Resumen Técnico: Jaguar

Planteamiento del Problema

Los marcos de trabajo de Cifrado Homomórfico (HE) Híbrido y Computación Multipartita de Dos Partes (2PC) representan actualmente el punto de diseño práctico para la inferencia de Redes Neuronales Convolucionales (CNN) privadas exactas, evitando la degradación de la precisión de las aproximaciones polinómicas de homomorfismo total. Sin embargo, estos sistemas enfrentan dos cuellos de botella críticos:

1. Latencia de Convolución en HE: El cálculo de la capa lineal está dominado por la aritmética de polinomios basada en la Transformada de Número Teórico (NTT) y las reducciones de primos modulares. El perfilado de sistemas de vanguardia como Cheetah revela que la convolución por sí sola consume más del 96% de la latencia de la capa lineal, siendo las operaciones NTT y las reducciones modulares las responsables de la gran mayoría de este tiempo.
2. Flujo de Precisión Ineficiente: En la inferencia de punto fijo, las capas lineales producen salidas con el doble de precisión fraccionaria ($2f$ bits). Los sistemas híbridos convencionales pasan estos valores de ancho de bits extendido directamente a los protocolos ReLU, seguidos de un protocolo de truncamiento de 2PC separado e interactivo para restaurar la precisión objetivo. Este enfoque incurre en costos computacionales innecesarios para el ancho de bits más amplio durante la ReLU y añade una sobrecarga de comunicación significativa para el paso de truncamiento.

La causa raíz de ambos problemas es la dependencia de la aritmética de módulo primo (específicamente primos aptos para NTT) heredada de los diseños estándar de librerías FHE. Si bien esto es óptimo para la multiplicación de polinomios genéricos, este régimen es subóptimo para los sistemas híbridos HE/2PC, que realizan una sola capa lineal seguida de una conversión inmediata a partes aditivas sobre $\mathbb{Z}_{2^\ell}$.

Metodología

Jaguar aborda estos cuellos de botella mediante una única decisión de diseño central: adoptar un anillo de criptograma de potencia de dos ($q = 2^Q, p = 2^P$) como su sustrato aritmético, en lugar del convencional módulo primo. Esta elección permite tres innovaciones técnicas interconectadas:

1. SPA-CONV: Convolución en el Dominio de Coeficientes

Al utilizar un anillo de potencia de dos, Jaguar elimina la necesidad de la multiplicación de polinomios basada en NTT en la ruta lineal. En su lugar, emplea la Acumulación Escalar–Polinómica (SPA-CONV).

• Mecanismo: La convolución se evalúa como una suma de productos escalar–polinómicos desplazados. Para cada peso del filtro (escalar), el sistema realiza un desplazamiento de coeficiente del criptograma de entrada y acumula el resultado.
• Ventaja: Este enfoque reemplaza la costosa multiplicación de polinomio por polinomio y las reducciones de primos modulares con multiplicaciones escalar–polinómicas, desplazamientos de coeficientes y enmascaramiento de bits (para la reducción módulo $2^Q$). No requiere multiplicación de polinomio de texto plano–criptograma ni NTT en el lado del servidor.

2. Truncamiento de Criptograma Exacto Pre-ReLU

El módulo de potencia de dos garantiza que el factor de escala BFV $\Delta = q/p = 2^{Q-P}$ también sea una potencia de dos.

• Mecanismo: Esta divisibilidad permite el truncamiento exacto directamente en los componentes del criptograma mediante desplazamientos aritméticos a la derecha (implementados como desplazamientos lógicos en residuos sin signo) antes de la operación ReLU.
• Beneficio: Esto elimina la necesidad de un protocolo de truncamiento de 2PC separado e interactivo. Además, reduce el ancho de bits de la entrada al protocolo ReLU de $\ell$ a $\ell-f$, lo que reduce el costo de comunicación y computación de la etapa no lineal.

3. Desencriptación Asistida por NTT

Aunque la ruta lineal del servidor evita la NTT, el cliente aún debe realizar una multiplicación de polinomio ($\hat{c}'_1 \cdot \hat{s}$) durante la desencriptación.

