Résumé Technique : Jaguar

Problématique

Les cadres de travail d'Hybride de Chiffrement Homomorphe (HE) et de Calcul Multipartite Sécurisé (2PC) représentent actuellement le point de conception pratique pour l'inférence de réseaux neuronaux convolutifs (CNN) exacts et privés, évitant ainsi la dégradation de la précision des approximations polynomiales du chiffrement totalement homomorphe. Cependant, ces systèmes font face à deux goulots d'étranglement critiques :

1. Latence de convolution HE : Le calcul de la couche linéaire est dominé par l'arithmétique polynomiale basée sur la Transformée de Number Theoretic (NTT) et les réductions de modules premiers. Le profilage de systèmes de pointe comme Cheetah révèle que la convolution seule consomme plus de 96 % de la latence de la couche linéaire, les opérations NTT et les réductions modulaires représentant la vaste majorité de ce temps.
2. Flux de précision inefficace : Dans l'inférence en virgule fixe, les couches linéaires produisent des sorties avec une précision fractionnaire doublée ($2f$ bits). Les systèmes hybrides conventionnels transmettent ces valeurs à large largeur de bits directement dans les protocoles ReLU, suivis d'un protocole de troncature 2PC distinct et interactif pour restaurer la précision cible. Cette approche induit des coûts de calcul inutiles pour la largeur de bits plus large lors du ReLU et ajoute un overhead de communication significatif pour l'étape de troncature.

La cause profonde de ces deux problèmes est la dépendance à l'arithmétique de module premier (spécifiquement les nombres premiers compatibles avec la NTT) héritée des conceptions de bibliothèques FHE standards. Bien qu'optimale pour la multiplication polynomiale générique, ce régime est sous-optimal pour les systèmes hybrides HE/2PC, qui effectuent une seule couche linéaire suivie d'une conversion immédiate en parts additives sur $\mathbb{Z}_{2^\ell}$.

Méthodologie

Jaguar répond à ces goulots d'étranglement par un choix de conception central unique : l'adoption d'un anneau de chiffrement de puissance de deux ($q = 2^Q, p = 2^P$) comme substrat arithmétique, plutôt que le module premier conventionnel. Ce choix permet trois innovations techniques interconnectées :

1. SPA-CONV : Convolution dans le domaine des coefficients

En utilisant un anneau de puissance de deux, Jaguar élimine le besoin de multiplication polynomiale basée sur la NTT dans le chemin linéaire. Au lieu de cela, il emploie l'Accumulation Scalaire–Polynomiale (SPA-CONV).

• Mécanisme : La convolution est évaluée comme une somme de produits scalaire–polynôme décalés. Pour chaque poids de filtre (scalaire), le système effectue un décalage coefficient par coefficient du ciphertext d'entrée et accumule le résultat.
• Avantage : Cette approche remplace les multiplications polynomiales par polynomiales coûteuses et les réductions de modules premiers par des multiplications scalaire–polynôme, des décalages de coefficients et des masquages de bits (pour la réduction modulo $2^Q$). Elle ne nécessite aucune multiplication de polynômes texte clair–ciphertext ni de NTT côté serveur.

2. Troncature exacte du côté du ciphertext pré-ReLU

Le module de puissance de deux garantit que le facteur d'échelle BFV $\Delta = q/p = 2^{Q-P}$ est également une puissance de deux.

• Mécanisme : Cette divisibilité permet une troncature exacte directement sur les composantes du ciphertext via des décalages arithmétiques à droite (implémentés comme des décalages logiques sur des résidus non signés) avant l'opération ReLU.
• Bénéfice : Cela élimine le besoin d'un protocole de troncature 2PC séparé et interactif. De plus, cela réduit la largeur de bits de l'entrée du protocole ReLU de $\ell$ à $\ell-f$, réduisant ainsi le coût de communication et de calcul de l'étape non linéaire.

3. Déchiffrement assisté par NTT

Bien que le chemin linéaire côté serveur évite la NTT, le client doit toujours effectuer une multiplication polynomiale ($\hat{c}'_1 \cdot \hat{s}$) lors du déchiffrement.

