Szpital, który wysyła dane pacjentów do zewnętrznego modelu, wysyła je naprawdę: z numerem PESEL i rozpoznaniem. Po wycieku z systemu MyDr, gdzie do sieci trafiło 19 mln numerów PESEL, ta wymiana wygląda inaczej niż rok temu. Google pokazał właśnie cztery działające zastosowania narzędzia, które podważa jej założenie. Kompilator HEIR przerabia wytrenowany model tak, żeby liczył na danych zaszyfrowanych i nigdy ich nie odszyfrowywał. Serwer dostaje szyfrogram i zwraca szyfrogram, a po drodze nie widzi ani jednej wartości. Szyfrowanie homomorficzne wychodzi w ten sposób z sal konferencyjnych kryptografów do rzeczy, które da się uruchomić.
Na czym polega szyfrowanie homomorficzne
Szyfrowanie homomorficzne pozwala wykonywać obliczenia bezpośrednio na danych zaszyfrowanych, bez ich wcześniejszego odszyfrowania. Wynik wychodzi zaszyfrowany, a odczytać go potrafi tylko posiadacz klucza, czyli ta strona, która dane wysłała.
Różnicę widać najlepiej na tym, co dziś uchodzi za dobrą praktykę. Szyfrowanie od końca do końca chroni dane w drodze i w spoczynku, ale żeby cokolwiek na nich policzyć, trzeba je najpierw rozpakować. Google opisuje to jako wymianę: albo dostawca nie widzi danych, albo potrafi dostarczyć funkcję, która ich wymaga. Filtr antyspamowy jest tu przykładem samego producenta.
Drugie obejście, czyli liczenie lokalnie na urządzeniu, ma dwa własne ograniczenia. Telefon albo serwer w placówce jest po prostu słabszy niż centrum danych. Do tego wysłanie własnego modelu na cudzy sprzęt oznacza ryzyko, że model stamtąd wycieknie, a dla dostawcy bywa to ważniejsze niż wygoda klienta.
HEIR wchodzi w to trzecią drogą. Skrót rozwija się jako pośrednia reprezentacja szyfrowania homomorficznego, czyli nazwa wprost z pracy naukowej, i taki właśnie jest rodowód projektu. Praktycznie jest to zestaw narzędzi kompilatora, który bierze gotowy, wytrenowany model i przepisuje go na wersję operującą na szyfrogramach.
Gwarancja jest matematyczna, a nie sprzętowa
Google stawia jedno rozróżnienie, które w polskich rozmowach o chmurze przepada najczęściej. Bezpieczeństwo szyfrowania homomorficznego opiera się wyłącznie na kryptografii, w odróżnieniu od rozwiązań opartych na sprzęcie.
Ta druga rodzina to enklawy, czyli wydzielone obszary procesora, w których dane są odszyfrowane, ale odgrodzone od reszty systemu izolacją, szyfrowaniem pamięci i zdalnym poświadczeniem. Sprzedaje się je pod hasłem przetwarzania poufnego i bywają dobrym wyborem. Zaufanie jest tam jednak przeniesione, a nie usunięte, bo korzeń całej konstrukcji leży w układzie konkretnego producenta.
Przy podejściu kryptograficznym dane pozostają zaszyfrowane przez całe obliczenie, także w pamięci serwera. Dostawca nie potrzebuje więc w ogóle dostępu do ich jawnej postaci. Zaufanie przez to nie znika, tylko przesuwa się gdzie indziej: liczy się poprawna implementacja, dobrane parametry kryptograficzne i to, kto trzyma klucz. Samo szyfrowanie homomorficzne chroni przy tym poufność danych, a nie poprawność wykonanego na nich rachunku.
Cena tej czystości jest wprost proporcjonalna do jej wartości. Enklawa liczy z prędkością zwykłego procesora, a szyfrogram nie.
Cztery zastosowania, które Google skompilował i pokazał
Wartość tego komunikatu leży w liście rzeczy, które przez narzędzie faktycznie przeszły, a nie w opisie samego narzędzia.
Pierwszy przykład to model rekomendacji treści, zbudowany razem z Belfort Labs, LG i Uniwersytetem Nowojorskim. Usługa podpowiada, co ci się spodoba, nie widząc ani jednej twojej cechy. Drugi, przygotowany z firmami Niobium i hardshell.ai, wykrywa oszustwa na karcie płatniczej.
Trzeci jest najbardziej wymowny dla działów bezpieczeństwa. To Kitsune, system wykrywania anomalii w ruchu sieciowym, skompilowany wspólnie z Niobium. Dostawca usługi wychwytuje nietypowy ruch, nie oglądając zawartości pakietów. Czwarty, powstały z Belfort Labs, rozpoznaje słowo aktywujące, czyli tę frazę, po której asystent głosowy zaczyna słuchać.
Każdy z tych przykładów ma podany czas odpowiedzi, ale zmierzony na jednym wątku procesora. To istotne zastrzeżenie i producent stawia je otwarcie. Kod wszystkich czterech leży w publicznym repozytorium, więc da się to sprawdzić samemu, zamiast wierzyć na słowo.
To nie jest premiera, tylko dowód, że narzędzie dojrzało
Łatwo zrobić z tego nagłówek o nowym kompilatorze Google’a i byłaby to nieprawda. HEIR jest publiczny od 2023 roku, kiedy firma ogłosiła zamiar jego zbudowania, i od tego czasu żyje jako projekt otwarty. Sierpniowy wpis podsumowuje tę drogę, a nie ją zaczyna.
