🤖 AI

FuseFSS: Efficient Secure LLM Inference with Function Secret Sharing

FuseFSSは、固定小数点非線形性のための統一されたパイプラインによって、オペレーターごとの個別のプロトコルを置き換えることで、精度を維持しながら大幅な高速化と通信および前処理のオーバーヘッド削減を実現し、安全なLLM推論を合理化するコンパイラです。

原著者： Yuhan Ma, Yong Li, Stefan Schmid

公開日 2026-06-09

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Yuhan Ma, Yong Li, Stefan Schmid

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

想像してみてください。あなたは、非常にスマートなAI（大規模言語モデル）に、秘密の質問をしたいと考えています。例えば、プライベートな医療診断や、機密性の高いビジネス戦略などです。あなたは、AIのオーナーに自分の質問を見られたくないですし、AIに自分の「脳」（モデル）を明かしてほしくもありません。

この問題を解決するために、研究者たちは「2サーバー方式」というトリックを使います。秘密を、互いに通信しない2つのサーバーに分割するのです。どちらのサーバーも全体像を知ることはできませんが、力を合わせれば答えを導き出すことができます。これは、2人のシェフが別々のキッチンで作業しているようなものです。彼らは互いの材料を見ることはできませんが、レシピや秘密の材料を明かすことなく、協力してケーキを焼き上げることができます。

しかし、問題があります。「簡単な」数学の部分（数字の足し算など）は、この秘密モードでは高速ですが、「難しい」部分（数字が正か負かを判断したり、小数を丸めたりすることなど）は、低速で扱いにくいのです。現在、エンジニアたちは、これら一つひとつの難しい数学ステップに対して、カスタムメイドの一品物のマシンを作らなければなりません。それは、車のネジ一本ごとに、専用の特注レンチを用意するようなものです。コストがかかり、遅く、壊れやすい仕組みです。

ここで、FuseFSSの登場です。

この論文の著者たちは、FuseFSSと呼ばれるコンパイラ（翻訳機）を構築しました。あらゆるネジに対してカスタムレンチを作る代わりに、FuseFSSはこう提案します。「すべての難しい数学ステップに対して、2つの汎用的なツールを使いましょう」と。

その仕組みを、簡単な比喩を使って説明します。

「マスクされた封筒」の比喩

あなたには秘密の数字がありますが、それを直接見せることはできません。そこで、数字をランダムな紙（「マスク」）と一緒に封筒に入れ、サーバーに渡します。サーバーは封筒の総重量（「マスクされた値」）は見ることができますが、あなたの秘密の数字や、中に入っているランダムな紙の内容は知りません。

従来の方法（「Sigma」システム）では、サーバーが複雑な数学のトリック（例：「この数字は5より大きいか？」）を行うたびに、その質問のためだけに特別に作られたカスタムのプロトコル・ボックスを開けなければなりませんでした。

FuseFSSはゲームを変えます：

一つの仕様： 著者たちは、あらゆる数学のトリックのための標準的な「取扱説明書」を作成しました。彼らは、トリックを「ゾーン（区間）」と「単純な数式」のセットとして記述します。
2つの魔法のツール： 新しいボックスを作る代わりに、FuseFSSはあらゆるトリックに対して、わずか2つの標準的なツールを使用します。
- ツールA（比較器）： すべての「Xより大きいか？」という質問を一度にチェックし、サーバーに「はい／いいえ」の回答リスト（秘密共有された状態）を与えます。
- ツールB（ルックアップ）： これは自動販売機のように機能します。ツールAからの回答に基づき、計算を完了させるために必要な正しい数字と数式を即座に手渡します。
結果： サーバーは計算を行い、その後、ランダムな紙（マスク）を引き算することで、最終的な答えを明らかにします。

なぜこれが大きなニュースなのか？

この論文は、これらの「2つの汎用的なツール」に切り替えることで、プロセスが大幅に高速化され、軽量化されたと主張しています。

速度： プロセス全体を1.24倍から1.5倍高速化しました。もし計算に10秒かかっていたとしたら、今では約7秒になります。
通信量の削減： 2つのサーバー間でやり取りされるデータが減少しました（約9%から16%の削減）。
セットアップの簡略化： 開始する前に、いくつかの「鍵」（封筒の鍵をかけるようなもの）を生成する必要があります。FuseFSSは、このセットアップを14%から23%高速化し、鍵自体のサイズも20%から24%小さくしました。

