محدودیت تاخیر: چرا رمزنگاری همومورفیک نمی‌تواند هوش مصنوعی تعاملی را اجرا کند

رمزنگاری استاندارد از داده‌ها زمانی که روی هارد دیسک نشسته‌اند یا در شبکه جابجا می‌شوند، محافظت می‌کند. اگر سروری هک شود، مهاجم تنها متن رمزنگاری‌شده نامفهومی را استخراج می‌کند، زیرا کلید رمزگشایی با امنیت کامل نزد کاربر باقی می‌ماند. اما به محض اینکه سرور بخواهد واقعاً کاری با داده‌ها انجام دهد — جستجو، فیلتر کردن، یا تغذیه آن‌ها به یک مدل یادگیری ماشین — باید ابتدا آن‌ها را رمزگشایی کند. این امر یک پنجره آسیب‌پذیری ایجاد می‌کند که در آن داده‌ها به صورت متن ساده در حافظه سرور وجود دارند. رمزنگاری کاملاً همومورفیک (FHE) دقیقاً در یک جنبه متفاوت است: این روش به کامپیوتر اجازه می‌دهد عملیات ریاضی را مستقیماً روی متن رمزنگاری‌شده انجام دهد و نتیجه‌ای رمزنگاری‌شده تولید کند که وقتی توسط کاربر رمزگشایی می‌شود، با پاسخی که سرور در صورت کار روی متن ساده به دست می‌آورد، مطابقت دارد.[3]

این مفهوم اغلب توسط صنعت امنیت سایبری به عنوان فیلتر نهایی حریم خصوصی بازاریابی می‌شود و آینده‌ای را نوید می‌دهد که در آن کاربران می‌توانند بدون فاش کردن پرامپت‌های خود، از مدل‌های زبانی بزرگ (LLM) مبتنی بر ابر سوال بپرسند. در تئوری، یک کاربر می‌تواند یک سند مالی رمزنگاری‌شده را به یک هوش مصنوعی ابری بفرستد، هوش مصنوعی توکن‌ها را بدون دانستن معنای آن‌ها پردازش کند و یک خلاصه رمزنگاری‌شده برگرداند. با این حال، واقعیت ریاضیات محدودیت‌هایی را تحمیل می‌کند که این چشم‌انداز را روی سخت‌افزارهای فعلی از نظر ساختاری غیرممکن می‌سازد. این قابلیت وجود دارد، اما جریمه محاسباتی آن به قدری شدید است که معنای قابل اجرا بودن یک برنامه را از نو تعریف می‌کند.[3]

برای درک اینکه چرا FHE تا این حد کند و طاقت‌فرساست، باید به نحوه برخورد آن با نویز نگاه کرد. وقتی کریگ جنتری (Craig Gentry) اولین طرح عملی FHE را در سال ۲۰۰۹ منتشر کرد، مشکلی را حل کرد که رمزنگاران را از سال ۱۹۷۸ متوقف کرده بود. پیشرفت او بر پایه رمزنگاری مبتنی بر شبکه (lattice-based cryptography) بود، جایی که هر قطعه از داده‌های رمزنگاری‌شده مقدار کمی «نویز» ریاضی را برای تضمین امنیت به همراه دارد. عملیات جمع این نویز را اندکی افزایش می‌دهد. اما عملیات ضرب، نویز را به صورت نمایی چند برابر می‌کند. در یک شبکه عصبی عمیق که به میلیون‌ها ضرب ماتریسی متوالی متکی است، نویز به سرعت آنقدر بزرگ می‌شود که داده‌های زیربنایی را مخدوش کرده و رمزگشایی نتیجه نهایی را غیرممکن می‌سازد.[3]

راه حل این انفجار نویز، فرآیندی به نام «بوت‌استرپینگ» (bootstrapping) است. قبل از اینکه نویز به آستانه مخدوش‌سازی برسد، سیستم به صورت همومورفیک مدار رمزگشایی خود را ارزیابی می‌کند. در اصل، داده‌های رمزنگاری‌شده را برای بار دوم رمزنگاری می‌کند، لایه داخلی را با استفاده از نسخه رمزنگاری‌شده کلید مخفی رمزگشایی می‌کند و یک متن رمزنگاری‌شده تازه با نویز صفر شده تحویل می‌دهد. این عملیات از نظر محاسباتی بسیار سنگین است. در پیاده‌سازی‌های مدرن مانند کتابخانه حساب رمزنگاری‌شده ساده مایکروسافت (SEAL)، بوت‌استرپینگ یک متن رمزنگاری‌شده واحد می‌تواند از چند میلی‌ثانیه تا چند ثانیه طول بکشد. وقتی این زمان در میلیاردها پارامتر یک مدل هوش مصنوعی مدرن ضرب شود، سربار آن به ۱۰۰۰ تا ۱۰۰۰۰ برابر هزینه اجرای متن ساده می‌رسد.[1][3]

