最极致的数据安全计算，迎来产业化的“临界时刻”

作者｜冬梅

采访嘉宾｜闫守孟、张明喆

当数据成为最重要的生产要素，计算却必须在“不被看见”的前提下完成——全同态加密，正在从一项“隐私计算圣杯”，变成现实世界必须回答的问题。

2025 年，Cloudflare 的一次区域性故障，导致数百家金融机构、政府服务与媒体网站瞬间停摆，暴露出当关键基础设施集中于少数平台时，一次攻击或故障便能引发全球性“数字海啸”。

另一家 AI 巨头遭受的黑客攻击，不仅导致模型数据泄露，更因训练数据污染，引发了后续模型输出的大规模偏差——单一漏洞，足以毒化整个系统。

所以如果把过去两年的技术浪潮浓缩成一句话，那大概是：数据正在集中，而风险也在集中。

大模型被部署在云端，金融、医疗、政务等最敏感的数据，开始以 API 的形式流动；跨机构、跨区域、跨国家的数据协作，从“能不能做”变成了“必须要做”。现实世界正在不断抛出一个看似简单、却始终无解的问题：

有没有一种计算方式，可以在数据不被看见的情况下，把事情算完？

这正是同态加密重新被推到舞台中央的原因。

1同态加密：不是更复杂，而是更简单

其实在隐私计算领域，同态加密并不是唯一的技术路线，但同态加密的好处是它非常简洁，直接在数学层面改变计算规则：数据自始至终以密文形式存在，计算在密文之上完成，结果在授权方手中解密。在理想状态下，整个计算过程中不存在“被看见的数据”。

简而言之：从数学上讲，它的安全性可以被证明；从系统上看，它反而让架构变得更简单。

也正因为如此，同态加密的安全性并不依赖系统配置，而是可以被数学证明。这种“安全内生于算法”的特性，使它在理论上具备一种近乎极端的吸引力——也是为什么它常被称为隐私计算领域的“圣杯”。

那既然是圣杯，为什么迟迟没有落地。

因为理想往往伴随着代价。为了最高的性能，成本是绕不开的代价。

2同态加密成本有多高？

要探讨同态加密的成本有多高，就要从这项技术的背景聊起。

同态加密的起点，并不来自互联网或云计算，而来自密码学内部一个极其朴素的问题。

在传统加密体系中，加密和计算是两个泾渭分明的阶段：数据必须先被解密，才能参与任何有意义的计算。这在早期的计算环境中并不是问题——数据和算力通常掌握在同一主体手中，信任是默认前提。

但在 1970 年代，随着密码学逐渐从军事和政府领域走向学术研究，一个更基础的问题被提了出来：有没有可能在不解密的情况下，对加密数据进行计算？

1978 年，RSA 算法被提出。几乎在同一时期，研究者注意到 RSA 天然具备一种“结构保持”的特性：对两个明文相乘后再加密，与分别加密后再相乘，在某些条件下是等价的。

这意味着，加密函数与乘法运算之间存在某种可交换性。

虽然当时没人将其系统化，但这正是“同态性”的雏形。

在随后的二十多年里，同态加密并未成为主流研究方向。原因很简单：当时的计算模型、应用需求和硬件条件，都不足以支撑它的现实意义。

但在学术上，一类被称为“部分同态加密”（Partially Homomorphic Encryption, PHE）的方案逐渐被系统化。这类方案通常只能支持某一种运算：

• RSA、ElGamal：支持乘法同态

• Paillier（1999）：支持加法同态

这类算法在特定场景下非常有用，例如安全投票、隐私求和等。但它们有一个根本限制：无法同时支持加法和乘法，也就无法表达通用计算。

从计算理论的角度看，加法和乘法的组合，才构成了图灵完备计算的基础。缺少任意一种，同态加密就只能停留在“专用工具”的层面。

因此，在很长一段时间里，同态加密被视为一种“有趣但受限”的密码学技巧，而不是通用计算范式。

真正的转折点出现在 2009 年。

当年，斯坦福大学的研究生 Craig Gentry 提出了第一个全同态加密（Fully Homomorphic Encryption, FHE）方案。这是密码学史上的里程碑事件。

Gentry 的核心贡献并不只是“同时支持加法和乘法”，而是提出了一套完整的理论框架，解决了一个此前被认为几乎不可逾越的问题：噪声增长。

在同态计算中，每一次运算都会引入噪声。如果噪声无限累积，最终会导致解密失败。Gentry 提出了“引导（bootstrapping）”这一关键思想：用加密数据本身，去同态地执行一次解密电路，从而刷新噪声。

这在概念上极其优雅，也极其昂贵。

Gentry 的方案证明了全同态加密“在理论上是可能的”，但在实践中，它慢到几乎无法运行。一次简单的运算，可能需要数小时甚至数天。

但对学术界而言，这已经足够。也正是从那时起，全同态加密迅速成为密码学领域的研究热点。

BFV、BGV、CKKS 等一系列同态加密方案在这一时期被提出，它们在效率和功能上不断逼近“可用”的边界。

但即便如此，全同态加密依然难以进入工程实践。原因并不复杂：它的性能模型，与现代计算体系格格不入。

同态运算高度依赖大整数、多项式、模运算，而现代 CPU/GPU 的设计目标，是缓存友好、分支预测、向量化。这种错配，使得即便算法层面有数量级改进，系统层面的瓶颈依然存在。

因此，在很长一段时间里，同态加密的“主战场”依然停留在论文和原型系统中。

而最近两年，随着云计算和大模型的普及，数据与算力开始分离。企业越来越多地需要在“不完全信任”的环境中处理核心数据。与此同时，全球范围内的数据保护法规持续收紧，对数据可见性提出了更高要求。

