AI・テクノロジー

Google「HEIR」が切り拓くPrivate AIの実用化：完全準同型暗号（FHE）による復号不要の暗号化推論とクラウドAIの未来

Q: HEIRはオープンソースですか？ どこから試せますか？

はい、HEIRはApache 2.0ライセンスのオープンソースプロジェクトとしてGitHub（google/heir）および公式サイト（heir.dev）で公開されています。C++およびMLIRの開発環境、Bazelビルドシステムを用いてビルドし、PyTorchからのモデル変換チュートリアルをすぐに試すことができます。

Googleが完全準同型暗号（FHE）向けオープンソースコンパイラ「HEIR」の最新進展と実用デモを公開。データを暗号化したまま復号せずにAI推論を実行する『Private AI』の全貌、MLIRアーキテクチャ、実証された4つのユースケース、専用ハードウェアアクセラレーションの最前線を徹底解説します。

AntiGravity

15 8月 2026 • 10 min read

はじめに：AIの進化と「プライバシーの壁」を突破する暗号技術

現代のAIテクノロジーは、膨大なデータをクラウド上の巨大な計算リソースで処理することによって劇的な進化を遂げてきました。大規模言語モデル（LLM）から高精度な推薦エンジン、リアルタイムの異常検知システムに至るまで、私たちが日々享受しているAIサービスの多くはクラウドインフラに依存しています。

しかし、AIの適用領域が医療診断、金融取引、社内機密文書の分析、音声・生体データといった極めてセンシティブな領域へ拡大するにつれ、「クラウドAIの利便性」と「データプライバシー・機密保護」の深刻なジレンマが浮き彫りになっています。

従来のエンドツーエンド暗号化（E2EE）では、通信経路やストレージ上でのデータ保護は可能であるものの、サーバ側でデータを処理する際には必ず「復号（平文化）」しなければなりません。復号されたデータは、クラウド事業者やサーバの管理者、さらにはインフラの脆弱性を突くサイバー攻撃者から閲覧・窃取されるリスクに常に晒されます。一方で、データを保護するために端末内（オンデバイス / エッジ）だけでAIを実行しようとすれば、ハードウェアの性能制約や電力消費の壁に直面し、さらにサービス事業者が莫大なコストをかけて開発したモデルの知的財産（重みパラメータ）がリバースエンジニアリングされるリスクを抱えることになります。

この長年のトレードオフを暗号学的に根本から解決する技術として期待されてきたのが、「完全準同型暗号（FHE: Fully Homomorphic Encryption）」です。FHEを用いれば、データを暗号化したまま一度も復号することなく、クラウド上で直接AIモデルの推論計算を実行し、暗号化された結果だけをクライアントに返送することができます。

2026年8月14日、Google Securityチームは、このFHEをAI開発者にとって実用的なものにするための画期的なオープンソースコンパイラツールチェーン「HEIR（Homomorphic Encryption Intermediate Representation）」の最新進展と、4つの実用的な暗号化AI推論（Private AI Inference）のデモを公開しました。

本記事では、Googleが公開した「HEIR」のアーキテクチャ、完全準同型暗号の仕組み、実証された推薦・金融・セキュリティ・音声認識モデルの性能、専用ハードウェアアクセラレータとの連携、そしてPrivate AIがもたらす産業界へのインパクトを技術的に深く掘り下げて解説します。

1. なぜ完全準同型暗号（FHE）が必要なのか？従来のプライバシー保護技術との決定的な違い

Private AIを実現するためのアプローチはFHEだけではありません。しかし、従来の代替技術と比較したとき、FHEには決定的な強みがあります。

flowchart TB
    subgraph Client ["クライアント（ユーザー / 端末）"]
        PlainData["平文データ (生データ)"]
        EncKey["暗号化鍵 / 復号鍵"]
        EncData["暗号化データ (Ciphertext)"]
        DecResult["復号された推論結果"]
    end

    subgraph Cloud ["クラウド / 外部サーバ (Untrusted)"]
        AIModel["AIモデル / HEIRコンパイル回路"]
        EncInference["暗号化のまま推論計算 (復号不要)"]
        EncOutput["暗号化された推論結果"]
    end

    PlainData -->|暗号化| EncData
    EncData -->|ネットワーク送信| AIModel
    AIModel --> EncInference
    EncInference --> EncOutput
    EncOutput -->|暗号化結果の返送| DecResult
    EncKey -.->|手元でのみ復号| DecResult

