HEIR: IA privada com criptografia homomórfica na prática

O que é HEIR

HEIR é uma plataforma de desenvolvimento e uma cadeia de ferramentas de compilação para criptografia homomórfica. O nome vem de Homomorphic Encryption Intermediate Representation. A proposta é ajudar a transformar modelos e programas comuns em versões capazes de trabalhar com entradas cifradas.

O projeto foi criado por pesquisadores e engenheiros do Google dentro de uma linha maior de tecnologias de computação privada. A publicação do Google em 14 de agosto de 2026 apresentou o HEIR como uma ferramenta open source para tornar a inferência privada de IA mais acessível a quem não é especialista em criptografia.

A ideia ganhou atenção porque o servidor pode calcular sobre dados protegidos sem receber o conteúdo original em texto aberto. Isso pode ser útil em cenários como saúde, finanças e detecção de spam, nos quais o valor da análise precisa ser conciliado com regras fortes de privacidade.

Como funciona

Na criptografia tradicional, um serviço normalmente precisa descriptografar os dados antes de executar uma operação. Na criptografia homomórfica, o cliente cifra a entrada e o servidor realiza operações diretamente sobre o texto cifrado. Quando o resultado volta, ele pode ser decifrado pelo cliente.

Uma analogia simples é entregar ao servidor uma caixa trancada que permite algumas operações especiais. O servidor consegue combinar os valores dentro da caixa, mas não precisa abrir o conteúdo para produzir o resultado. A matemática real é bem mais complexa, porém a intuição ajuda a entender a separação entre processamento e acesso aos dados.

O HEIR entra no ponto mais trabalhoso desse fluxo: adaptar um programa ou modelo para as operações permitidas pelo esquema homomórfico e gerar uma representação adequada para os backends disponíveis. O compilador organiza essa transformação e cria uma base comum para testes, otimizações e comparações.

Principais recursos

O diferencial do HEIR é tratar a criptografia homomórfica como um problema de compilação e engenharia de software, e não apenas como uma tarefa manual de especialistas. Isso abre espaço para experimentar modelos privados com mais repetibilidade.

O projeto também funciona como uma plataforma de pesquisa. A infraestrutura pode ser usada para testar implementações, medir desempenho e comparar estratégias sem que cada equipe precise começar com um compilador próprio.

Entre os recursos e objetivos destacados pelo projeto estão:

• Conversão de modelos: adaptar modelos pré-treinados que recebem dados sem criptografia para operar sobre entradas cifradas.
• Representação intermediária: usar a base do MLIR para organizar diferentes dialetos e etapas de compilação.
• Backends e esquemas: oferecer uma arquitetura para integrar esquemas de FHE e implementações de alto desempenho.
• Demonstrações privadas: disponibilizar exemplos compilados com HEIR para tornar a experimentação mais concreta.

Como começar: instalação ou acesso passo a passo

O primeiro passo é entender o escopo. HEIR é um projeto de desenvolvimento, então você deve tratar o repositório, a documentação e os demos como ponto de partida para uma prova de conceito, não como um serviço gerenciado de inferência.

Você precisa de Git e de um ambiente compatível com as instruções do repositório escolhido. As dependências e os comandos de compilação podem mudar, por isso o README oficial deve ser a referência antes de instalar qualquer componente.

Para baixar os projetos oficiais e explorar o material inicial, use:

git clone https://GitHub.com/google/heir.git
git clone https://GitHub.com/google/fully-homomorphic-encryption.git

Depois, leia o README do HEIR e a documentação dos demos. Comece com um exemplo pequeno, registre o tempo de compilação e compare o resultado com uma execução equivalente sem criptografia. Essa comparação evita avaliar a tecnologia apenas pela promessa de privacidade e ignorar o custo computacional.

Exemplo prático

Imagine um serviço que calcula uma classificação simples para ajudar a identificar mensagens suspeitas. O usuário não quer enviar o conteúdo em texto aberto, e a equipe que opera o serviço não precisa conhecer a mensagem para executar a classificação.

Em uma prova de conceito, o cliente prepara a entrada, aplica a chave pública do esquema adotado e envia o resultado cifrado. O servidor recebe apenas o texto cifrado, executa o circuito compatível com o modelo e devolve uma resposta também protegida.

Por fim, o cliente usa sua chave privada para recuperar a classificação. O ponto importante é separar o exemplo conceitual da promessa de produção: desempenho, tamanho dos dados, precisão do modelo, gestão de chaves e tratamento de erros precisam ser medidos no caso real.

