Resumo Técnico: Jaguar

Declaração do Problema

Os frameworks de Criptografia Homomórfica (HE) Híbrida e Computação Multipartidária Segura (2PC) representam atualmente o ponto de design prático para a inferência de Redes Neurais Convolucionais (CNN) exatas e privadas, evitando a degradação de precisão das aproximações polinomiais de criptografia totalmente homomórfica (FHE). No entanto, esses sistemas enfrentam dois gargalos críticos:

1. Latência de Convolução HE: O cálculo da camada linear é dominado pela aritmética de polinômios baseada em Transformada de Números Teóricos (NTT) e reduções de primos modulares. O perfil de sistemas de última geração como o Cheetah revela que a convolução sozinha consome mais de 96% da latência da camada linear, sendo que as operações de NTT e as reduções modulares respondem pela vasta maioria desse tempo.
2. Fluxo de Precisão Ineficiente: Na inferência de ponto fixo, as camadas lineares produzem saídas com o dobro da precisão fracionária ($2f$ bits). Os sistemas híbridos convencionais passam esses valores de largura de bits ampliada diretamente para os protocolos de ReLU, seguidos por um protocolo de truncamento de 2PC separado e interativo para restaurar a precisão alvo. Essa abordagem incorre em custos computacionais desnecessários para a largura de bits mais larga durante a ReLU e adiciona uma sobrecarga de comunicação significativa para a etapa de truncamento.

A causa raiz de ambos os problemas é a dependência da aritmética de módulo primo (especificamente primos amigáveis à NTT) herdada dos designs de bibliotecas FHE padrão. Embora otimais para multiplicação de polinômios genéricos, este regime é subótimo para sistemas híbridos HE/2PC, que realizam uma única camada linear seguida de conversão imediata para partes aditivas sobre $\mathbb{Z}_{2^\ell}$.

Metodologia

O Jaguar aborda esses gargalos através de uma escolha de design única e central: a adoção de um anel de criptograma de potência de dois ($q = 2^Q, p = 2^P$), em vez do convencional módulo primo. Esta escolha possibilita três inovações técnicas interconectadas:

1. SPA-CONV: Convolução no Domínio dos Coeficientes

Ao utilizar um anel de potência de dois, o Jaguar elimina a necessidade de multiplicação de polinômios baseada em NTT no caminho linear. Em vez disso, ele emprega Acumulação Escalar–Polinomial (SPA-CONV).

• Mecanismo: A convolução é avaliada como uma soma de produtos escalar–polinomial deslocados. Para cada peso do filtro (escalar), o sistema realiza um deslocamento de coeficiente do criptograma de entrada e acumula o resultado.
• Vantagem: Esta abordagem substitui multiplicações de polinômio por polinômio caras e reduções de primos modulares por multiplicações escalar–polinomial, deslocamentos de coeficientes e mascaramento de bits (para redução módulo $2^Q$). Não requer multiplicação de polinômio texto simples–criptograma ou NTT no lado do servidor.

2. Truncamento no Lado do Criptograma Exato Pré-ReLU

O módulo de potência de dois garante que o fator de escala BFV $\Delta = q/p = 2^{Q-P}$ também seja uma potência de dois.

• Mecanismo: Esta divisibilidade permite o truncamento exato diretamente nos componentes do criptograma via deslocamentos aritméticos à direita (implementados como deslocamentos lógicos em resíduos sem sinal) antes da operação ReLU.
• Benefício: Isso elimina a necessidade de um protocolo de truncamento de 2PC separado e interativo. Além disso, reduz a largura de bits da entrada para o protocolo ReLU de $\ell$ para $\ell-f$, reduzindo o custo de comunicação e computação da etapa não linear.

3. Descriptografia Assistida por NTT

Embora o caminho linear do servidor evite a NTT, o cliente ainda deve realizar uma multiplicação de polinômio ($\hat{c}'_1 \cdot \hat{s}$) durante a descriptografia.