結論

この論文は、新しいタイプのAIや、株価を予測する新しい方法を発明したと主張しているのではありません。単に、既存のAIモデルを安全に実行するための、より優れた「エンジン」を構築したと主張しています。

彼らは、人気の高いAIモデル（BERTやGPTなど）でテストを行い、FuseFSSが従来の方法と同じ精度で動作しながら、よりスムーズに実行できることを見出しました。これは車のエンジンをアップグレードするようなものです。車が走る速度や乗客の数は変わりませんが、エンジンがより効率的に設計されているため、燃費が良くなり、加速も速くなります。

要約すると： FuseFSSは、バラバラでカスタムメイドな「秘密のAI数学」のプロセスを、2つの強力で再利用可能なツールを用いた、クリーンで標準化された、より高速なルーチンへと変換するコンパイラなのです。

技術要約: FuseFSS

問題提起

2サーバーによる大規模言語モデル（LLM）のセキュア推論において、クライアントは、非共謀のサーバー間で入力を秘密分散化することで、プロンプトや埋め込みを明かすことなくホストされたモデルに対してクエリを実行できる。FSS（Function Secret Sharing）を利用した近年のGPUベースのシステムは、線形層を効率化することに成功したが、固定小数点非線形関数（GELUやSoftmaxの構成要素などの活性化関数）およびリスケーリング操作において、依然として重大なボトルネックが残っている。

現在の最先端システム（Sigmaなど）は、演算子ごとの専用プロトコルに依存している。各演算子は、特定の比較、ラップアラウンド補正、およびプリプロセッシング用の材料を含むカスタム実装を必要とする。このアプローチは脆弱である。なぜなら、正当性の証明を複雑にし、鍵生成ロジックを重複させ、modulo- $2^n$ のラップアラウンドや符号に関する微妙なバグを導入することなく新しい演算子を追加することを困難にするからである。さらに、これらのカスタムプロトコルは、多くの場合、高いオンライン通信オーバーヘッドと重いプリプロセッシングコスト（鍵生成時間とサイズ）を招く。

手法: FuseFSS

著者らは、演算子ごとのプロトコルエンジニアリングを、一様でGPUフレンドリーなコンパイルパイプラインに置き換えるコンパイラであるFuseFSSを提案する。核心となる洞察は、一般的な固定小数点非線形関数において、データ依存のロジックは、少数の述語ビットを用いて領域を選択し、その後、少数の定数を用いた低次算術形式を適用するという、同様のパターンに従うという点である。

1. 演算子の仕様

FuseFSSは、要素ごとの固定小数点演算子の中間表現（IR）として機能する、型定義された演算子仕様を導入する。仕様は以下を定義する：

区間分割: $\mathbb{Z}_{2^n}$ の標準的な代表元を、区間 $I_i = [\alpha_i, \alpha_{i+1})$ に完全に分割したもの。
算術パーツ: 各区間に対して、算術出力を計算するための低次多項式のベクトル $P_i(x)$ 。
述語ビット: どの区間がアクティブであるかを決定するための、基本述語（例： $x < \beta$ ）から構築されたブール式 $B_i(x)$ 。

2. マスクを考慮したコンパイル

コンパイラは、これらの仕様を、プリプロセッシング中にサンプリングされた新鮮で秘密分散されたマスク $r_{in}$ を用いた公開マスク値 $\hat{x} = x + r_{in} \pmod{2^n}$ 上で動作する一様なプロトコルへと変換する。

述語の書き換え: コンパイラは、秘密入力 $x$ 上の述語を、moduloラップアラウンドを正しく処理するためにマスク $r_{in}$ から導出された秘密分散されたキャリービットを利用して、公開された $\hat{x}$ 上の比較へと書き換える。
一様な構造: 特定の演算子に関わらず、コンパイラは $\hat{x}$ $\overset{x}{^}$ に対して正確に2つの標準的なFSS評価を出力する：
1. パッキング比較: 必要なすべての述語ビット（区間インジケータ）のXORシェアを返す単一の評価。
2. ベクトル区間ルックアップ: 選択された区間の算術係数と定数の加算シェアを返す単一の評価。