1-1. エンドツーエンド暗号化（E2EE）の限界

E2EEはメッセージングアプリなどで広く利用されていますが、データは「保管時（Data-at-Rest）」と「転送時（Data-in-Transit）」にのみ暗号化されます。「計算時（Data-in-Use）」には平文化が必要となるため、クラウド側でAIモデルによる高度なフィルタリングや分析、パーソナライズを実行することは原理的に不可能です。

1-2. 機密コンピューティング（TEE / Secure Enclaves）の課題

Intel SGXやAMD SEV、AWS Nitro Enclavesなどの機密コンピューティング（Trusted Execution Environment: TEE）は、CPU内部に保護された隔離領域（Enclave）を設け、メモリ暗号化を行うことでサーバ管理者からもデータを隠蔽します。

しかし、TEEには以下のような固有の課題が存在します：

ハードウェアへの完全依存: チップメーカーのファームウェアとハードウェア設計を無条件に信頼しなければならない。
サイドチャネル攻撃の脅威: Spectre、Meltdown、Cache-timing攻撃、電力解析など、CPUのマイクロアーキテクチャ上の脆弱性を利用したサイドチャネル攻撃によってEnclave内のデータが漏洩するリスクが定期的に報告されている。
クラウドGPU環境での制限: GPUを用いた大規模並列計算環境において、完全なEnclave保護を低オーバーヘッドで実現することは技術的に極めて困難。

1-3. 完全準同型暗号（FHE）の数学的安全性

これに対し、FHEはハードウェアに依存しない純粋な暗号学的・数学的保証を提供します。暗号化されたデータ（暗号文）は、格子暗号問題（LWE: Learning With Errors や RLWE: Ring Learning With Errors）の困難性に基づいているため、現代のスーパーコンピュータはもちろん、将来の量子コンピュータに対しても耐性（耐量子暗号 / Post-Quantum Cryptography）を持ちます。

クラウド事業者はもちろん、万が一クラウドサーバが物理的・論理的に完全に乗っ取られたとしても、暗号文から生データを復元することは数学的に不可能です。

2. 完全準同型暗号（FHE）が抱えていた「3つの高い壁」

これほど理想的な性質を持つFHEですが、なぜこれまで広く普及してこなかったのでしょうか。そこには3つの巨大な技術的障壁が存在していました。

壁①：膨大な計算オーバーヘッドと「ノイズの蓄積」

FHEでは、データを多項式環の元（係数が巨大な多項式）として表現し、安全性を保つために微小なランダムノイズを付加して暗号化します。

加算演算を行うとノイズは線形に増加します。
乗算演算を行うとノイズは乗数的に急増します。

ノイズがある閾値を超えると、データを復号した際に元の平文が破壊されてしまいます。このノイズをリセットして計算を無限に継続可能にする操作を「ブートストラップ（Bootstrapping）」と呼びます。しかし、ブートストラップ自体が極めて重い暗号計算であり、1回のブートストラップに数十ミリ秒〜数秒を要することが、FHEの実行速度を平文処理の数千倍〜数万倍遅くする主因となっていました。

壁②：非線形演算の制約

深層学習（ニューラルネットワーク）のコアである活性化関数（ReLU、GELU、Sigmoid、Softmax等）や比較演算、条件分岐は「非線形」な演算です。FHEの基本演算は多項式の加算と乗算（算術回路）であるため、非線形な関数をそのまま計算することができません。これらを高精度かつ計算量を抑えて多項式近似（チェビシェフ多項式展開など）に変換する高度な数理設計が必要でした。

壁③：暗号学の専門知識の要求

これまでのFHEライブラリ（Microsoft SEAL、OpenFHE、Zama Concrete等）を利用してAIモデルを暗号化推論させるには、暗号学の博士号を持つ専門家チームが、暗号パラメータ（多項式の次数 $N$、モジュラスサイズ $Q$、スケールファクター等）を手作業でチューニングし、回路を最適化する必要がありました。一般的なAIエンジニアやソフトウェア開発者にとって、参入障壁はあまりにも高すぎたのです。