1. Defina uma função pequena, com poucas operações e entradas bem delimitadas.
2. Escolha um demo do repositório oficial e identifique o esquema de FHE usado.
3. Compile a função com HEIR e registre o tempo e o tamanho do resultado.
4. Compare a saída descriptografada com a saída do mesmo modelo em texto aberto.
5. Repita o teste com entradas diferentes antes de tirar qualquer conclusão.

Comparação com alternativas

Inferência local é a alternativa mais direta quando o dispositivo tem recursos suficientes. Ela evita enviar a entrada para um servidor, mas pode limitar o tamanho do modelo, o consumo de bateria e a velocidade disponíveis no cliente.

Ambientes confidenciais e enclaves protegem a execução com isolamento de hardware. Eles costumam ser mais práticos para muitos serviços, mas a garantia depende do hardware, do firmware, da configuração e da confiança no ambiente que hospeda a aplicação.

Privacidade diferencial, aprendizado federado e recuperação privada de informação resolvem problemas relacionados, mas não são equivalentes à FHE. A escolha depende do que precisa permanecer oculto, de quem pode ver cada etapa e de qual atraso a aplicação tolera.

• Use inferência local quando o modelo couber no dispositivo e a latência offline for prioridade.
• Use ambiente confidencial quando você precisa de um serviço de nuvem com bom desempenho e aceita uma camada de confiança em hardware.
• Use FHE com HEIR quando o servidor precisa calcular sem acessar a entrada e o custo extra puder ser medido e aceito.
• Combine técnicas quando uma única proteção não cobrir o modelo de ameaça completo.

Pontos positivos e limitações

O principal ponto positivo é a possibilidade de proteger os dados durante o processamento com uma garantia baseada em criptografia. Isso é diferente de proteger apenas o armazenamento ou o caminho de rede e pode reduzir a exposição do servidor a dados sensíveis.

Outro benefício é a tentativa de colocar uma camada de compilação entre o desenvolvedor e os detalhes mais difíceis da FHE. A presença de repositórios, demos e uma representação intermediária também ajuda equipes a estudar o assunto com mais método.

A limitação mais importante é o custo. Operações sobre dados cifrados podem exigir mais tempo, memória e largura de banda que as mesmas operações em texto aberto. Além disso, nem todo modelo ou operador se adapta bem ao esquema escolhido, e o suporte do compilador não elimina a necessidade de testes de segurança.

Casos de uso reais

Em saúde, uma instituição pode querer consultar um modelo sobre dados clínicos sem entregar o conteúdo bruto ao operador de uma infraestrutura externa. O fluxo exato depende de requisitos legais, governança, consentimento e validação médica, mas a proteção durante o cálculo é uma direção técnica relevante.

Em finanças, uma aplicação pode calcular uma pontuação ou uma regra sobre dados sensíveis sem revelar todas as variáveis ao serviço que executa o circuito. O desenho precisa considerar fraude, auditoria, explicabilidade e o risco de alguém inferir informações a partir de muitas respostas.

Em segurança e moderação, um provedor pode aplicar classificações sobre conteúdo privado sem transformar cada mensagem em dado legível para os operadores. O ganho só existe se o restante da plataforma também limitar retenção, telemetria e acesso administrativo.

Para pesquisadores e equipes de infraestrutura, HEIR serve como laboratório para comparar esquemas, aceleradores e modelos de inferência privada. Esse perfil pode contribuir com otimizações e medições antes de uma eventual adoção em um produto.

Dicas e boas práticas

Comece pelo modelo de ameaça, e não pela ferramenta. Liste quem pode ver a entrada, quem controla o servidor, quais resultados podem ser correlacionados e quanto tempo a aplicação pode levar para responder.

Reduza o circuito antes de tentar proteger um modelo grande. Uma função menor facilita a compilação, acelera os testes e mostra com clareza onde o custo da criptografia aparece.

Compare sempre três execuções: texto aberto, inferência local protegida e inferência homomórfica. A comparação deve incluir qualidade do resultado, latência, memória, tamanho das mensagens e custo operacional.

Vale a pena?

HEIR vale a pena para quem quer estudar inferência privada, construir uma prova de conceito ou investigar como compiladores podem reduzir a barreira de entrada em FHE. Ele também é interessante para equipes que precisam entender a diferença entre criptografia em trânsito e computação sobre dados cifrados.

Ele não é a escolha automática para qualquer API de IA. Se a aplicação exige baixa latência, usa um modelo grande ou ainda não tem uma estratégia de chaves e observabilidade, uma abordagem local ou um ambiente confidencial pode ser mais adequada no começo.

O próximo passo é escolher uma função pequena, baixar os repositórios oficiais e repetir um demo com medições próprias. A pergunta certa não é se FHE é mágica, mas se o ganho de privacidade compensa o custo no seu modelo de ameaça.