3. ポストプロセッシング

残りの計算は、固定されたシェアベースのポストプロセッシング回路である。これには以下が含まれる：

ホーナー法: ビーバー・トリプルを用いて、 $\hat{x}$ と $r_{in}$ から導出された $x$ の秘密シェア上で選択された低次多項式を評価する。
ヘルパー操作: 算術およびブール結果を組み合わせるためのブール論理（XOR、AND）および混合ドメイン変換（B2A/A2B）を適用する。
仕様互換ゲート: 純粋な多項式として扱えない操作（例：切り捨て、算術右シフト）については、コンパイラが多項式の出力とマスク由来の定数を受け取り、最終的な結果を生成する決定論的なポストプロセッシング回路 $\Phi$ を追加する。

4. セキュリティとリーク

FuseFSSは、ワイヤごとに新鮮で独立したマスクを保証するマスク・ワイヤ・セマンティクスに従う。極めて重要な点として、コンパイラはマスクに依存しない公開形状を強制する。比較の数、ビット幅、および区間ルックアップの次元は、サンプリングされたマスクではなく、公開された演算子仕様と固定小数点メタデータにのみ依存する。これにより、鍵のサイズやインスタンスの形状を通じて秘密情報が漏洩することを防ぐ。セキュリティモデルは、2サーバーのプリプロセッシング設定におけるセミホネストな敵対者を想定している。

主な貢献

最先端のパフォーマンス: FuseFSSは、BERTおよびGPTスタイルのモデルにおいて、FSSベースの推論における最高の報告されたエンドツーエンド性能を達成しており、モデルの精度を維持しながらレイテンシを改善し、プリプロセッシングコストを削減している。
実用的なコンパイラターゲット: 幅広い固定小数点スカラー演算が、単一の仕様フォーマットの下で統一され、2つの標準的なFSSコールと一様なポストプロセッシングを介して実行できることを示している。これにより、個別のプロトコル設計の必要性が排除される。
セキュリティを備えたマスク考慮型コンパイル: システムは、公開されたマスク入力から正しい述期待ちを導出しつつ、形状不変性を強制することで、異なる演算子間で一様な正当性とセミホネストなセキュリティ証明を可能にする。

実験結果

著者らは、BERTおよびGPTスタイルのモデル（BERT-tiny/base/large、GPT-2、GPT-Neoを含む、シーケンス長128、バッチサイズ1）に対し、現在の最先端のFSSベースのベースラインであるSigmaと比較して、FuseFSSを評価した。

エンドツーエンドの高速化: FuseFSSは、オンラインレイテンシにおいて1.24倍～1.50倍の高速化を達成した。例えば、BERT-base-128の推論時間は、Sigmaの1613.80 msからFuseFSSの1149.50 msへと、28.8%減少した。
通信の削減: オンライン通信は**9%～16%**削減された。
プリプロセッシングの効率性:
- 鍵生成時間: **14%～23%**削減。
- 鍵サイズ: **20%～24%**削減。
スケーラビリティ: シーケンス長が32から512に増加しても、高速化の割合は一貫して維持されている（1.36倍～1.45倍）。
要因: 利得は主に、スカラー非線形およびヘルパーブロック（GELU、Softmaxの構成要素など）の加速によってもたらされている。これらはベースラインにおけるレイテンシの大部分を占めている。例えば、Softmax（nExp + 逆数）のコンパイルパスは、4.5倍～4.7倍の高速化を実現した。

重要性と主張

本論文は、FuseFSSが、2サーバーによるセキュア推論における主要なボトルネックである、固定小数点非線形関数のエンジニアリングの複雑さとパフォーマンスのオーバーヘッドに対処することを主張している。個別の演算子ごとのプロトコルから一様なコンパイルパイプラインへと移行することで、FuseFSSはシステム設計を簡素化し、正当性の保証を向上させ、オンラインおよびオフラインの両方のコストを大幅に削減する。

著者らは、FuseFSSを、プロンプトや埋め込みに対して強力な機密性が求められる環境（ヘルスケア、金融など）において、プライバシー保護型のLLM推論をデプロイするための実用的なソリューションとして位置づけている。彼らは、本研究がスカラー非線形関数に焦点を当てていることを明記しており、ベクトルレベルの操作（リダクションやアテンションのスパース化など）は演算子仕様のIRの外側にあり、標準的なMPCサブプロトコルによって処理される。セキュリティ分析は、2つの非共謀サーバーを用いたセミホネストモデルに限定されており、より強力な敵対モデルへの拡張は今後の課題であることを認めている。