• Mécanisme : Jaguar récupère l'efficacité de la NTT pour cette opération locale spécifique en utilisant un nombre premier auxiliaire compatible avec la NTT ($q_{ntt}$) uniquement du côté client. Le client projette les coefficients vers ce nombre premier auxiliaire, effectue la multiplication via NTT, et projette le résultat vers l'anneau de puissance de deux.
• Bénéfice : Cela préserve la complexité $O(N \log N)$ pour l'opération de déchiffrement côté client sans perturber le substrat du protocole de puissance de deux ou introduire de coûts de NTT sur le serveur.

Contributions Clés

• Substrat Arithmétique de Puissance de Deux : Jaguar est le premier système HE/2PC utilisant un anneau de chiffrement de puissance de deux comme régime arithmétique central pour l'inférence de CNN à l'échelle ImageNet, s'éloignant du backend standard de type NTT-prime.
• Noyau SPA-CONV : Un nouveau noyau de convolution qui évalue les convolutions ponctuelles, denses et depthwise comme des sommes de produits scalaire–polynôme et de décalages de coefficients, éliminant la NTT et les réductions de modules premiers dans le chemin linéaire.
• Troncature à Zéro Communication : Une preuve de correction pour la troncature exacte du côté du ciphertext qui supprime entièrement le protocole de troncature post-ReLU, une fonctionnalité absente des systèmes hybrides précédents.
• Déchiffrement Assisté par NTT : Une technique locale au client qui utilise un nombre premier auxiliaire pour maintenir l'efficacité du déchiffrement sans compromettre la conception de puissance de deux du protocole.

Résultats Expérimentaux

Les auteurs ont évalué Jaguar sur des modèles ResNet-18, ResNet-50 et MobileNetV2 à l'échelle ImageNet en utilisant une configuration double Intel Xeon Gold 6250 avec l'AVX désactivé.

• Latence : Jaguar atteint une latence de bout en bout 2,07 à 3,72× plus faible que Cheetah et 2,16 à 3,36× plus faible que Rhombus dans les configurations LAN et WAN.
  • Sur ResNet-50, la latence du noyau de convolution chute de 79 %.
  • L'étape ReLU+troncature voit une réduction de latence de 2,32× (LAN) et 1,80× (WAN).
• Communication : Jaguar réduit la communication de 1,16 à 1,76× par rapport à Cheetah.
  • La communication de l'étape de troncature est réduite à zéro.
  • La communication du ReLU est réduite grâce à la largeur de bits d'entrée plus petite.
  • Note : Sur ResNet-50, la communication de Jaguar est légèrement supérieure à celle de Rhombus (1,28×), car Rhombus est spécifiquement optimisé pour les composants ponctuels et de multiplication matrice-vecteur qui dominent la communication de ResNet-50, tandis que Jaguar échange une partie de la communication pour une réduction significative du calcul sur l'ensemble du chemin de convolution. Cependant, sur ResNet-18 et MobileNetV2, Jaguar surpasse Rhombus en termes de latence et de communication.
• Micro-benchmarks : Dans des tests de convolution de calcul pur (AVX désactivé), Jaguar montre des accélérations de moyenne géométrique de 2,47× (dense), 11,82× (ponctuelle) et 11,65× (depthwise) par rapport à Cheetah pour les layouts packés.

Signification

L'article affirme que Jaguar démontre qu'en changeant le régime arithmétique fondamental du HE — passant d'un module premier à une puissance de deux — on débloque des gains substantiels pour l'inférence de CNN privée pratique qui ne peuvent être atteints par la simple optimisation du packing ou de la communication sur des backends conventionnels. En alignant le module du ciphertext avec le domaine des parts ($\mathbb{Z}_{2^\ell}$) et en permettant une arithmétique sans réduction, Jaguar résout simultanément les principaux goulots d'étranglement de la convolution HE et du flux de précision. Le système prouve qu'un anneau de puissance de deux est non seulement viable mais supérieur pour l'inférence hybride HE/2PC, à condition que les exigences spécifiques de la convolution (accumulation scalaire–polynôme) et du déchiffrement (récupération NTT locale) soient adressées.