Google HEIR: Wie ein Open-Source-Compiler KI auf verschlüsselten Daten zum Laufen bringt

Am 14. August 2026 hat Google HEIR (Homomorphic Encryption Intermediate Representation) veröffentlicht, eine quelloffene Compiler-Toolchain, die vortrainierte KI-Modelle so umwandelt, dass sie Inferenz direkt auf verschlüsselten Daten durchführen können – ohne diese jemals zu entschlüsseln . Auf dem offiziellen Google Security Blog beschrieb der Staff Software Engineer Jeremy Kun das Projekt als „das neueste leistungsstarke Werkzeug, das unserem Private Computing Toolkit hinzugefügt wurde“ . HEIR baut auf MLIR (Multi-Level Intermediate Representation) auf und unterstützt die homomorphen Verschlüsselungsschemata BGV, BFV und CKKS. Als Backends werden unter anderem die Bibliotheken OpenFHE und Lattigo angebunden . Das Projekt steht unter der Apache-2.0-Lizenz; Codebasis und Dokumentation werden von Google gepflegt .

Was HEIR für private KI leistet

HEIR senkt die Hürde für den Einsatz vollhomomorpher Verschlüsselung (Fully Homomorphic Encryption, FHE) im Machine Learning. Ein Entwickler kann ein normales trainiertes Modell nehmen, es durch die Compiler-Durchläufe von HEIR schicken und erhält ein ausführbares Programm, das auf Chiffraten operiert. Der Server bekommt weder die Klartext-Eingaben noch die Ergebnisse des Modells zu sehen – die Privatsphäre der Nutzerdaten wird kryptografisch abgesichert . HEIRs mehrschichtiges IR-Design übernimmt Aufgaben wie das Layout der Chiffratdaten („Packing“), die Parameterauswahl und die Arithmetisierung automatisch . Ziel des Projekts ist es, die Interoperabilität von FHE-Programmen über verschiedene Verschlüsselungsschemata, Compiler und Hardware-Beschleuniger hinweg zu ermöglichen .

Die vier Demo-Anwendungen

Google lieferte vier mit HEIR kompilierte Demonstrationsanwendungen aus, um die praktische Machbarkeit zu zeigen :

• Deep-Learning-Empfehlungssystem – private, personalisierte Empfehlungen, ohne dass der Nutzungsverlauf offengelegt wird (entwickelt mit Belfort Labs, LG und der NYU)
• Kreditkartenbetrugserkennung – Erkennung betrügerischer Transaktionen in verschlüsselten Finanzdaten (mit Niobium und hardshell.ai)
• Kitsune-Netzwerkeinbruchserkennung – Identifikation von Netzwerkangriffen, ohne dass Verkehrsmuster preisgegeben werden (ebenfalls mit Niobium)
• Sprachschlüsselworterkennung – Erkennung von Aktivierungswörtern (z. B. „Hey Google“) in verschlüsselten Audiodaten (mit Belfort Labs)

Alle vier Demos liefen auf Single-Thread-CPU-Implementierungen . Google hat bislang keine Latenzzahlen veröffentlicht, die eine Echtzeitfähigkeit für die meisten Workloads belegen .

Partner und Mitarbeiter

Hardware-Beschleuniger-Partner – Google arbeitet mit spezialisierten Hardware-Anbietern zusammen, um die FHE-Inferenz zu beschleunigen:

• Belfort – Google ist Belforts erster zahlender Kunde für verschlüsselte Rechenhardware
• Niobium – Deren BASALISC-ASIC unterstützt BGV und CKKS über die OpenFHE-API
• Cornami
• Optalysys

HEIR generiert Backend-Code für Belforts FPGA in Rust und für Googles TPU über die Python-Bibliothek jaxite . Das erste FPGA-Backend für HEIR wurde auf der FHE.org-Konferenz 2026 vorgestellt und evaluierte Boolesche vs. arithmetische Pipelines für die praktische FHE-Beschleunigung – die Arbeit stammt von Forschern der KU Leuven und Google .

Akademische Mitarbeiter – Zu den Koautoren des HEIR-Papers gehören Forscher von Intel (Alexander Viand), Moreh (Jaeho Choi), der KU Leuven, der UC Santa Barbara, der University of Michigan, Ann Arbor, und der Tsinghua-Universität . Zum weiteren akademischen Partnerkreis zählen Georgia Tech und die Carnegie Mellon University .

Aktuelle praktische Grenzen

FHE bleibt grundsätzlich langsam. Unabhängige Benchmarks vom Jahresmitte 2026 besagen, dass FHE-Berechnungen immer noch etwa 1.000- bis 10.000-mal langsamer sind als äquivalente Klartextberechnungen, abhängig vom Schema und der Operation . Algorithmische Verbesserungen, Compiler-Optimierung, Batching-Techniken und spezialisierte Hardware-Beschleunigung haben die FHE-Leistung gegenüber Implementierungen von vor fünf Jahren kollektiv um das 1.000- bis 10.000-fache gesteigert – aber es klafft für die meisten Workloads immer noch eine große Lücke zur unverschlüsselten Berechnung .

Googles HEIR-Demos liefen auf Single-Thread-CPUs, und das Unternehmen hat noch keine Latenzzahlen veröffentlicht, die eine Echtzeitfähigkeit für die meisten Workloads belegen . Von den Partnern Belfort und Niobium wird eine Hardware-Beschleunigung erwartet, aber die Vorteile sind im Produktionsbetrieb noch nicht nachgewiesen . In einem Forschungspapier, das drei führende FHE-Frameworks evaluierte – darunter Googles HEIR – wurden 21 Fehler auf verschiedenen Ebenen aufgedeckt, darunter 16 Logikfehler, die zu stillen, falschen Berechnungen führten, und 5 Abstürze .

Weltweit sind Mitte 2026 nur drei Produktionssysteme mit FHE-Technologie öffentlich dokumentiert . Dies unterstreicht, dass HEIR in erster Linie eine Forschungs- und Befähigungsplattform und noch kein ausgereiftes Bereitstellungswerkzeug ist. Auf Hacker News erhielt die Ankündigung 275 Punkte; Kommentatoren beschrieben das Projekt allgemein als echten Fortschritt, aber für die allgemeine KI-Inferenz noch lange nicht produktionsreif .