Google 發布 HEIR 開源編譯器：不用解密就能跑 AI 推理

2026 年 8 月 14 日，Google 正式發布 HEIR（Homomorphic Encryption Intermediate Representation，同態加密中間表示層），這是一個開源編譯器工具鏈，能將預訓練的 AI 模型轉換為可直接在加密資料上執行推理的版本，過程中完全不需要解密 。Google 安全部落格由軟體工程師 Jeremy Kun 發表公告，將其稱為「我們私密運算工具包中最新加入的強大工具」。HEIR 建構在 MLIR（多層中間表示）之上，支援 BGV、BFV、CKKS 三種主流的全同態加密（FHE）方案，並可對接 OpenFHE 和 Lattigo 等後端函式庫 。該專案採用 Apache-2.0 授權，程式碼與文件均由 Google 維護 。

HEIR 如何實現私密 AI

HEIR 大幅降低了在機器學習推理中使用全同態加密（FHE）的門檻。開發者只需將一個普通的預訓練模型輸入 HEIR 的編譯流程，即可產出一個能直接操作密文的可執行檔。伺服器從頭到尾都無法看見明文的輸入或模型輸出，從而為用戶數據提供密碼學級別的隱私保護 。HEIR 的多層 IR 設計能自動處理密文資料布局（即「打包」）、參數選擇以及算術化等繁瑣任務 。該專案的目標是實現 FHE 程式在不同加密方案、編譯器與硬體加速器之間的互通性 。

四大示範應用

Google 一併發布了四個經 HEIR 編譯的示範應用，以展示其實用性 ：

• 深度學習推薦系統——在不揭露用戶歷史紀錄的前提下，提供個人化推薦（與 Belfort Labs、LG 及紐約大學合作開發）
• 信用卡詐騙偵測——在加密的金融數據上偵測可疑交易（與 Niobium 和 hardshell.ai 合作）
• Kitsune 網路入侵偵測——在不揭露流量模式的情況下識別網路攻擊（同樣與 Niobium 合作）
• 語音關鍵詞喚醒——在加密音訊上進行觸發詞檢測（例如「Hey Google」）（與 Belfort Labs 合作）

所有四個示範均僅在單執行緒 CPU 上運行 。Google 尚未公布能證明大多數工作負載可達即時效能的延遲數據 。

合作夥伴與協作者

硬體加速合作夥伴——Google 正與多家專用硬體供應商合作，以加速 FHE 推理：

• Belfort——Google 是 Belfort 加密計算硬體的第一個付費客戶
• Niobium——其 BASALISC ASIC 透過 OpenFHE API 支援 BGV 與 CKKS 方案
• Cornami
• Optalysys

HEIR 可為 Belfort 的 FPGA 生成 Rust 後端程式碼，也能透過 jaxite Python 函式庫為 Google 的 TPU 生成程式碼 。首個 HEIR 的 FPGA 後端已於 2026 年的 FHE.org 會議上發表，該研究由 KU Leuven 與 Google 的研究人員合作，評估了布林與算術管線在實際 FHE 加速中的表現 。

學術協作者——HEIR 論文的共同作者包括來自 Intel（Alexander Viand）、Moreh（Jaeho Choi）、KU Leuven、加州大學聖塔芭芭拉分校、密西根大學安娜堡分校以及清華大學的研究人員 。更廣泛的學術合作夥伴名單還包含喬治亞理工學院與卡內基美隆大學 。

當前的實際限制

全同態加密（FHE）從根本上來說仍然非常慢。截至 2026 年中期的獨立基準測試顯示，FHE 計算仍比等效的明文計算 慢約 1,000 倍到 10,000 倍，具體取決於加密方案與運算類型 。儘管演算法改進、編譯器最佳化、批次處理技術以及專用硬體加速已將 FHE 效能推升至五年前實作水準的 1,000 到 10,000 倍，但對大多數工作負載而言，與未加密計算之間仍存在巨大差距 。

Google 的 HEIR 示範均在單執行緒 CPU 上運行，公司尚未公布能證明大多數工作負載可達即時效能的延遲數據 。來自 Belfort 與 Niobium 等合作夥伴的硬體加速預期將提升速度，但這些優勢尚未在生產環境中得到驗證 。一篇評估三個主流 FHE 框架（包括 Google 的 HEIR）的研究論文發現了分佈在各層級的 21 個錯誤，其中包括 16 個會導致「靜默錯誤計算」（即輸出看似正常但結果錯誤）的邏輯錯誤與 5 個導致當機的錯誤 。

截至 2026 年中，全球僅有 三個公開記錄在案的 FHE 技術正式生產系統 ，這凸顯了 HEIR 目前主要仍是一個研究與賦能平台，而非成熟的部署工具。在 Hacker News 上，這則公告獲得了 275 分的評價，留言區普遍認為這是實質進展，但距離通用 AI 推理的生產環境速度仍有一段距離 。