Różnica ma znaczenie praktyczne. Świeżo otwarty kod znaczy tyle, że ktoś coś wystawił. Trzy lata pracy społeczności znaczą, że narzędzie ma testy, punkty odniesienia i ludzi, którzy je znają. Google wymienia współprace z uczelniami po obu stronach globu, od Carnegie Mellon i Purdue po Tsinghua, oraz cztery recenzowane publikacje zbudowane na tym kodzie.
Osobno idzie linia sprzętowa. Partnerami są Belfort, Niobium, Cornami i Optalysys, czyli firmy budujące akceleratory pod ten konkretny rodzaj obliczeń. Producent zapowiada pokazanie ich wyników w najbliższym czasie i to jest właściwy moment, żeby wrócić do tematu, bo dopiero one pokażą, ile z narzutu kosztowego da się zdjąć sprzętem.
Koszt jest realny i to on decyduje o wszystkim
Jedno zdanie z komunikatu trzyma cały temat przy ziemi. Google pisze, że szyfrowanie homomorficzne ma niebanalny narzut kosztowy, ale przesuwa wybór między możliwościami a prywatnością do kwestii ceny. Dodaje, że ta cena szybko spada.
Postawienie sprawy w ten sposób jest uczciwe i zarazem wskazuje, gdzie leży problem. Liczenie na szyfrogramach jest wielokrotnie droższe niż liczenie na zwykłych liczbach. Dopóki tak zostanie, technologia siedzi tam, gdzie prywatność jest warta tej różnicy, czyli w medycynie, finansach i wszędzie, gdzie przepisy blokują dzielenie się danymi między instytucjami.
Producent nazywa swój cel wizją, a nie stanem. Chce, żeby HEIR stał się rozwiązaniem na jedno kliknięcie dla osób bez przygotowania kryptograficznego. Dziś tak nie jest i firma tego nie ukrywa, co przy komunikatach o prywatności zdarza się rzadziej, niż powinno.
Co to zmienia w pytaniu, które zadaje sobie polska placówka
Polski kontekst dopisał się sam kilka tygodni temu. Po wycieku z systemu MyDr pytanie o to, gdzie lądują dane pacjentów, przestało być teoretyczne.
Rozwiązanie Google’a nie cofa żadnego wycieku i nie ma z nim nic wspólnego. Zmienia natomiast pytanie, które projektant systemu zadaje na samym początku. Zamiast pytać, jak dobrze zabezpieczyć przesłanie danych do modelu, można zapytać, czy to przesłanie w ogóle musi zawierać dane czytelne.
Dla placówki medycznej albo ubezpieczyciela jest to pytanie o architekturę, a nie o zgodę pacjenta. Odpowiedź brzmi dziś zwykle “musi”, bo tak jest taniej i prościej. Nie jest jednak oczywiste, jak długo to zostanie prawdą. Lista pytań, które regulator zadaje przed wdrożeniem AI, zaczyna się dokładnie od tego, jakie dane trafiają do modelu.
Jedna rzecz wymaga wyraźnego zastrzeżenia. Żadne ze źródeł nie rozstrzyga, czy dane zaszyfrowane homomorficznie przestają być danymi osobowymi w rozumieniu RODO. To pytanie prawne, na które odpowiedzą organy nadzoru i orzecznictwo, a nie dokumentacja kompilatora.
Pierwsza Misja AI · Kodożercy
Pierwszy raz z AI? Zaczynasz od zera.
Pierwsza Misja AI to kurs dla osób bez technicznego zaplecza. Zero kodu, zero żargonu. Dowiesz się jak działa AI, jak promptować i jak korzystać z niej w pracy.
Wejdź na pokład →
Najczęstsze pytania
Czy to zadziała z dużym modelem językowym?
Komunikat Google’a nie mówi o tym ani słowa i to jest istotne. Wymienione są modele wytrenowane wcześniej, a wszystkie cztery pokazane przykłady to wyspecjalizowane, stosunkowo niewielkie sieci: rekomendacje, ocena transakcji, analiza ruchu sieciowego i rozpoznawanie jednego słowa. Nikt nie twierdzi, że da się w ten sposób uruchomić czatbota z miliardami parametrów, a różnica w liczbie operacji między tymi zadaniami jest ogromna. Przy dzisiejszym narzucie kosztowym to jest technologia dla wąskich, dobrze określonych zadań na wrażliwych danych.
Czy da się to uruchomić u siebie już teraz?
Kod jest publiczny, a przykłady leżą w repozytorium Google’a, więc technicznie nic nie stoi na przeszkodzie. Praktyka jest trudniejsza. Przygotowanie działającego wdrożenia nadal wymaga rozumienia kryptografii, a czasy odpowiedzi z komunikatu zmierzono na pojedynczym wątku procesora. Dla zespołu, który chce dziś policzyć koszt, jest to punkt wyjścia do eksperymentu, a nie gotowy element systemu.
Podsumowanie
HEIR nie jest nowością tego tygodnia i nie jest gotowym produktem. Jest za to wyraźnym dowodem, że wnioskowanie na danych zaszyfrowanych wychodzi poza etap prezentacji naukowej. Daje się je skompilować dla czterech różnych zadań: rekomendacji treści, wykrywania oszustw na karcie, wykrywania anomalii w ruchu sieciowym i rozpoznawania słowa aktywującego. Google stawia sprawę uczciwie, bo mówi wprost o niebanalnym narzucie kosztowym i o tym, że jedno kliknięcie dla niespecjalistów jest na razie zamiarem. Dla polskiej placówki medycznej albo instytucji finansowej wniosek jest jeden i jest projektowy. Pytanie, czy te dane w ogóle muszą opuścić serwerownię w czytelnej postaci, przestało mieć oczywistą odpowiedź. Zależy ona dziś głównie od kosztu obliczeń, a ten, jak zapewnia producent, szybko spada.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
