aus Softwareentwicklung, Kryptografie und Hardware zusammenbringen. Schon kleine Unterschiede bei unterstützten Operationen oder Parametern können darüber entscheiden, ob ein Workload übersetzbar ist und wie teuer seine Ausführung wird.

Für KI-Systeme ist das ein sinnvoller Testfall: Sensible Eingaben könnten verarbeitet werden, ohne sie während der Berechnung offenzulegen. Der Nutzen wäre erheblich. Der Nachweis steht jedoch erst dann, wenn konkrete Modellklassen reproduzierbar übersetzt werden und ihre Ergebnisse, Laufzeiten sowie Speicherprofile dokumentiert sind.

Ein sinnvoller Prüfpfad

HEIR sollte derzeit als Evaluierungsgrundlage behandelt werden. Ein Plattform- oder Security-Team beginnt mit einem kleinen, repräsentativen Workload und hält vor dem Lauf fest, welches Ergebnis die unverschlüsselte Referenz liefert und welche Grenzen für Laufzeit und Speicher gelten. Danach sind fünf Fragen zu beantworten: Wird das verwendete Frontend unterstützt? Lassen sich alle benötigten Operationen übersetzen? Stimmen die Resultate mit der Referenz überein? Welche Laufzeit entsteht? Wie viel Speicher benötigt der verschlüsselte Lauf?

Scheitert bereits die Übersetzung, fehlt eine benötigte Operation oder überschreitet der Ressourcenbedarf die eigene Grenze, bleibt der unverschlüsselte Referenzpfad bestehen. Das Team dokumentiert den fehlenden Support und bewertet die Toolchain erst nach einem nachvollziehbaren Fortschritt erneut. Ein stiller Produktionsversuch wäre hier die falsche Abkürzung.

Was jetzt zählt

HEIR ist ein interessanter Compilerbaustein für vertrauliche Berechnungen, aber noch keine allgemeine Zusage, bestehende KI-Modelle ohne Weiteres auf verschlüsselten Daten auszuführen. Nötig sind eine dokumentierte Support-Matrix und Messwerte auf realistischen Aufgaben.

Für Projekte mit sensiblen Daten lohnt sich deshalb ein begrenzter Prototyp. Eine Migration wäre erst dann vertretbar, wenn Korrektheit, Laufzeit, Speicherbedarf und unterstützte Operationen für den eigenen Workload reproduzierbar belegt sind.