Google HEIR: il compilatore open source che rende l'IA operativa su dati crittografati

Il 14 agosto 2026, Google ha rilasciato HEIR (Homomorphic Encryption Intermediate Representation), una toolchain compilatore open source che converte modelli di IA pre-addestrati in modo che possano eseguire inferenze direttamente su dati crittografati — senza mai decrittarli . L'annuncio, pubblicato sul Google Security Blog da Jeremy Kun, ingegnere software del team, descrive HEIR come "il più recente e potente strumento aggiunto al nostro Private Computing Toolkit" . HEIR è costruito su MLIR (Multi-Level Intermediate Representation) e supporta gli schemi di crittografia omomorfica BGV, BFV e CKKS, con backend che includono OpenFHE e Lattigo . Il progetto è concesso in licenza Apache-2.0 e il codice e la documentazione sono gestiti da Google .

Cosa fa HEIR per l'IA privata

HEIR abbassa la barriera all'uso della crittografia completamente omomorfica (FHE) per l'inferenza nel machine learning. Uno sviluppatore può prendere un normale modello addestrato, passarlo attraverso i passaggi di compilazione di HEIR e ottenere un eseguibile che opera su crittogrammi. Il server non vede mai i dati in chiaro né gli output del modello, garantendo una privacy crittografica per i dati degli utenti . Il design a più livelli di HEIR gestisce automaticamente la disposizione dei dati cifrati ("packing"), la selezione dei parametri e l'aritmetizzazione . Il progetto mira a consentire l'interoperabilità dei programmi FHE tra diversi schemi di crittografia, compilatori e acceleratori hardware .

Le quattro applicazioni dimostrative

Google ha distribuito quattro applicazioni dimostrative compilate con HEIR per mostrare la fattibilità pratica :

• Sistema di raccomandazione deep learning — raccomandazioni personalizzate private senza esporre la cronologia utente (sviluppato con Belfort Labs, LG e NYU)
• Rilevamento frodi su carte di credito — rilevamento di transazioni fraudolente su dati finanziari crittografati (con Niobium e hardshell.ai)
• Rilevatore di intrusioni di rete Kitsune — individuazione di attacchi informatici senza rivelare i modelli di traffico (anche con Niobium)
• Riconoscimento di parole chiave vocali — rilevamento di comandi vocali (es. "Hey Google") su audio crittografato (con Belfort Labs)

Tutte e quattro le demo sono state eseguite su implementazioni CPU single-thread . Google non ha ancora pubblicato dati di latenza che dimostrino prestazioni in tempo reale per la maggior parte dei carichi di lavoro .

Partner e collaboratori

Partner per acceleratori hardware — Google sta collaborando con produttori di hardware specializzato per accelerare l'inferenza FHE:

• Belfort — Google è il primo cliente pagante di Belfort per hardware di calcolo crittografato
• Niobium — il loro ASIC BASALISC supporta BGV e CKKS tramite l'API OpenFHE
• Cornami
• Optalysys

HEIR genera codice backend per l'FPGA di Belfort in Rust e per la TPU di Google tramite la libreria Python jaxite . Il primo backend FPGA per HEIR è stato presentato alla conferenza FHE.org nel 2026, valutando pipeline booleane contro aritmetiche per l'accelerazione FHE pratica, con lavoro svolto da ricercatori di KU Leuven e Google .

Collaboratori accademici — Tra i coautori del paper su HEIR ci sono ricercatori di Intel (Alexander Viand), Moreh (Jaeho Choi), KU Leuven, UC Santa Barbara, University of Michigan, Ann Arbor e Tsinghua University . La lista più ampia di partner accademici include anche Georgia Tech e Carnegie Mellon .

Limiti pratici attuali

La FHE rimane fondamentalmente lenta. Benchmark indipendenti di metà 2026 indicano che il calcolo FHE è ancora da 1.000 a 10.000 volte più lento rispetto al calcolo equivalente su dati in chiaro, a seconda dello schema e dell'operazione . Miglioramenti algoritmici, ottimizzazioni del compilatore, tecniche di batching e accelerazione hardware dedicata hanno collettivamente reso la FHE da 1.000 a 10.000 volte più veloce rispetto a implementazioni di cinque anni fa, ma il divario con il calcolo non crittografato rimane ampio per la maggior parte dei carichi di lavoro .

Le demo di HEIR di Google sono state eseguite su CPU single-thread e l'azienda non ha ancora pubblicato dati di latenza che dimostrino prestazioni in tempo reale per la maggior parte dei carichi di lavoro . L'accelerazione hardware da parte di partner come Belfort e Niobium dovrebbe migliorare la velocità, ma questi benefici non sono ancora dimostrati in produzione . Un articolo di ricerca che ha valutato tre dei principali framework FHE — incluso HEIR di Google — ha scoperto 21 bug a vari livelli, tra cui 16 errori logici che portano a calcoli errati silenziosi e 5 crash .

A livello globale, solo tre sistemi di produzione che utilizzano la tecnologia FHE sono documentati pubblicamente a metà del 2026 , sottolineando che HEIR è principalmente una piattaforma di ricerca e abilitazione, più che uno strumento di deployment maturo. Su Hacker News, l'annuncio ha ricevuto 275 punti e i commentatori lo hanno generalmente descritto come un vero progresso, ma ancora lontano dalla velocità di produzione per l'inferenza AI generale .