3. Google「HEIR」コンパイラの設計とブレイクスルー

Googleが開発した「HEIR (Homomorphic Encryption Intermediate Representation)」は、これらの障壁を一気に打破するために設計された、MLIR（Multi-Level Intermediate Representation）ベースの次世代コンパイラツールチェーンです。

graph TD
    subgraph Frontend ["フロントエンド (AIモデル入力)"]
        PyTorch["PyTorch / JAX"]
        ONNX["ONNX / TFLite"]
        TOSA["MLIR TOSA / Linalg Dialect"]
    end

    subgraph HEIRCompiler ["HEIR コンパイラ最適化パイプライン"]
        SecretDialect["secret Dialect (高レベル暗号スキーム非依存)"]
        PolyApprox["非線形関数の多項式近似 (ReLU, Sigmoid etc.)"]
        AutoSIMD["SIMDパッキング & ベクトル化最適化"]
        SchemeLowering["暗号スキーム固有Dialect (CKKS, BFV, BGV, CGGI)"]
        PolyRing["多項式環・RNS演算最適化 (polynomial Dialect)"]
        NoiseMgt["自動パラメータ選定 & ノイズ管理"]
    end

    subgraph Backend ["バックエンド / ターゲット実行環境"]
        CPULib["ソフトウェアライブラリ (OpenFHE, SEAL)"]
        CustomC["生成 C++ コード"]
        HardwareASIC["FHE専用ASIC / 光プロセッサ (Belfort, Niobium, Cornami, Optalysys)"]
    end

    PyTorch --> TOSA
    ONNX --> TOSA
    TOSA --> SecretDialect
    SecretDialect --> PolyApprox
    PolyApprox --> AutoSIMD
    AutoSIMD --> SchemeLowering
    SchemeLowering --> PolyRing
    PolyRing --> NoiseMgt
    NoiseMgt --> CPULib
    NoiseMgt --> CustomC
    NoiseMgt --> HardwareASIC

3-1. MLIR（Multi-Level Intermediate Representation）の採用

LLVMプロジェクトから派生したMLIRは、TensorFlowやLLMコンパイラ（XLA、IREEなど）でも中核を担う強力なコンパイラインフラです。HEIRはMLIRを採用することで、高レベルな機械学習のテンソル表現から、暗号スキーム固有の中間表現、最下層のハードウェア命令までを複数の抽象レイヤー（Dialect）に分割して段階的に最適化（Lowering）します。

3-2. 多層ダイアレクト（Dialect）の構造

HEIR内部では、以下のような専用ダイアレクトが協調して動作します：

ダイアレクト名	役割と抽象化レベル
`secret`	暗号化対象となる機密データ型（`!secret.secret<tensor<...>>`）を定義し、平文プログラムのロジックを保ったまま暗号変換対象をマークする高レベル層
`ckks` / `bfv` / `bgv`	各FHE暗号方式固有の演算（Rotations、Rescaling、Relinearizationなど）をモデル化する中間層
`cggi` / `tfhe`	ビット演算やブールゲート、プログラマブル・ブートストラップを扱う論理回路層
`polynomial`	多項式環 $\mathbb{R}[X]/(X^N + 1)$ 上の剰余数系（RNS: Residue Number System）や数論変換（NTT: Number Theoretic Transform）を最適化する低レベル代数層

3-3. HEIRがもたらす自動化技術

自動SIMDパッキング（バッチ処理の最大化）: FHEの暗号文1つ（スロット）には数千〜数万個の数値を同時に格納（パッキング）して並列計算できます。HEIRはループ構造を解析し、データの配置とローテーション演算を自動的に最小化します。
自動ノイズ予測とパラメータチューニング: プログラム内の乗算深度（Multiplicative Depth）を静的解析し、計算途中でノイズ溢れが起きない最小の暗号パラメータ（多項式次数 $N=2^{13}, 2^{14}, 2^{15}$ 等）を自動選定します。
活性化関数の自動多項式近似: モデル内の非線形関数を検出し、指定された許容誤差範囲内で最小次数のチェビシェフ多項式へと自動置換します。

開発者は、PyTorch等で学習済みモデルを用意し、HEIRコンパイラを通すだけで、暗号学の詳細に踏み込むことなく暗号化推論バイナリをビルドできるようになります。

4. Googleが公開した4つの実用デモアプリケーションと性能検証

Google Securityチームは、HEIRを用いてコンパイルされた4つの本格的なPrivate AI推論アプリケーションをオープンソースとして公開しました。これらはすべて、一般的なシングルスレッドCPU上で測定された実測データに基づいています。

pie title 実証された4つのPrivate AIアプリケーション
    "DLRM 推薦システム" : 35
    "クレカ不正検知" : 25
    "Kitsune ネットワーク侵入検知" : 20
    "Hotword 音声ウェイクワード検知" : 20

