Riepilogo Tecnico: Jaguar

Problematica

I framework di Crittografia Omomorfa (HE) Ibrida e di Calcolo Multipartitico Sicuro (2PC) rappresentano attualmente il punto di progettazione pratico per l'inferenza esatta di Reti Neurali Convoluzionali (CNN) private, evitando il degrado dell'accuratezza derivante dalle approssimazioni polinomiali della Fully Homomorphic Encryption. Tuttavia, questi sistemi affrontano due colli di bottiglia critici:

1. Latenza della Convoluzione HE: Il calcolo dello strato lineare è dominato dall'aritmetica polinomiale basata sulla Trasformata di Numero Teorico (NTT) e dalle riduzioni modulari di numeri primi. Il profiling di sistemi allo stato dell'arte come Cheetah rivela che la sola convoluzione consuma oltre il 96% della latenza dello strato lineare, con le operazioni NTT e le riduzioni modulari che rappresentano la stragrande maggior parte di questo tempo.
2. Flusso di Precisione inefficiente: Nell'inferenza a virgola fissa, gli strati lineari producono output con una precisione frazionaria raddoppiata ($2f$ bit). I sistemi ibridi convenzionali passano questi valori a larghezza di bit più ampia direttamente ai protocolli ReLU, seguiti da un protocollo di troncamento 2PC separato e interattivo per ripristinare la precisione target. Questo approccio comporta costi computazionali non necessari per la larghezza di bit più ampia durante la ReLU e aggiunge un significativo overhead di comunicazione per lo step di troncamento.

La causa radice di entrambi i problemi è la dipendenza dall'aritmetica con modulo primo (specificamente numeri primi compatibili con NTT) ereditata dai design standard delle librerie FHE. Sebbene ottimale per la moltiplicazione polinomiale generica, questo regime è subottimale per i sistemi ibridi HE/2PC, che eseguono un singolo strato lineare seguito dalla conversione immediata in share additive su $\mathbb{Z}_{2^\ell}$.

Metodologia

Jaguar affronta questi colli di bottiglia attraverso una singola, centrale scelta di design: l'adozione di un anello di cifrari a potenza di due ($q = 2^Q, p = 2^P$) come substrato aritmetico, invece del convenzionale modulo primo. Questa scelta abilita tre innovazioni tecniche interconnesse:

1. SPA-CONV: Convoluzione nel Dominio dei Coefficienti

Utilizzando un anello a potenza di due, Jaguar elimina la necessità di moltiplicazione polinomiale basata su NTT nel percorso lineare. Invece, impiega l'Accumulazione Scalare–Polinomiale (SPA-CONV).

• Meccanismo: La convoluzione viene valutata come una somma di prodotti scalare–polinomiali traslati. Per ogni peso del filtro (scalare), il sistema esegue una traslazione coefficiente per coefficiente del cifrario di input e accumula il risultato.
• Vantaggio: Questo approccio sostituisce la costosa moltiplicazione polinomio per polinomio e le riduzioni modulari di numeri primi con moltiplicazioni scalare–polinomiali, shift di coefficienti e masking bitwise (per la riduzione modulo $2^Q$). Non richiede moltiplicazione polinomio–cifrario o NTT lato server.

2. Troncamento Esatto lato Cifrario Pre-ReLU

Il modulo potenza di due garantisce che il fattore di scala BFV $\Delta = q/p = 2^{Q-P}$ sia anch'esso una potenza di due.

• Meccanismo: Questa divisibilità permette il troncamento esatto direttamente sui componenti del cifrario tramite shift aritmetici a destra (implementati come shift logici su residui senza segno) prima dell'operazione ReLU.
• Beneficio: Ciò elimina la necessità di un protocollo di troncamento 2PC separato e interattivo. Inoltre, riduce la larghezza di bit dell'input per il protocollo ReLU da $\ell$ a $\ell-f$, riducendo così il costo di comunicazione e computazione dello stadio non lineare.

3. Decrittazione Assistita da NTT

Sebbene il percorso lineare lato server eviti la NTT, il client deve comunque eseguire una moltiplicazione polinomiale ($\hat{c}'_1 \cdot \hat{s}$) durante la decrittazione.

