💻 computer science

Jaguar: Fast Private CNN Inference with Power-of-Two Homomorphic Arithmetic

Jaguar ist ein privates CNN-Inferenzsystem, das einen Zweierpotenz-Ciphertext-Ring nutzt, um eine effiziente Skalar-Polynom-Faltung und exakte lokale Trunkierung zu ermöglichen, wodurch Protokollengpässe eliminiert und im Vergleich zu aktuellen hybriden HE/2PC-Lösungen eine signifikant geringere Latenz sowie einen geringeren Kommunikationsaufwand erreicht wird.

Ursprüngliche Autoren: Yewon Jeong, Nayoung Jung, Hyeri Roh, Woo-Seok Choi

Veröffentlicht 2026-06-11

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Yewon Jeong, Nayoung Jung, Hyeri Roh, Woo-Seok Choi

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie möchten einen superintelligenten Koch (den Server) bitten, ein komplexes Gericht nach Ihrem geheimen Familienrezept (den Daten des Clients) zu kochen. Sie möchten nicht, dass der Koch Ihr Rezept sieht, und der Koch möchte auch nicht seine geheimen Kochtechniken (das Modell) preisgeben.

Um dies zu lösen, nutzen Sie eine spezielle „magische Küche“, in der die Zutaten in unzerbrechlichen Boxen (Verschlüsselung) eingeschlossen sind. Der Koch kann mit den Boxen kochen, ohne sie jemals zu öffnen. Das nennt man Private Inference.

Es gibt jedoch ein Problem: Die aktuellen magischen Küchen sind langsam und klobig. Der Koch verbringt 99 % der Zeit damit, nur herauszufinden, wie er die Zutaten innerhalb der Boxen mischen soll, und er muss zusätzliche, unnötige Schritte ausführen, um sicherzustellen, dass die Messungen präzise sind.

Hier kommt Jaguar, ein neues System, das entwickelt wurde, um diese Engpässe zu beheben. So funktioniert es, unter Verwendung einfacher Analogien:

1. Der alte Weg: Die „Primzahl-Falle“

Die meisten bisherigen Systeme nutzten eine Regel basierend auf Primzahlen (wie 7, 13, 17), um die Mathematik innerhalb der verschlossenen Boxen durchzuführen.

Das Problem: Primzahlen sind großartig für allgemeine Mathematik, aber schrecklich für die spezifische Art des „Mischens“ (Konvolution), die für die Bilderkennung benötigt wird. Es ist, als würde man versuchen, einen perfekten quadratischen Kuchen mit einer Kreissäge zu schneiden. Man muss viel zusätzliche Arbeit beim Schneiden und Schleifen leisten (modulare Reduktion), damit die Stücke passen, was alles verlangsamt.
Das Präzisions-Chaos: Außerdem wurden die Messungen, wenn der Koch die Zutaten mischte, zu groß (verdoppelte Präzision). Der Koch musste mit den großen Messwerten kochen, dann anhalten, eine zweite Person rufen, um sie auf die richtige Größe zu hacken (Trunkierung) und dann prüfen, ob das Essen gut war (ReLU). Dies waren zwei separate, langsame Schritte.

2. Die Jaguar-Lösung: Der „Zweierpotenz“-Schalter

Jaguar nimmt eine mutige Änderung vor: Es wechselt die mathematische Regel von Primzahlen zu Zweierpotenzen (wie 2, 4, 8, 16, 3lement 32).

Warum das hilft: In der digitalen Welt sind Zweierpotenzen wie „perfekt passende Lego-Steine“. Man muss nichts schleifen oder schneiden. Wenn man eine Zahl reduzieren muss, kann man einfach die überschüssigen Teile „maskieren“ (wie das Abknipsen eines Lego-Teils). Dies macht die Mathematik unglaublich schnell.

