谷歌HEIR：在加密数据上运行AI的开源编译器

2026年8月14日，谷歌正式发布了 HEIR（Homomorphic Encryption Intermediate Representation，同态加密中间表示），这是一款开源的编译器工具链，能够将预训练的AI模型转换为可直接在加密数据上运行推理的版本——全程无需解密任何数据 。谷歌安全博客上，高级软件工程师Jeremy Kun在公告中称其为"我们隐私计算工具箱中最新的强大工具" 。HEIR构建于MLIR（多级中间表示）之上，支持BGV、BFV和CKKS三种同态加密方案，并可对接包括OpenFHE和Lattigo在内的多种后端库 。该项目采用Apache-2.0开源许可，其代码库和文档均由谷歌维护 。

HEIR如何实现隐私AI

HEIR大幅降低了在机器学习推理中使用全同态加密（FHE）的门槛。开发者只需将一个常规的已训练模型输入HEIR的编译流程，即可生成一个能对密文直接运算的可执行程序。服务器从头到尾都无法看到明文输入或模型的输出结果，从而为用户数据提供基于密码学原理的隐私保护 。HEIR的多层IR设计能够自动处理密文数据布局（即"打包"）、参数选择和算术化等任务 。该项目的目标是在不同加密方案、编译器和硬件加速器之间实现FHE程序的互操作性 。

四项演示应用

谷歌随HEIR发布了四项经过编译的演示应用，以展示其在实际场景中的可行性 ：

• 深度学习推荐系统——在不暴露用户历史数据的情况下提供个性化推荐（与Belfort Labs、LG和纽约大学合作开发）
• 信用卡欺诈检测——在加密的金融数据上检测欺诈交易（与Niobium和hardshell.ai合作）
• Kitsune网络入侵检测——在不泄露流量模式的前提下识别网络攻击（同样与Niobium合作）
• 语音热词唤醒——对加密音频进行关键词检测（例如"Hey Google"）（与Belfort Labs合作）

所有四项演示均在单线程CPU上运行 。谷歌尚未公布能证明大多数工作负载达到实时性能的延迟数据 。

合作伙伴与协作者

硬件加速器合作伙伴——谷歌正与多家专业硬件厂商合作，加速FHE推理：

• Belfort——谷歌是Belfort加密计算硬件的首位付费客户
• Niobium——其BASALISC ASIC通过OpenFHE API支持BGV和CKKS方案
• Cornami
• Optalysys

HEIR可为Belfort的FPGA生成Rust后端代码，也可通过jaxite Python库生成谷歌TPU的后端代码 。针对HEIR的首个FPGA后端已在2026年FHE.org大会上展示，来自鲁汶大学和谷歌的研究人员对布尔型与算术型流水线在实际FHE加速中的表现进行了评估 。

学术合作伙伴——HEIR论文的合作者包括来自英特尔（Alexander Viand）、Moreh（Jaeho Choi）、鲁汶大学、加州大学圣巴巴拉分校、密歇根大学安娜堡分校和清华大学的研究人员 。更广泛的学术合作伙伴名单还包括佐治亚理工学院和卡内基梅隆大学 。

当前的实际局限

FHE目前仍然存在根本性的速度瓶颈。2026年中期的独立基准测试表明，FHE计算的速度仍然比同等明文计算 慢约1000到10000倍，具体取决于加密方案和操作类型 。算法改进、编译器优化、批处理技术以及专用硬件加速的综合作用，使得FHE的性能相比五年前提升了1000到10000倍，但相较于非加密计算，大多数工作负载仍然存在巨大差距 。

谷歌的HEIR演示均在单线程CPU上运行，公司尚未公布能证明大多数工作负载达到实时性能的延迟数据 。来自Belfort和Niobium等合作伙伴的硬件加速有望提升速度，但这些优势尚未在生产环境中得到验证 。一篇对三种主流FHE框架（包括谷歌的HEIR）进行评估的研究论文，发现了分布在各个层次的21个漏洞，其中包括16个导致静默错误计算的逻辑错误和5个崩溃问题 。

截至2026年中，全球范围内公开记录的使用FHE技术的 生产系统仅有三个 ，这充分说明HEIR目前主要是一个研究和赋能平台，而非成熟的部署工具。在Hacker News上，该公告获得了275个点赞，评论区的普遍看法是这确实是一个真正的进步，但距离通用AI推理达到生产级速度还有很长的路要走 。