暗号化されたままAI推論する──Googleのオープンソースコンパイラ「HEIR」を公式ブログから読む

3行まとめ

1. HEIR（Homomorphic Encryption Intermediate Representation）は、事前学習済みのAIモデルを、暗号化されたままのデータに対して推論できるよう変換するGoogleのオープンソースコンパイラ。「プライベート・コンピューティング・ツールキット」の一部として公開された。
2. Googleはこの技術を使い、レコメンド・クレジットカード不正検知・ネットワーク侵入検知・ホットワード検出の4つのデモアプリケーションを、それぞれ外部企業・大学と共同で構築し、単一スレッドCPUでのレイテンシとともに公開している。
3. Georgia Tech・CMU・UC Santa Barbara・Illinois Institute of Technology・Purdue・University of Edinburgh・清華大学など複数の大学と共同研究を行っており、これまでにHEIRを基盤にした査読付き論文が4本発表され、さらに準備中だとしている。

「暗号化されたデータの上で計算する」という発想

Googleのセキュリティブログ記事（著者はStaff Software EngineerのJeremy Kun氏）は、AIとプライバシーのトレードオフをこう整理する。エンドツーエンド暗号化のような標準的な保護策は、データ漏洩からユーザーデータを守れる一方で、スパムやウイルス検知のようにそのデータに依存する機能をサービス提供者が実装できなくなる。医療・金融のような領域ではこのリスクへの警戒がさらに強く、規制が機関間のデータ共有を制限する。ローカル処理のような代替手段も、端末の性能や、サービス提供者側の知的財産（モデル自体）が端末に渡ることで漏洩しうるリスクに制約される。

準同型暗号（homomorphic encryption）は、この構図そのものを変える技術だとブログは説明する。暗号化されたデータに対して直接計算を行い、暗号化されたままの結果を返せるため、サーバーは暗号文を処理して結果を返すだけで、その中身を一切見ずに済む。ブログが挙げる例は「クラウドサービスがユーザーの特徴量を見ることなくコンテンツレコメンドを提供できる」というもので、実際に本文で紹介されているデモの1つがまさにこれにあたる。準同型暗号には無視できないコストのオーバーヘッドがあるが、それは急速に下がりつつあり、「能力とプライバシーのトレードオフ」が「コストの問題」へと置き換わりつつある、とブログは位置づけている。

HEIRとは何か

差分プライバシー・プライベート集合メンバーシップ・プライベート情報検索・Google Cloudのセキュアエンクレーブなど、Googleがこれまで手がけてきたプライバシー技術の延長線上に、今回加わったのが準同型暗号だとブログは説明する。ハードウェアベースの手法とは対照的に、準同型暗号の安全性・プライバシー保証は純粋に暗号理論にもとづく。しかし、既存のプログラムを効率よく準同型暗号対応に手作業で変換するには暗号研究者のチームが要る、という実用上のハードルがあった。

この使いやすさの壁を越えるために構築されたのがHEIRコンパイラプロジェクトだ。HEIR（Homomorphic Encryption Intermediate Representation）は、準同型暗号のためのオープンソースのコンパイラツールチェーン兼開発プラットフォームで、事前学習済みのAIモデルを、暗号化されていないデータ用から暗号化された入力に対応できる形に変換できる。Googleのビジョンは、これを「専門家でなくても本番アプリケーションに暗号化推論を組み込める、ワンクリックのソリューション」にすることだとブログは述べている。

2023年に構想を発表して以来、準同型暗号コミュニティの中でHEIRは支持を広げてきたという。ハードウェアアクセラレータを開発する企業（Belfort、Niobium、Cornami、Optalysys）とのパートナーシップも組まれており、その成果が下記のデモに表れている。今後はこれらアクセラレータによるレイテンシ改善のデモも予定されているとある。HEIRを土台にした研究協力先として、Georgia Tech・Carnegie Mellon University・UC Santa Barbara・Illinois Institute of Technology・Purdue・University of Edinburgh・清華大学などが名指しで挙げられており、これまでにHEIRを基盤にした査読付き論文が4本発表され、さらに準備中の論文があるという。

4つのデモ実装

ブログで紹介されている4つの実運用デモは、いずれもHEIRでコンパイルされ、単一スレッドCPUでのレイテンシが示されている（数値そのものは本文には明記されていなかった）。

• ディープラーニング・レコメンドモデル：プライベートなコンテンツ推薦を可能にする。Belfort Labs・LG・New York Universityとの共同研究
• クレジットカード不正検知：Niobium・hardshell.aiと共同で不正検知器をコンパイル
• ネットワーク侵入検知：Niobiumと共同で、暗号化されたネットワークトラフィックの異常検知システム「Kitsune」をコンパイル。サービス提供者はパケットの中身をユーザーに開示させることなく異常を検知できる
• ホットワード検出：Belfort Labsと共同でホットワード検出モデルをコンパイル。音声起動型AIエージェントが、録音された音声のプライバシーを保護したままホットワードを認識できる可能性を示している

これらすべてのソースコードはGoogleのGitHubリポジトリで公開されている、とブログには記載されている。

査読付き論文の中身を公式ドキュメントで確認する

ブログが「これまでにHEIRを基盤にした査読付き論文が4本発表され、さらに準備中」と述べていた点について、HEIR公式サイトの「Research with HEIR」ページ(heir.dev/docs/research_with_heir/)を直接開くと、具体的な論文タイトルが掲載されていた。

このページに「Publications built on HEIR」として明示的に列挙されていたのは3本で、ブログが述べる「4本」とは数が一致しなかった。HEIR自体を紹介する論文「HEIR: A Universal Compiler for Homomorphic Encryption」(arXiv:2508.11095、著者Asra Ali・Jaeho Choi・Bryant Gipson・Shruthi Gorantala・Jeremy Kun ほか)を数に含めれば4本になる可能性はあるが、この記事ではその数え方の違いを断定できていない。GitHubリポジトリgoogle/heir自体の統計は、2026年8月31日確認時点でスター数885・フォーク数164・ライセンスはApache License 2.0だった。

デモの具体的なレイテンシ数値までは取得できなかった

本記事はGoogle Security Blogの該当記事、HEIR公式サイト(heir.dev)、GitHubリポジトリページを一次ソースとしている。4つのデモの具体的なレイテンシ数値は、ブログ本文が「単一スレッドCPUで提示している」と明記しているにもかかわらず、この記事のテキスト抽出範囲では数値表・グラフの中身を取得できなかった(画像やインタラクティブな要素として埋め込まれている可能性がある)。GitHubリポジトリ内のコード自体の詳細な実装(4つのデモの実装コードそのもの)も、この記事では読んでいない。査読付き論文についてはタイトル・発表先・著者を確認できたが、各論文の本文までは開いておらず、内容の妥当性についての評価はできない。

日本語カバー

Zennでの言及はゼロ。Qiitaはレート制限のため今回未計測だった。「準同型暗号」という用語自体は暗号理論の文脈で日本語記事が存在するが、HEIRという固有名詞、および今回のGoogleのブログ発表への言及は確認できていない。

関連記事

• AI倫理 基本ガイド──バイアス・プライバシー・透明性【2026年】
• 生成AIのセキュリティリスク──企業が押さえるべき6つの脅威と対策
• 生成AIに個人情報を入力して大丈夫？──ChatGPT/Claude/Geminiの設定比較【2026年】