Google introducerer vedvarende server‑side hukommelse til Private AI Compute

Google vil introducere privat, vedvarende server‑side hukommelse til Private AI Compute, deres cloud‑AI‑behandlingsplatform, meddelede Google Private AI Compute‑teamet i et Google DeepMind blogindlæg offentliggjort den 23. september 2026, hvor de frigav en opdateret teknisk brief, en offentlig registrering af deres serversoftware og resuméer af uafhængige revisioner sammen med meddelelsen.

En sikker hvelvmodel med enheds‑holdte nøgler

Teamet sagde, at det nye vedvarende hukommelseslag er designet til at fungere som et sikkert digitalt hvelv i skyen. Under denne model er information, der er nødvendig for at hjælpe en bruger, indkapslet i dedikeret, krypteret lagring, mens de kryptografiske nøgler, der kræves for at låse den op, udelukkende opbevares på brugerens personlige enheder — en ordning, som Google hævder gør dataene utilgængelige for andre, inklusive Google selv.

Når en model har brug for gemt information for at håndtere en forespørgsel, forbinder en autentificeret, ende‑til‑ende krypteret kanal enheden med et beskyttet, isoleret miljø i skyen. Dette rum, kaldet en sikker enclave, dekrypterer midlertidigt data i isoleret hukommelse, gemmer ny kontekst og krypterer den straks igen. Google beskriver designet som en kombination af hardware‑gennemforcede sikre enclaver, krypterede kanaler og per‑bruger‑databaser beskyttet af enheds‑afledte krypteringsnøgler.

Meddelelsen præsenterer funktionen som et svar på et langvarigt dilemma: at give en assistent langsigtet kontinuitet på tværs af enheder, samtidig med at de strenge privatlivsstandarder, som typisk er begrænset til on‑device‑behandling, opretholdes. Som eksempler på den tilsigtede kontinuitet beskriver teamet at hente samlevejledninger på en bærbar computer, som tidligere blev vist gennem smarte briller, eller genoptage en kompleks samtale mellem mobil og web.

Fra en tilstandsløs platform til vedvarende hukommelse

Google introducerede Private AI Compute den 11. november 2025, i et indlæg af Jay Yagnik, vicepræsident for AI‑innovation og -forskning, der beskriver det som en platform, der kombinerer deres Gemini‑cloud‑modeller med sikkerheds‑ og privatlivsgarantier fra on‑device‑behandling. Platformen kører på Googles tilpassede Tensor Processing Units sikret af Titanium Intelligence Enclaves. Ved lanceringen sagde Google, at Private AI Compute ville gøre Magic Cue mere nyttig på Pixel 10‑telefoner og lade Pixel Recorder‑appen opsummere transskriptioner på et bredere sprogudvalg.

Indtil denne opdatering var teknologien strengt tilstandsløs og slettede al kontekst, så snart en opgave var afsluttet. Google siger, at løsninger som at lade AI’en gemme lister over personlige fakta og præferencer ikke var tilstrækkelige til at understøtte de kontinuerlige oplevelser, som de forventer af personlig AI.

Hukommelsesarkitektur og anmodningslivscyklus

Den opdaterede Private AI Compute Technical Brief, fra Googles Platforms and Devices, DeepMind, Core og Cloud‑teams, beskriver funktionen som en tilstandsfølsom udvidelse af platformen: en vedvarende, per‑bruger‑hukommelse, der lever i skyen, men forbliver ulæselig for Google og opererer fuldstændigt inden for platformens beskyttede eksekveringsmiljø.

Kernen er hukommelsesystemet Oak Server, en tilstandsfølsom per‑bruger‑database, der kører i et hardware‑betroet eksekveringsmiljø. Poster er krypteret under per‑bruger‑nøgler, som briefen siger aldrig er synlige uden for systemets betroede beregningsbase eller for Googles infrastruktur, og en orkestrator medierer mellem AI‑modellen og hukommelsesserveren, så klartekst aldrig forlader enclave’en. Hukommelsesapplikationen er skrevet i Rust og kører i Oak Containers‑runtime, og både serveren og runtime’en er open source. Reproducerbare builds knytter den offentliggjorte kilde til de binære filer, der er implementeret i produktion, med de resulterende digests offentligt godkendt i en kun‑tilføjelses‑ledger og attesteret af enclave’en, før nogen nøgle frigives.

For en anmodning, der kræver historisk kontekst, begynder livscyklussen med, at klienten etablerer en krypteret session via Noise‑protokollen; anmodningen når derefter en orkestrerings‑enclave i en AMD SEV‑SNP fortrolig virtuel maskine. Orkestratoren åbner en gensidigt attesteret ALTS‑kanal til hukommelsesserveren, og efter hardware‑verifikation af enclave‑målingen frigøres brugerens dekrypteringsnøgler til database‑motoren, og de relevante poster dekrypteres udelukkende i volatil enclave‑hukommelse. Den hentede kontekst flettes sammen med den aktive prompt og evalueres fuldstændigt inden for den forstærkede TPU‑platform. Hvis sessionen producerer nye minder, fakta eller opdaterede præferencer, krypteres de igen under brugerens nøgle og skrives til vedvarende lagring, og al volatil prompt‑kontekst, tokens og mellemliggende aktiveringer slettes ved svarlevering.

Udløb af nøgler til hukommelsesserveren er betinget af attestation. Ifølge briefen kan en enclave, der ikke kan fremvise gyldig attesteringsbevis, der matcher en godkendt hukommelses‑binary (inklusive en modificeret eller uautoriseret build), ikke opnå nøglerne og dermed ikke læse en brugers hukommelse.

Trusselsmodel og ekstern verifikation

Briefen anerkender, at opbevaring af data ændrer platformens sikkerhedsposition. En vedvarende lagring skal løse en stabil per‑bruger‑identifikator for hver anmodning, så det tilstandsholdige system ikke påstår netværksniveau‑non‑targetability, den egenskab der er beregnet på at forhindre, at en enkelt forespørgsel kan knyttes til en bruger på den tilstandsløse inferenssti. Google siger, at målretning af en specifik brugers hukommelse kun giver uigennemsigtig ciphertext, fordi nøglerne der kræves for at læse den kun er tilgængelige inden for en attesteret enclave.

De angivne sikkerhedsmål for den vedvarende lagring omfatter ingen administrativ vej til klartekst‑brugerdata selv i nødsituationer med break‑glass, indkapsling af en kompromitteret instans gennem fortrolige virtuelle maskiner og standard‑deny‑egress‑politikker, der dækker overvågning, logning og core‑dumps.

Google siger, at eksterne revisorer har valideret systemdesignet både for den første udgivelse og opdateringen af server‑side‑hukommelsen, og at de har offentliggjort sammenfatninger af revisionsrapporter fra 2025 og 2026. Enheder, der kører Private AI Compute, vil kunne bekræfte, at softwaren er autentisk og uændret i forhold til den offentlige registrering, inden de sender personlige data, ifølge virksomheden.

Arbejdet blev medudviklet af Google DeepMind sammen med Platforms and Devices, Core, og Cloud teams, med Four Flynn, Jay Yagnik og David Kleidermacher anerkendt for deres executive sponsorering.

Briefen afslutter med planlagte næste skridt: klient‑side attesteringsverifikation, som vil gøre det muligt for bruger‑enheder at validere serverbeviser uafhængigt inden de overfører følsomme data, en kun‑tilføjelses‑transparenslog, der observeres og medunderskrives af uafhængige tredjeparter, bredere dækning af reproducerbare builds på yderligere systemkomponenter samt tilbagevendende tredjepartsrevisioner.