3. Die drei magischen Tricks von Jaguar

A. Die „Skalar-Polynom“-Küche (SPA-CONV)

Der alte Weg: Der Koch musste zwei riesige, komplexe Rezepte gleichzeitig miteinander multiplizieren. Das war schwerfällig und langsam.
Der Jaguar-Weg: Da die Mathematik nun auf Zweierpotenzen basiert, muss der Koch nicht zwei riesige Rezepte multiplizieren. Stattdessen nimmt er einfach eine einzelne Zutat (einen Skalar), multipliziert sie mit einem Rezept und schiebt sie dann über das Rezept. Er macht dies viele Male und addiert die Ergebnisse.
Das Ergebnis: Es ist, als würde man einen schweren Industriemixer gegen einen einfachen, schnellen Handrührbesen austauschen. Das Papier behauptet, dass dies den „Mischschritt“ 2 bis 3 Mal schneller macht als die bisher besten Systeme.

B. Der „Pre-Trim“-Trick (Exakte Trunkierung)

Der alte Weg: Der Koch kochte mit übergroßen Messwerten und musste dann anhalten und eine zweite Person rufen, um den Überschuss zu trimmen.
Der Jaguar-Weg: Da die Mathematik auf Zweierpotenzen basiert, kann der Koch einfach das Komma verschieben (ein „Rechts-Shift“) bevor er prüft, ob das Essen gut ist.
Das Ergebnis: Das Trimmen geschieht sofort, innerhalb der Box, mit null zusätzlichem Kommunikationsaufwand. Der „Hack-Schritt“ wird vollständig elimiert. Dies spart eine massive Menge an Zeit und Datentransfer.

C. Das „Geheime Werkzeug“ für den Koch (NTT-gestützte Entschlüsselung)

Die Sorge: Sie könnten sich fragen: „Wenn wir aufhören, Primzahlen zu verwenden, wird der Koch dann nicht stecken bleiben, wenn er die Box am Ende öffnen muss, um das Ergebnis zu sehen?“
Die Lösung: Jaguar erlaubt es dem Koch, ein spezielles, temporäres „Primzahl-Werkzeug“ zu verwenden, nur für den letzten Schritt des Öffnens der Box. Dieses Werkzeug wird geheim gehalten und bleibt lokal beim Koch.
Das Ergebnis: Der Koch erhält die Geschwindigkeit der „Lego“-Mathematik für 99 % der Arbeit, aber dennoch die Präzision der „Primzahl“-Mathematik für die abschließende Enthüllung.

Die abschließende Bilanz

Die Forscher testeten Jaguar auf berühmten Bilderkennungsmodellen (wie ResNet und MobileNet) und verglichen es mit den aktuellen Spitzenreitern (Cheetah und Rhombus).

Geschwindigkeit: Jaguar ist bei der End-to-End-Aufgabe 2 bis 3,7 Mal schneller.
Kommunikation: Es sendet 1,1- bis 1,7-mal weniger Daten hin und her zwischen Client und Server.
Genauigkeit: Es behält die gleiche hohe Genauigkeit wie die Originalmodelle bei.

Kurz gesagt: Jaguar hat erkannt, dass die alten Regeln der „magischen Küche“ alle zurückhielten. Durch den Wechsel zu einem einfacheren, digitalfreundlicheren mathematischen System (Zweierpotenzen) und die Neuorganisation der Kochschritte wurde die private, sichere Bilderkennung signifikant schneller und effizienter.

Technisches Resümee: Jaguar

Problemstellung

Hybride homomorphe Verschlüsselungs- (HE) und Secure Two-Party Computation (2PC) Frameworks stellen derzeit den praktischen Designpunkt für exakte private Convolutional Neural Network (CNN) Inferenz dar, da sie die Genauigkeitsverluste durch vollhomomorphe polynomielle Approximationen vermeiden. Diese Systeme stehen jedoch vor zwei kritischen Engpässen:

HE-Konvolutionslatenz: Die Berechnung der linearen Schicht wird von NTT-basierten (Number Theoretic Transform) polynomiellem Arithmetiken und modularen Primreduktionen dominiert. Das Profiling moderner Systeme wie Cheetah zeigt, dass die Konvolution allein über 96 % der Latenz der linearen Schicht beansprucht, wobei NTT-Operationen und modulare Reduktionen den Großteil dieser Zeit ausmachen.
Ineffizienter Präzisionsfluss: Bei der Festkomma-Inferenz erzeugen lineare Schichten Ausgaben mit doppelter fraktionaler Präzision ( $2f$ Bits). Konventionelle hybride Systeme übergeben diese Werte mit breiterer Bitbreite direkt an ReLU-Protokolle, gefolgt von einem separaten, interaktiven 2PC-Trunkationsprotokoll, um die Zielpräzision wiederherzustellen. Dieser Ansatz verursacht unnötige Rechenkosten für die breitere Bitbreite während der ReLU-Operation und führt einen erheblichen Kommunikationsaufwand für den Schritt der Trunkation nach sich.

