Technische Samenvatting: Jaguar

Probleemstelling

Hybride Homomorfe Encryptie (HE) en Secure Two-Party Computation (2PC) frameworks vormen momenteel het praktische ontwerppunt voor exacte private Convolutional Neural Network (CNN) inferentie, waarbij de nauwkeurigheidsdegradatie van volledig homomorfe polynomiale benaderingen wordt vermeden. Deze systemen kampen echter met twee kritieke bottlenecks:

1. HE Convolutie Latentie: De berekening van de lineaire laag wordt gedomineerd door Number Theoretic Transform (NTT)-gebaseerde polynomiale aritmetiek en modulaire priemreducties. Profiling van state-of-the-art systemen zoals Cheetah laat zien dat convolutie alleen al meer dan 96% van de lineaire-laag latentie consumeert, waarbij NTT-operaties en modulaire reducties het overgrote deel van deze tijd opeisen.
2. Inefficiënte Precisie-flow: In fixed-point inferentie produceren lineaire lagen outputs met een verdubbelde fractionele precisie ($2f$ bits). Conventionele hybride systemen geven deze brede bitbreedte-waarden direct door aan ReLU-protocollen, gevolgd door een apart, interactief 2PC-truncatieprotocol om de doelprecisie te herstellen. Deze aanpak brengt onnodige computationele kosten met zich mee voor de bredere bitbreedte tijdens ReLU, en voegt aanzienlijke communicatieoverhead toe voor de truncatie stap.

De kernoorzaak van beide problemen is de afhankelijkheid van priem-modulus aritmetiek (specifiek NTT-vriendelijke priemgetallen) die is overgenomen van standaard FHE-bibliotheekontwerpen. Hoewel dit optimaal is voor generieke polynomiale vermenigvuldiging, is dit regime suboptimaal voor hybride HE/2PC systemen, die een enkele lineaire laag uitvoeren gevolgd door directe conversie naar additive shares over $\mathbb{Z}_{2^\ell}$.

Methodologie

Jaguar adresseert deze bottlenecks door middel van één centrale ontwerpkeuze: het adopteren van een power-of-two ciphertext ring ($q = 2^Q, p = 2^P$) als het aritmetische substraat, in plaats van de conventionele priemmodulus. Deze keuze maakt drie onderling verbonden technische innovaties mogelijk:

1. SPA-CONV: Coëfficiënt-domein Convolutie

Door gebruik te maken van een power-of-two ring, elimineert Jaguar de noodzaak voor NTT-gebaseerde polynomiale vermenigvuldiging in het lineaire pad. In plaats daarvan gebruikt het Scalar–Polynomial Accumulation (SPA-CONV).

• Mechanisme: Convolutie wordt geëvalueerd als een som van verschoven scalar–polynomiale producten. Voor elk filtergewicht (scalar) voert het systeem een coëfficiënt-gewijze verschuiving van de input-ciphertext uit en cumuleert het resultaat.
• Voordeel: Deze aanpak vervangt dure polynomiale-door-polynomiale vermenigvuldigingen en modulaire priemreducties door scalar–polynomiale vermenigvuldigingen, coëfficiënt-verschuivingen en bitwise masking (voor reductie modulo $2^Q$). Het vereist geen plaintext–ciphertext polynomiale vermenigvuldiging of server-zijde NTT.

2. Exacte Pre-ReLU Ciphertext-zijde Truncatie

De power-of-two modulus zorgt ervoor dat de BFV schaalfactor $\Delta = q/p = 2^{Q-P}$ ook een macht van twee is.

• Mechanisme: Deze deelbaarheid maakt exacte truncatie direct op de ciphertext-componenten mogelijk via aritmetische rechtsschuivingen (geïmplementeerd als logische verschuivingen op unsigned residuen) vóór de ReLU-operatie.
• Voordeel: Dit elimineert de noodzaak voor een apart, interactief 2PC-truncatieprotocol. Bovendien vermindert het de bitbreedte van de input naar het ReLU-protocol van $\ell$ naar $\ell-f$, waardoor de communicatie- en computationele kosten van de niet-lineaire fase worden verlaagd.

3. NTT-geassisteerde Decryptie

Hoewel het server-zijde lineaire pad NTT vermijdt, moet de client nog steeds een polynomiale vermenigvuldiging ($\hat{c}'_1 \cdot \hat{s}$) uitvoeren tijdens decryptie.