① DLRM（Deep Learning Recommendation Model）：コンテンツ推薦

共同開発: Belfort Labs, LG, ニューヨーク大学（NYU）
概要: Metaが提唱するDLRMアーキテクチャに基づき、ユーザーの購買履歴、閲覧ログ、デモグラフィック属性を暗号化したままクラウドへ送信。
成果: サーバ側はユーザーの特徴量データを1ビットも平文で見ることなく、高精度なレコメンデーションスコア（クリック率予測など）を暗号文として計算・返却。プライバシーを侵害しない広告配信・パーソナライズの実現を実証。

② クレジットカード不正検知（Fraud Detection）

共同開発: Niobium, hardshell.ai
概要: 金融取引におけるカード番号、取引額、位置情報、店舗属性などの機密トランザクションデータを暗号化。
成果: 金融機関のプライバシーポリシーやGDPR/PCI DSS規制を遵守しながら、リアルタイムに不正スコアを算出してリスク取引を判定。

③ Kitsune（ネットワークパケット異常検知システム）

共同開発: Niobium
概要: 企業の社内ネットワークトラフィックを監視するオートエンコーダーベースの侵入検知システム。
成果: パケットのペイロードやメタデータをISPや外部セキュリティSOCに平文で開示することなく、暗号化されたトラフィック特徴量から未知のサイバー攻撃や異常通信を検出。

④ Hotword Detector（プライバシー保護型音声ウェイクワード認識）

共同開発: Belfort Labs
概要: スマートスピーカーやAI音声エージェントのウェイクワード（「OK Google」等）を検出する音声モデル。
成果: マイクが拾った室内の会話音声を端末側で暗号化してクラウドに送信。クラウド側は会話内容を一切盗聴・復号することなく、特定のウェイクワードが発話されたかどうかの判定結果のみを返送。私的空間の盗聴懸念を数学的に完全払拭。

5. ハードウェアアクセラレーション：CPUからASIC・光コンピューティングへ

現在、CPU上で動作するFHE推論は、平文処理と比較して数百倍〜数千倍の遅延が存在します。しかし、このレイテンシギャップは専用ハードウェアアクセラレータ（FHE Accelerator）の登場によって急速に縮小しています。

Googleは、世界最先端のFHEハードウェア開発企業とのパートナーシップを結び、HEIRコンパイラのバックエンドをそれらのプロセッサに対応させています。

timeline
    title FHEの進化と処理性能のタイムライン
    2009 : Gentryによる最初のFHE理論提唱（平文の数十億倍遅い）
    2015-2020 : BFV/CKKS/TFHE等の第2・第3世代スキーム確立
    2023 : GoogleがHEIRプロジェクト発足
    2026 : Google HEIRコンパイラと実用デモ公開（CPUで秒単位〜数百ミリ秒）
    2027+ : FHE専用ASIC・光コンピューティング実用化（ミリ秒以下のリアルタイム推論へ）

主要ハードウェアパートナーとアプローチ

Niobium: 暗号化コンピューティング専用プロセッサを開発。多項式乗算と数論変換（NTT）をパイプライン化した専用シリコンにより、CPU比で100倍以上の高速化を目標とする。
Cornami（TruCrypto）: 超高並列・柔軟なプログラマブルコンピューティングファブリックを採用し、FHEの巨大なデータ帯域幅と多倍長整数演算を効率的に処理。
Belfort Labs: 深層学習推論に特化したFHE ASICを設計し、HEIRとの緊密な統合でエッジからクラウドまでの低遅延暗号化推論を支援。
Optalysys: 電気信号ではなく「光（Optical Computing）」の干渉を利用して多項式演算（フーリエ変換 / NTT）を一瞬で計算するフォトニクスプロセッサを開発。消費電力を劇的に抑えつつ超高速化を実現。
Intel（HERACLES / PISA）: DARPA DPRIVEプログラムなどを通じて策定された多項式命令セットアーキテクチャ（PISA）をHEIRのバックエンドとして統合。

ハードウェアアクセラレータがクラウドデータセンターに配備されることで、FHEによるAI推論は「実用的なミリ秒単位のレスポンス」へと突入しつつあります。

6. Private AIがもたらす産業別ユースケースと未来

HEIRによるFHEの実用化は、これまでデータプライバシーの規制によってクラウドAIの導入が阻まれていた産業分野にパラダイムシフトをもたらします。

mindmap
  root((Private AIの応用分野))
    医療・ヘルスケア
      ゲノム解析・DNA診断
      複数病院間のカルテ共同AI分析
      新薬開発の分子スクリーニング
    金融・フィンテック
      クロスボーダー不正検知
      信用スコアリング
      インサイダー取引検知
    エンタープライズ
      機密コード・特許文書のRAG検索
      マルチテナントSaaSの完全分離
      サプライチェーン情報の統合分析
    スマートホーム・IoT
      常時暗号化音声アシスタント
      見守りカメラのプライベート画像認識
      生体認証データのクラウド照合