• Mecanismo: Jaguar recupera la eficiencia de la NTT para esta operación local específica utilizando un primo auxiliar apto para NTT ($q_{ntt}$) únicamente en el lado del cliente. El cliente mapea los coeficientes a este primo auxiliar, realiza la multiplicación vía NTT y mapea el resultado de vuelta al anillo de potencia de dos.
• Beneficio: Esto preserva la complejidad $O(N \log N)$ para la desencriptación del cliente sin perturbar el sustrato del protocolo de potencia de dos ni introducir costos de NTT en el servidor.

Contribuciones Clave

• Sustrato Aritmético de Potencia de Dos: Jaguar es el primer sistema HE/2PC que utiliza un anillo de criptograma de potencia de dos como el régimen aritmético central para la inferencia de CNN a escala ImageNet, alejándose del backend estándar de NTT-primo.
• Kernel SPA-CONV: Un nuevo kernel de convolución que evalúa convoluciones puntuales, densas y de profundidad como sumas de productos escalar–polinómicos y desplazamientos de coeficientes, eliminando la NTT y las reducciones de primos modulares en la ruta lineal.
• Truncamiento de Comunicación Cero: Una prueba de corrección para el truncamiento exacto en el lado del criptograma que elimina por completo el protocolo de truncamiento post-ReLU, una característica ausente en sistemas híbridos previos.
• Desencriptación Asistida por NTT: Una técnica local del cliente que utiliza un primo auxiliar para mantener la eficiencia de la desencriptación sin comprometer el diseño de potencia de dos del protocolo.

Resultados Experimentales

Los autores evaluaron Jaguar en ResNet-18, ResNet-50 y MobileNetV2 a escala ImageNet utilizando una configuración dual de Intel Xeon Gold 6250 con AVX desactivado.

• Latencia: Jaguar logra una latencia de extremo a extremo 2.07–3.72× menor que Cheetah y 2.16–3.36× menor que Rhombus en entornos LAN y WAN.
  • En ResNet-50, la latencia del kernel de convolución cae un 79%.
  • La etapa de ReLU+truncamiento ve una reducción de latencia de 2.32× (LAN) y 1.80× (WAN).
• Comunicación: Jaguar reduce la comunicación en 1.16–1.76× en comparación con Cheetah.
  • La comunicación de la etapa de truncamiento se reduce a cero.
  • La comunicación de ReLU se reduce debido al menor ancho de bits de entrada.
  • Nota: En ResNet-50, la comunicación de Jaguar es ligeramente superior a la de Rhombus (1.28×) porque Rhombus está optimizado específicamente para los componentes puntuales y de vector-matriz que dominan la comunicación de ResNet-50, mientras que Jaguar intercambia una parte de la comunicación por una reducción significativa de cómputo en toda la ruta de convolución. Sin embargo, en ResNet-18 y MobileNetV2, Jaguar supera a Rhombus tanto en latencia como en comunicación.
• Microbenchmarks: En pruebas de cómputo de solo convolución (AVX desactivado), Jaguar muestra mejoras de la media geométrica de 2.47× (densa), 11.82× (puntual) y 11.65× (profundidad) sobre Cheetah para layouts empaquetados.

Significancia

El artículo afirma que Jaguar demuestra que cambiar el régimen aritmético fundamental de HE —de módulo primo a potencia de dos— desbloquea ganancias sustanciales para la inferencia de CNN privada práctica que no pueden lograrse simplemente optimizando el empaquetado o la comunicación sobre backends convencionales. Al alinear el módulo del criptograma con el dominio de las partes ($\mathbb{Z}_{2^\ell}$) y permitir la aritmética libre de reducción, Jaguar resuelve simultáneamente los principales cuellos de botella de la convolución HE y el flujo de precisión. El sistema demuestra que un anillo de potencia de dos no solo es viable, sino superior para la inferencia híbrida HE/2PC, siempre que se aborden los requisitos específicos de la convolución (acumulación escalar–polinómica) y la desencriptación (recuperación local de NTT).