Google treibt HEIR Richtung private Inferenz — zwischen Versprechen und Rechenkosten

Am 14. August 2026 hat Google in einem Beitrag im Security Blog, gezeichnet von Jeremy Kun, Staff Software Engineer, HEIR (Homomorphic Encryption Intermediate Representation) wieder aufgegriffen. Es handelt sich nicht um einen Neuling — das Projekt startete 2023 als Infrastruktur auf Basis von MLIR —, sondern um den Reifeschritt hin zu einer Open-Source-Entwicklungsplattform, die auf GitHub unter der Apache-2.0-Lizenz verteilt wird. Die technische Aufgabe ist klar: bereits trainierte Machine-Learning-Modelle so umzuwandeln, dass sie Inferenz auf verschlüsselten Eingaben ausführen können, mit Unterstützung mehrerer kryptografischer Verfahren wie BGV, BFV, CKKS sowie des CGGI-Schemas über die Backends tfhe-rs und Jaxite. Erklärtes Ziel ist eine „One-Click“-Lösung, die auch Nicht-Fachleuten erlaubt, verschlüsselte Inferenz in Produktionsanwendungen einzubauen.

Zur Ankündigung gehört eine Reihe praktischer Demonstrationen mit konkreten Partnern: ein Empfehlungsmodell mit Belfort Labs, LG und der New York University; ein Betrugserkenner für Kreditkarten mit Niobium und hardshell.ai; der Intrusion-Detector Kitsune für Netzwerkverkehr mit Niobium; ein Audio-Hotword-Detektor mit Belfort Labs. Der Beitrag erwähnt außerdem die Zusammenarbeit mit Herstellern von Hardwarebeschleunigern wie Optalysys, was auf ein noch im Aufbau befindliches Ökosystem hindeutet. Google stellt klar, dass die Latenzen der vier Anwendungen auf einer Single-Thread-CPU gemessen wurden; die genauen Zahlen sind nicht überprüfbar.

Auf akademischer Seite stützt sich Google auf ein Paper mit dem Titel „HEIR: A Universal Compiler for Homomorphic Encryption“, im August 2025 bei arXiv eingereicht, sowie auf Partnerschaften mit Einrichtungen wie Carnegie Mellon und der Tsinghua University. Trotz des Ziels, private KI praktikabel zu machen, räumt das Unternehmen im Beitrag selbst ein, dass der Rechenaufwand nicht vernachlässigbar ist („homomorphic encryption has a nontrivial cost overhead“). Aus überprüfbaren Quellen gehen derzeit weder genaue Zahlen zu dieser Leistungslücke noch Bestätigungen für bereits auf dieser Technik basierende Google-Produkte für Endkunden hervor — die tatsächliche Effizienz des Systems bleibt technisch unsicher.

Einen Compiler zu bauen, der die Komplexität der Kryptografie verbirgt, ist eine beachtliche Ingenieursleistung. Doch solange der Rechenaufwand eine unbezifferte Unbekannte bleibt, droht private KI eine brillante Lösung für Probleme zu bleiben, deren Lösung wir uns noch nicht leisten können. — Olya