密文上做推理的「编译器」：谷歌 HEIR 想把同态加密变成一行命令的事

把数据加密之后还能直接在上面计算——同态加密（HE）画了四十年的饼，卡点从来不在数学，而在工程：把一段普通程序翻译成密态程序，需要密码学专家手工设计，慢、贵、不可扩展。谷歌牵头的开源项目 HEIR 想把这个过程变成编译器的事：你在代码里标一句「这是敏感数据」，剩下的降级、优化、后端生成，交给流水线。

综述

HEIR（Homomorphic Encryption Intermediate Representation）是谷歌与多家机构（Intel、密歇根大学、清华等）协作的开源项目，定位是「同态加密的通用编译器」：以 MLIR 为底座，从机器学习前端一路降到各类 HE 方案级 IR（BGV、BFV、CKKS、CGGI），再落到具体库与硬件后端（tfhe-rs、Jaxite、FPGA、TPU 等）。技术论文见 arXiv:2508.11095。

对应用层而言最直观的入口是几条预置流水线：例如从 PyTorch 导出的 linalg 程序，可以经 torch-linalg-to-ckks 直接转换成 CKKS 方案的密态程序——敏感张量用 secret 标注，编译器负责把普通循环改成数据无关形态、做密文打包的布局优化，并生成客户端加解密的辅助接口。

HEIR 同时被定位为研究平台：语法、解析器、IR、标准 pass、多后端一应俱全，新方案与新优化可以插进来对比与基准测试。论文称它正在成为 HE 编译器研究的事实标准底座。

专业分析

同态加密的落地难，本质是「三层复杂性」叠加：方案多（BGV/BFV/CKKS/CGGI 各有适用域）、性能技巧多（打包、重线性化、自举时机、噪声管理）、硬件目标多（CPU/GPU/FPGA/ASIC）。过去这三层全靠密码学专家手工编排——这就像没有编译器的时代，每个程序都要手写汇编。

HEIR 的思路是「编译器接管三层」：把方案、性能技巧、硬件后端全部抽象成可组合的 pass 与方言，程序员只需要标注数据敏感性，剩下的选择交给优化器。MLIR 恰好是干这个的成熟底座——它本来就是为「多级中间表示+可插拔方言」设计的，TensorFlow 生态、乃至量子与硬件编译都在用它。

值得单独拎出来说的是噪声与布局的自动化。密态计算的噪声随乘法增长，什么时候自举、怎么打包能省乘法深度，过去是专家经验；HEIR 把布局优化（把操作打包进密文向量）与参数选择做成 pass，等于把「手感」沉淀成「算法」。而数据无关变换（消除依赖数据的分支）是另一道关键工序——程序里有 if/else 就可能在密态下泄露信息，编译器要先把控制流磨平。

硬币的反面也要讲：HEIR 成熟度仍在爬坡。FHE 的性能开销摆在那里——密态乘法的成本比明文高出几个数量级，编译器优化得再好，也改变不了「密态推理目前只适合特定高价值场景」的现实。它降低的是工程门槛，不是数学成本。

关联信息与影响

HEIR 的价值要放在「隐私计算需求抬头」的大背景里读。大模型时代数据即资产，企业既想用 AI 又不想交出数据——密态推理是「数据不出域也能被算」的少数技术路径之一。同期情报里，云端推理价格战越打越狠，但把数据送到云上算，与把密文送到云上算，是两笔不同的账——后者正在等一个工程化的开关。

对行业的影响分几层：对密码学社区，HEIR 让新方案能快速被工程验证，研究-落地周期缩短；对机器学习生态，PyTorch/TensorFlow 模型有望在标注后直接获得密态版本，隐私推理从「定制项目」变成「构建选项」；对硬件厂商，HEIR 的 dialect 层为 FPGA/ASIC 加速器提供了标准接入点，专用硬件不必再为一对一集成买单。

也要看到局限：密态机器学习目前仍以中小模型与受限场景为主，大模型全密态推理的算力账还没算平；合规上，密文计算的监管认定也仍待明确。