Die Ursache für beide Probleme ist die Abhängigkeit von Primmodulus-Arithmetik (speziell NTT-freundliche Primzahlen), die aus Standard-FHE-Bibliotheksdesigns übernommen wurde. Während dies optimal für generische Polynommultiplikationen ist, ist dieses Regime für hybride HE/2PC-Systeme, die eine einzelne lineare Schicht gefolgt von einer sofortigen Konvertierung in additive Shares über $\mathbb{Z}_{2^\ell}$ durchführen, suboptimal.

Methodik

Jaguar adressiert diese Engpässe durch eine einzige, zentrale Designentscheidung: die Verwendung eines Zweierpotenz-Ciphertext-Rings ( $q = 2^Q, p = 2^P$ ) als arithmetisches Substrat anstelle des konventionellen Primmodulus. Diese Entscheidung ermöglicht drei miteinander verbundene technische Innovationen:

1. SPA-CONV: Koeffizienten-Domänen-Konvolution

Durch die Nutzung eines Zweierpotenz-Rings eliminiert Jaguar die Notwendigkeit der NTT-basierten Polynommultiplikation im linearen Pfad. Stattdessen verwendet es Scalar–Polynomial Accumulation (SPA-CONV).

Mechanismus: Die Konvolution wird als Summe von verschobenen Skalar–Polynom-Produkten ausgewertet. Für jedes Filtergewicht (Skalar) führt das System eine koeffizientenweise Verschiebung des Eingangs-Ciphertexts durch und akkumuliert das Ergebnis.
Vorteil: Dieser Ansatz ersetzt teure Polynom-zu-Polynom-Multiplikationen und modulare Primreduktionen durch Skalar–Polynom-Multiplikationen, Koeffizientenverschiebungen und Bitmaskierung (für die Reduktion modulo $2^Q$ ). Er erfordert keine Plaintext–Ciphertext-Polynommultiplikation oder serverseitige NTT.

2. Exakte Pre-ReLU Ciphertext-seitige Trunkation

Der Zweierpotenz-Modulus stellt sicher, dass der BFV-Skalierungsfaktor $\Delta = q/p = 2^{Q-P}$ ebenfalls eine Zweierpotenz ist.

Mechanismus: Diese Teilbarkeit ermöglicht eine exakte Trunkation direkt auf den Ciphertext-Komponenten mittels arithmetischer Rechtsverschiebungen (implementiert als logische Verschiebungen auf unsigned Residuen) vor der ReLU-Operation.
Vorteil: Dies eliminiert die Notwendigkeit eines separaten, interaktiven 2PC-Trunkationsprotokolls. Darüber hinaus reduziert es die Bitbreite des Inputs für das ReLU-Protokoll von $\ell$ auf $\ell-f$ , wodurch die Kommunikations- und Rechenkosten der nicht-linearen Phase gesenkt werden.

3. NTT-unterstützte Dekryption

Obwohl der serverseitige lineare Pfad die NTT vermeidet, muss der Client dennoch eine Polynommultiplikation ( $\hat{c}'_1 \cdot \hat{s}$ ) während der Dekryption durchführen.

Mechanismus: Jaguar stellt die Effizienz der NTT für diese spezifische lokale Operation wieder her, indem es eine Hilfs-NTT-freundliche Primzahl ( $q_{ntt}$ ) ausschließlich auf der Client-Seite verwendet. Der Client bildet die Koeffizienten auf diese Hilfsprimzahl ab, führt die Multiplikation via NTT durch und bildet das Ergebnis zurück auf den Zweierpotenz-Ring.
Vorteil: Dies bewahrt die $O(N \log N)$ -Komplexität für die clientseitige Dekryption, ohne das Zweierpotenz-Protokoll-Substrat zu stören oder NTT-Kosten auf dem Server einzuführen.