• Meccanismo: Jaguar recupera l'efficienza della NTT per questa specifica operazione locale utilizzando un primo ausiliario compatibile con NTT ($q_{ntt}$) esclusivamente sul lato client. Il client mappa i coefficienti su questo primo ausiliario, esegue la moltiplicazione tramite NTT e mappa il risultato nuovamente sull'anello a potenza di due.
• Benefico: Questo preserva la complessità $O(N \log N)$ per la decrittazione lato client senza disturbare il design del protocollo a potenza di due o introdurre costi NTT sul server.

Contributi Chiave

• Substrato Aritmetico a Potenza di Due: Jaguar è il primo sistema HE/2PC a utilizzare un anello di cifrari a potenza di due come regime aritmetico centrale per l'inferenza CNN su scala ImageNet, allontanandosi dal backend standard basato su moduli primi NTT-friendly.
• Kernel SPA-CONV: Un nuovo kernel di convoluzione che valuta convoluzioni pointwise, dense e depthwise come somme di prodotti scalare–polinomiali e shift di coefficienti, eliminando NTT e riduzioni modulari di numeri primi nel percorso lineare.
• Troncamento a Zero Comunicazione: Una prova di correttezza per il troncamento esatto lato cifrario che rimuove interamente il protocollo di troncamento post-ReLU, una caratteristica assente nei sistemi ibridi precedenti.
• Decrittazione Assistita da NTT: Una tecnica locale per il client che utilizza un primo ausiliario per mantenere l'efficienza della decrittazione senza compromettere il design a potenza di due del protocollo.

Risultati Sperimentali

Gli autori hanno valutato Jaguar su ResNet-18, ResNet-50 e MobileNetV2 su scala ImageNet utilizzando una configurazione dual Intel Xeon Gold 6250 con AVX disabilitato.

• Latenza: Jaguar raggiunge una latenza end-to-end 2,07–3,72× inferiore rispetto a Cheetah e 2,16–3,36× inferiore rispetto a Rhombus in ambienti LAN e WAN.
  • Su ResNet-50, la latenza del kernel di convoluzione scende del 79%.
  • Lo stadio ReLU+troncamento vede una riduzione della latenza di 2,32× (LAN) e 1,80× (WAN).
• Comunicazione: Jaguar riduce la comunicazione di 1,16–1,76× rispetto a Cheetah.
  • La comunicazione dello stadio di troncamento è ridotta a zero.
  • La comunicazione della ReLU è ridotta grazie alla minore larghezza di bit dell'input.
  • Nota: Su ResNet-50, la comunicazione di Jaguar è leggermente superiore a quella di Rhombus (1,28×), poiché Rhombus è specificamente ottimizzato per le componenti pointwise e matrix-vector che dominano la comunicazione di ResNet-50, mentre Jaguar scambia una parte della comunicazione per una riduzione significativa del calcolo in tutto il percorso di convoluzione. Tuttavia, su ResNet-18 e MobileNetV2, Jaguar supera Rhombus sia in latenza che in comunicazione.
• Microbenchmark: Nei benchmark di sola computazione della convoluzione (AVX disabilitato), Jaguar mostra velocità medie geometriche di 2,47× (dense), 11,82× (pointwise) e 11,65× (depthwise) rispetto a Cheetah per layout impacchettati.

Significato

Il paper sostiene che Jaguar dimostra come il cambiamento del regime aritmetico fondamentale dell'HE — da modulo primo a potenza di due — sblocchi guadagni sostanziali per l'inferenza CNN privata pratica che non possono essere ottenuti semplicemente ottimizzando il packing o la comunicazione su backend convenzionali. Allineando il modulo del cifrario con il dominio delle share ($\mathbb{Z}_{2^\ell}$) e abilitando l'aritmetica senza riduzioni, Jaguar risolve simultaneamente i principali colli di bottiglia della convoluzione HE e del flusso di precisione. Il sistema prova che un anello a potenza di due è non solo vitale ma superiore per l'inferenza ibrida HE/2PC, a patto che i requisiti specifici della convoluzione (accumulazione scalare–polinomiale) e della decrittazione (recupero NTT locale) siano affrontati.