6-1. 医療・ゲノム解析（Healthcare & Genomics）

患者のゲノム情報や電子カルテは、究極の個人情報です。FHEを活用することで、世界中の病院が患者データを暗号化したまま1つのクラウドAIモデルに投入し、希少疾患の診断支援や新薬候補のスクリーニングをプライバシー漏洩ゼロで実現できます。

6-2. 金融コンソーシアムにおける不正対策（Financial Consortia）

競合する複数の銀行間で、顧客データを平文で共有することは法律上不可能です。しかし、FHEを用いれば、全行の取引データを暗号化したまま統合AIモデルで分析し、マネーロンダリングや国際的な組織犯罪ネットワークを特定できます。

6-3. エンタープライズRAGと機密文書検索

社外秘のソースコードや契約書をパブリッククラウドのAIに読み込ませることに躊躇していた大企業も、FHEベースのベクトル検索と推論パイプラインを用いることで、完全なデータ主権（Data Sovereignty）を保持したまま最新の基盤モデルを活用できます。

7. 実務エンジニア向け：FAQ（よくある質問と回答）

Q1. FHEと差分プライバシー（Differential Privacy）は何が違うのですか？

A1. 差分プライバシーは「データセット全体から統計情報を取り出す際に、ノイズを付加して個人の特定を防ぐ」技術です。データの集計やモデルの学習時に利用されます。一方、FHEは「個別の入力データそのものを暗号化したまま計算を行う」技術であり、個人の詳細な推論結果（例：個人の医療診断や個別推薦）をそのまま暗号化して正確に返すことができます。両者は補完関係にあります。

Q2. HEIRは大規模言語モデル（LLM）の推論にも使えますか？

A2. 現時点のHEIRおよびFHE技術は、推薦モデル（DLRM）、CNN、小型のトランスフォーマー、異常検知オートエンコーダーなどの中小規模モデルで極めて高い実用性を示しています。数十億〜数千億パラメータを持つ巨大LLMの全層をFHE化するには、まだメモリ帯域幅とブートストラップのコストが課題です。現在は、機密データを含むEmbedding層や特定のアテンション層のみをFHE化する「ハイブリッド暗号化推論」の研究が急速に進んでいます。

Q3. HEIRはオープンソースですか？どこから試せますか？

A3. はい、HEIRはApache 2.0ライセンスのオープンソースプロジェクトとしてGitHub（google/heir）および公式サイト（heir.dev）で公開されています。C++およびMLIRの開発環境、Bazelビルドシステムを用いてビルドし、PyTorchからのモデル変換チュートリアルをすぐに試すことができます。

8. まとめ：プライバシー・バイ・デザインの新たな標準へ

Googleによる「HEIR」コンパイラの発表と実用デモの公開は、完全準同型暗号が「学術的な理論研究」のフェーズを終え、「実用的なソフトウェア・エンジニアリング」のフェーズへと移行した決定的なマイルストーンです。

MLIRによる抽象化: 複雑怪奇だった暗号回路の構築をコンパイラが自動最適化。
現実的なユースケースの実証: 推薦、不正検知、パケット解析、音声認識がシングルCPUでも現実的な時間で動作。
ハードウェアエコシステムの爆発: 専用ASICや光プロセッサの登場により、ミリ秒単位のリアルタイム推論が射程圏内に。

今後、クラウドAIサービスを選定する際の基準は、「そのAIがいかに賢いか」だけでなく、「暗号学的に安全が証明されているか（Cryptographically Secure Private AI）」へとシフトしていくことは間違いありません。エンジニアやアーキテクトにとって、HEIRとFHEがもたらすプライバシー革命の動向から目が離せません。

参考ソース・関連リンク

Google Security Blog: How Google is Making Private AI Practical with Homomorphic Encryption (2026年8月14日公開)
HEIR Official Site & Documentation: HEIR: Homomorphic Encryption Intermediate Representation
GitHub Repository: google/heir: A compiler for homomorphic encryption
arXiv Research Paper: HEIR: A Universal Compiler for Homomorphic Encryption
explainx.ai: Google HEIR: Homomorphic Encryption for Private AI (2026)

Google DeepMind体制刷新：ハサビス退任とジェフ・ディーン離脱