Zentrale Beiträge

Zweierpotenz-Arithmetik-Substrat: Jaguar ist das erste HE/2PC-System, das einen Zweierpotenz-Ciphertext-Ring als zentrales Arithmetik-Regime für ImageNet-skalierte CNN-Inferenz nutzt und damit vom Standard-NTT-Prim-Backend abweicht.
SPA-CONV Kernel: Ein neuartiger Konvolutions-Kernel, der Punktweise-, Dense- und Depthwise-Konvolutionen als Summen von Skalar–Polynom-Produkten und Koeffizientenverschiebungen auswertet und so NTT sowie modulare Primreduktionen im linearen Pfad eliminiert.
Zero-Communication Truncation: Ein Beweis der Korrektheit für die exakte Ciphertext-seitige Trunkation, der das Post-ReLU-Trunkationsprotokoll vollständig entfernt – ein Feature, das in bisherigen hybriden Systemen fehlt.
NTT-unterstützte Dekryption: Eine lokale Client-Technik, die eine Hilfsprimzahl nutzt, um die Dekryptionseffizienz aufrechtzuerhalten, ohne das Zweierpotenz-Design des Protokolls zu gefährden.

Experimentelle Ergebnisse

Die Autoren evaluierten Jaguar auf ImageNet-skalierten ResNet-18, ResNet-50 und MobileNetV2 unter Verwendung eines Dual-Intel-Xeon-Gold-6250-Setups mit deaktiviertem AVX.

Latenz: Jaguar erreicht eine 2,07–3,72× geringere End-to-End-Latenz als Cheetah und 2,16–3,36× geringer als Rhombus in LAN- und WAN-Umgebungen.
- Bei ResNet-50 sinkt die Latenz des Konvolutions-Kernels um 79 %.
- Die ReLU+Trunkation-Phase sieht eine Latenzreduktion von 2,32× (LAN) und 1,80× (WAN).
Kommunikation: Jaguar reduziert die Kommunikation um den Faktor 1,16–1,76× im Vergleich zu Cheetah.
- Die Kommunikation der Trunkationsphase wird auf Null reduziert.
- Die ReLU-Kommunikation wird durch die kleinere Input-Bitbreite reduziert.
- Hinweis: Bei ResNet-50 ist die Kommunikation von Jaguar mit 1,28× etwas höher als die von Rhombus, da Rhombus speziell auf die Punktweisen- und Matrix-Vektor-Komponenten optimiert ist, die die Kommunikation bei ResNet-50 dominieren, während Jaguar einen Teil der Kommunikation zugunsten einer signifikant niedrigeren Berechnung über den gesamten Konvolutionspfad eintauscht. Auf ResNet-18 und MobileNetV2 übertrifft Jaguar jedoch Rhombus sowohl in der Latenz als auch in der Kommunikation.
Mikrobenchmarks: In reinen Rechen-Benchmarks für Konvolutionen (AVX deaktiviert) zeigt Jaguar geometrische Mittelwert-Beschleunigungen von 2,47× (dense), 11,82× (pointwise) und 11,65× (depthwise) gegenüber Cheetah für gepackte Layouts.

Bedeutung

Das Paper behauptet, dass Jaguar zeigt, dass die Änderung des grundlegenden HE-Arithmetik-Regimes – von Primmodulus zu Zweierpotenz – erhebliche Gewinne für die praktische private CNN-Inferenz ermöglicht, die durch bloße Optimierung von Packing oder Kommunikation auf konventionellen Backends nicht erreichbar wären. Durch die Abstimmung des Ciphertext-Modulus auf den Share-Domain ( $\mathbb{Z}_{2^\ell}$ ) und die Ermöglichung von Reduktionsfreier Arithmetik löst Jaguar die primären Engpässe der HE-Konvolution und des Präzisionsflusses gleichzeitig. Das System beweist, dass ein Zweierpotenz-Ring nicht nur praktikabel, sondern überlegen für hybride HE/2PC-Inferenz ist, sofern die spezifischen Anforderungen der Konvolution (Skalar–Polynom-Akkumulation) und der Dekryption (lokale NTT-Wiederherstellung) adressiert werden.