• Mechanisme: Jaguar herstelt de efficiëntie van NTT voor deze specifieke lokale operatie door een auxiliary NTT-vriendelijke priem ($q_{ntt}$) uitsluitend aan de client-zijde te gebruiken. De client mapt de coëfficiënten naar deze hulp-priem, voert de vermenigvuldiging via NTT uit, en mapt het resultaat terug naar de power-of-two ring.
• Voordeel: Dit behoudt de $O(N \log N)$ complexiteit voor de client-zijde decryptie zonder de power-of-two protocol-substraat te verstoren of NTT-kosten te introduceren op de server.

Belangrijkste Bijdragen

• Power-of-Two Aritmetisch Substraat: Jaguar is het eerste HE/2PC systeem dat een power-of-two ciphertext ring gebruikt als het centrale aritmetische regime voor ImageNet-schaal CNN inferentie, waarmee het afwijkt van de standaard NTT-priem backend.
• SPA-CONV Kernel: Een nieuw convolutie-kernel dat pointwise, dense, en depthwise convoluties evalueert als sommen van scalar–polynomiale producten en coëfficiënt-verschuivingen, waardoor NTT en modulaire priemreducties in het lineaire pad worden geëlimineerd.
• Zero-Communication Truncatie: Een bewijs van correctheid voor exacte ciphertext-zijde truncatie die de post-ReLU truncatieprotocol volledig verwijdert, een functie die afwezig is in eerdere hybride systemen.
• NTT-geassisteerde Decryptie: Een client-lokale techniek die een hulp-priem gebruikt om de decryptie-efficiëntie te behouden zonder het power-of-two ontwerp van het protocol in gevaar te brengen.

Experimentele Resultaten

De auteurs hebben Jaguar geëvalueerd op ImageNet-schaal ResNet-18, ResNet-50 en MobileNetV2 met behulp van een dual Intel Xeon Gold 6250 setup met AVX uitgeschakeld.

• Latentie: Jaguar bereikt 2.07–3.72× lagere end-to-end latentie dan Cheetah en 2.16–3.36× lager dan Rhombus in zowel LAN als WAN settings.
  • Op ResNet-50 daalt de convolutie-kernel latentie met 79%.
  • De ReLU+truncatie fase ziet een reductie in latentie van 2.32× (LAN) en 1.80× (WAN).
• Communicatie: Jaguar reduceert de communicatie met 1.16–1.76× vergeleken met Cheetah.
  • De communicatie van de truncatie fase is gereduceerd tot nul.
  • ReLU communicatie is verminderd door de kleinere input bitbreedte.
  • Opmerking: Op ResNet-50 is de communicatie van Jaguar iets hoger dan die van Rhombus (1.28×), omdat Rhombus specifief is geoptimaliseerd voor de pointwise en matrix-vector componenten die de communicatie van ResNet-50 domineren, terwijl Jaguar een deel van de communicatie inruilt voor aanzienlijk lagere compute over het gehele convolutiepad. Echter, op ResNet-18 en MobileNetV2 presteert Jaguar beter dan Rhombus in zowel latentie als communicatie.
• Microbenchmarks: In compute-only convolutie benchmarks (AVX uitgeschakeld), vertoont Jaguar geometrische gemiddelde versnellingen van 2.47× (dense), 11.82× (pointwise), en 11.65× (depthwise) ten opzichte van Cheetah voor gepakte layouts.

Betekenis

Het artikel beweert dat Jaguar aantoont dat het veranderen van het fundamentele HE aritmetische regime — van priem-modulus naar power-of-two — substantiële winsten oplevert voor praktische private CNN inferentie die niet kunnen worden bereikt door enkel optimalisatie van packing of communicatie bovenop conventionele backends. Door de ciphertext modulus af te stemmen op de share domain ($\mathbb{Z}_{2^\ell}$) en reductie-vrije aritmetiek mogelijk te maken, lost Jaguar de primaire bottlenecks van zowel HE convolutie als precisie-flow tegelijkertijd op. Het systeem bewijst dat een power-of-two ring niet alleen levensvatbaar maar superieur is voor hybride HE/2PC inferentie, mits de specifieke vereisten van convolutie (scalar–polynomiale accumulatie) en decryptie (lokale NTT herstel) worden geadresseerd.