在这种背景下，传统隐私计算技术的假设开始显得脆弱，而全同态加密那种“全流程密态”的特性，重新展现出不可替代的价值。

从这个意义上说，同态加密并不是一项“新技术”，而是一项被现实推到台前的老问题。

但这个老问题的核心难点却没有变，还是成本和性能之间的平衡。

现实很残酷：如果一项技术足够安全，但速度慢到无法使用或成本及其高昂，它依然没有价值。

这正是蚂蚁集团决定投入长期资源去做这件事的背景。

3蚂蚁为什么必须做这件事

如果说同态加密是一项“被逼出来的技术”，那么金融与医疗等领域，正是压力最大的那一端。

从业务属性来看，蚂蚁面对的是一组极端约束条件：金融数据一旦泄露，影响的不只是单一用户，而是整个信任体系；医疗数据天然涉及隐私，同时又需要在诊疗、科研、保险等多个主体之间流动；跨境业务则进一步叠加了不同司法辖区的数据合规要求。

在这些场景中，任何一个被允许明文存在的环节，都会成为潜在的攻击入口。随着业务规模扩大，这种风险并不会被摊薄，反而会被放大。

这也是为什么，蚂蚁最终将目光投向了同态加密这种简洁且彻底的方案。它并不是最经济的选择，却是在某些场景下唯一能够覆盖全流程密态的技术路径。

4转折点：从硬件侧分析问题，从软件侧解决问题

既然是必然要走的技术路径，那面对高昂的成本，有没有更好的解决方案呢？

蚂蚁技术研究院计算系统实验室副主任、先进加速技术团队负责人张明喆表示，“其实是有的。在同态加密的性能优化问题上，业界曾经形成过一个相对明确的判断：如果要实现数量级提升，就必须依赖专用硬件。毕竟，通用处理器并非为这类计算模式设计，硬件定制似乎是必然选择。”

于是在同态加密加速领域，早期几乎形成了共识：要想快，必须做专用硬件。

许多研究团队选择设计定制加速器，试图用电路层面的并行性来弥补算法的开销。但这条路意味着极高的研发成本、漫长的周期，以及难以规模化的部署。更重要的是，它会将同态加密锁定在“小众、高门槛”的技术轨道上。

蚂蚁技术研究院选择尝试一条不同的路线。

蚂蚁团队重新审视了问题本身，发现同态加密在 GPU 上“跑不动”，并非因为 GPU 算力不足，而是算法结构与硬件并行模型之间存在错位。换句话说，问题不完全在硬件，而在于软件如何组织计算。

通过重构算法的数据布局和并行方式，团队逐步让同态计算“长得更像 GPU 擅长处理的任务”。这种方法并没有改变同态加密的数学本质，却在工程层面释放了巨大的性能潜力。最终，实现了三千倍量级的加速效果。

更关键的是，这种加速并不依赖定制硬件，而是可以随着 GPU 的代际演进持续受益。

具体而言，蚂蚁到底如何通过软件方案解决成本问题？

对 KLSS 算法可用性的研究是一个例子。

在同态加密中，密钥交换占据了 80%～90% 的计算时间。

KLSS 算法是密码学界在 2023 年提出的一项重要理论突破，它通过切片并行，大幅缩短了密钥交换时间。

但理论突破并不自动转化为实际可用性。KLSS 在 GPU 和硬件加速器中暴露出了新的问题：并行带来的带宽需求急剧膨胀，反而成为系统瓶颈。这也是为什么，它在提出后并未被真正应用到工业级系统中。

蚂蚁团队的工作，正是试图跨越这道鸿沟。他们没有简单地“实现算法”，而是从体系结构角度重新审视 KLSS 的计算模式，对并行粒度、数据访问路径和内存布局进行系统性重构，进而根据硬件特性对 KLSS 算法进行针对性优化。最终，使这一算法第一次在加速平台上具备了实用价值。

目前，从论文数量看，刚刚过去的 2025 年，蚂蚁已经在计算机体系结构领域的国际顶级会议发表了六篇同态加密加速技术相关的论文，在同期该领域 17 篇论文里面，占到了约三分之一的比例。这是否意味着蚂蚁在同态加密领域已经走得很靠前了？

对此，闫守孟表示，从论文数量上来看是走在行业前端的，但从看整个行业看，“谈领先还为时尚早”。

事实恰恰相反——这是一个参与者还相对较少的领域。

无论是美国、韩国还是中国，真正长期投入同态加密系统研究的团队都还不够多。生态不成熟、门槛高、基础设施缺失，都是制约因素。

而技术的终点，不应止步于实验室的论文，而在于赋能千行百业。这也是为什么，蚂蚁在做前沿研究的同时，也在围绕同态加密系统性地推动校企合作和开源基础软件。其推动同态加密的路径图，清晰地勾勒出了一项前沿技术从理论走向产业的必经之路：构建一个让后来者“能学、能用、能评估”的坚实底座。

过去两年里，蚂蚁团队每年都会面向国内学术界提出 10 个同态加密加速的开放问题，围绕这些问题资助高校开展研究，并提供必要的技术支持。同时，团队也在加紧打通自身研究成果的“最后一公里”，计划以开源编译器、benchmark、加速库等基础软件套件的形式向业界开放。

一个技术的春天，往往不是来自某一瞬间的“奇迹”般的技术突破，而是源于无数次的深耕与播种。只有愿意俯身，专注于解决一个个细小但关键的难题，并通过开源、合作等方式反哺整个生态时，同态加密这片土地才会逐渐变得肥沃，生态也终将走向繁荣，迎来属于自己的春天。

这或许正是中国技术生态走向成熟的一种范式。