فراتر از جریمه سرعت خام، FHE اساساً نحوه نوشتن نرم‌افزار را تغییر می‌دهد. از آنجا که سرور نمی‌تواند داده‌هایی را که در حال پردازش است ببیند، نمی‌تواند بر اساس آن داده‌ها تصمیم‌گیری کند. همان‌طور که مستندات کتابخانه SEAL مایکروسافت صراحتاً به توسعه‌دهندگان هشدار می‌دهد، «انشعاب‌گیری روی داده‌های رمزنگاری‌شده امکان‌پذیر نیست.» در برنامه‌نویسی استاندارد، یک دستور انشعاب ساده «اگر/آنگاه» (if/then) چند میکروثانیه طول می‌کشد: اگر مقداری بزرگتر از صفر بود، مسیر A را اجرا کن؛ در غیر این صورت، مسیر B را اجرا کن. تحت رمزنگاری همومورفیک، سرور نمی‌داند آیا مقدار بزرگتر از صفر است یا خیر. بنابراین، باید هم مسیر A و هم مسیر B را به طور کامل اجرا کند، نتایج رمزنگاری‌شده هر دو را محاسبه کند و از یک انتخابگر ریاضی رمزنگاری‌شده برای صفر کردن مسیر نادرست استفاده کند.[1]

این محدودیت انشعاب‌گیری، FHE را برای بارهای کاری خاص و قابل پیش‌بینی بسیار کارآمد و برای سایر موارد کاملاً نامناسب می‌سازد. اگر بانکی بخواهد یک مدل رگرسیون لجستیک ثابت را روی یک میلیون رکورد تراکنش رمزنگاری‌شده برای کشف تقلب اجرا کند، FHE می‌تواند این فرآیند دسته‌ای (batch) را به طور موثر مدیریت کند. عملیات کاملاً خطی هستند و شتاب‌دهنده‌های مدرن GPU می‌توانند هزاران متن رمزنگاری‌شده را به طور همزمان پردازش کنند. اما اگر کاربری بخواهد یک مدل زبانی بزرگ تعاملی و خودهمبسته (autoregressive) را اجرا کند — جایی که هر توکن تولید شده، مسیر محاسباتی توکن بعدی را دیکته می‌کند — ناتوانی در انشعاب‌گیری پویا، سیستم را مجبور می‌کند بخش‌های وسیعی از شبکه عصبی را به طور غیرضروری ارزیابی کند.[3]

نیازهای حافظه نیز همگام با بار محاسباتی افزایش می‌یابد. یک عدد صحیح ۳۲ بیتی که ۴ بایت از رم استاندارد را اشغال می‌کند، به یک چندجمله‌ای متن رمزنگاری‌شده تبدیل می‌شود که می‌تواند ده‌ها کیلوبایت فضا مصرف کند. یک شبکه عصبی کوچک که در حالت متن ساده به ۵۰۰ مگابایت حافظه نیاز دارد، هنگام کار روی ورودی‌های رمزنگاری‌شده همومورفیک می‌تواند به راحتی صدها گیگابایت DRAM طلب کند. برای استقرارهای سازمانی، این بدان معناست که اجرای یک «هوش مصنوعی خصوصی» نیازمند تامین خوشه‌های سروری است که هزینه‌ای به مراتب بیشتر از نمونه‌های استاندارد دارند و عملاً مزایای اقتصادی برون‌سپاری ابری را از بین می‌برند.[3]

صنعت در حال حاضر دو مسیر واگرا را برای دور زدن این محدودیت‌ها دنبال می‌کند. مسیر اول نوآوری الگوریتمی است، مانند پیگیری «توابع هم‌وردا» (equivariant functions) که با عملیات رمزنگاری استاندارد جابجا می‌شوند تا به تاخیر اضافی صفر برسند، هرچند این کار نیازمند آموزش مجدد و کامل مدل‌های پایه است. مسیر دوم شامل کنار گذاشتن کامل FHE برای استنتاج هوش مصنوعی و چرخش به سمت محیط‌های اجرای قابل اعتماد (TEE) یا «محاسبات محرمانه» است. محیط‌های TEE داده‌ها را در یک محیط امن و ایزوله‌شده سخت‌افزاری روی پردازنده رمزگشایی می‌کنند و مدل را با سرعتی نزدیک به حالت بومی اجرا می‌کنند، در حالی که از نظر ریاضی به کاربر ثابت می‌کنند سیستم‌عامل میزبان نمی‌تواند به حافظه دسترسی پیدا کند.[2][3]

در حال حاضر، استقرار رمزنگاری همومورفیک همچنان یک تمرین محتاطانه در انتخاب بار کاری است. امروزه از این روش به طور فعال در اتاق‌های تمیز داده (data clean rooms) امن استفاده می‌شود که به شرکت‌های داروسازی رقیب اجازه می‌دهد بدون افشای مجموعه داده‌های اختصاصی خود، آمار تجمعی را روی گروه‌های بیماران ترکیبی محاسبه کنند. با این حال، این روش آن فیلتر حریم خصوصی آماده و بی‌دردسری برای هوش مصنوعی مصرف‌کننده که در محتواهای بازاریابی القا می‌شود، نیست. ریاضیات حریم خصوصی مطلق است، اما فیزیک محاسبات ایجاب می‌کند که بهای هر تضمینی با چرخه‌های پردازشی، حافظه و زمان پرداخت شود.[3]