• Mecanismo: O Jaguar recupera a eficiência da NTT para esta operação local específica usando um primo auxiliar amigável à NTT ($q_{ntt}$) exclusivamente no lado do cliente. O cliente mapeia os coeficientes para este primo auxiliar, realiza a multiplicação via NTT e mapeia o resultado de volta para o anel de potência de dois.
• Benefício: Isso preserva a complexidade $O(N \log N)$ para a descriptografia no lado do cliente sem perturbar o substrato de protocolo de potência de dois ou introduzir custos de NTT no servidor.

Principais Contribuições

• Substrato Aritmético de Potência de Dois: O Jaguar é o primeiro sistema HE/2PC a usar um anel de criptograma de potência de dois como o regime aritmético central para inferência de CNN em escala ImageNet, afastando-se do backend padrão de primo NTT.
• Kernel SPA-CONV: Um novo kernel de convolução que avalia convoluções pontuais, densas e de profundidade (depthwise) como somas de produtos escalar–polinomial e deslocamentos de coeficientes, eliminando NTT e reduções de primos modulares no caminho linear.
• Truncamento de Zero Comunicação: Uma prova de correção para o truncamento exato no lado do criptograma que remove inteiramente o protocolo de truncamento pós-ReLU, uma característica ausente em sistemas híbridos anteriores.
• Descriptografia Assistida por NTT: Uma técnica local do cliente que utiliza um primo auxiliar para manter a eficiência de descriptografia sem comprometer o design de potência de dois do protocolo.

Resultados Experimentais

Os autores avaliaram o Jaguar em ResNet-18, ResNet-50 e MobileNetV2 em escala ImageNet usando uma configuração dual Intel Xeon Gold 6250 com AVX desativado.

• Latência: O Jaguar alcança uma latência de ponta a ponta 2,07–3,72× menor que o Cheetah e 2,16–3,36× menor que o Rhombus em configurações LAN e WAN.
  • No ResNet-50, a latência do kernel de convolução cai em 79%.
  • A etapa de ReLU+truncamento vê uma redução de latência de 2,32× (LAN) e 1,80× (WAN).
• Comunicação: O Jaguar reduz a comunicação em 1,16–1,76× em comparação ao Cheetah.
  • A comunicação da etapa de truncamento é reduzida a zero.
  • A comunicação da ReLU é reduzida devido à menor largura de bits de entrada.
  • Nota: No ResNet-50, a comunicação do Jaguar é ligeiramente superior à do Rhombus (1,28×), pois o Rhombus é especificamente otimizado para os componentes pontuais e de vetor-matriz que dominam a comunicação do ResNet-50, enquanto o Jaguar troca parte da comunicação por uma redução significativa de computação em todo o caminho de convolução. No entanto, no ResNet-18 e MobileNetV2, o Jaguar supera o Rhombus tanto em latência quanto em comunicação.
• Microbenchmarks: Em benchmarks de computação pura de convolução (AVX desativado), o Jaguar mostra ganhos de velocidade de média geométrica de 2,47× (denso), 11,82× (pontual) e 11,65× (profundidade) sobre o Cheetah para layouts empacotados.

Significância

O artigo afirma que o Jaguar demonstra que mudar o regime aritmético fundamental do HE — de módulo primo para potência de dois — desbloqueia ganhos substanciais para a inferência de CNN privada prática que não podem ser alcançados apenas otimizando o empacotamento ou a comunicação sobre backends convencionais. Ao alinhar o módulo do criptograma com o domínio de partição ($\mathbb{Z}_{2^\ell}$) e permitir aritmética livre de redução, o Jaguar resolve simultaneamente os principais gargalos da convolução HE e do fluxo de precisão. O sistema prova que um anel de potência de dois não é apenas viável, mas superior para inferência híbrida HE/2PC, desde que os requisitos específicos de convolução (acumulação escalar–polinomial) e descriptografia (recuperação local de NTT) sejam abordados.