Meta amplia Private Processing Confidential Computing ai visori AI

Meta sta portando Private Processing, la sua infrastruttura di computazione riservata, ai suoi visori AI, come dettagliato in un post di Engineering at Meta pubblicato il 24 settembre 2026. Meta afferma che il design consente ai modelli AI basati sul cloud di soddisfare le richieste dei visori senza che Meta possa accedere ai dati degli utenti.

Nel post, gli ingegneri di Meta Pritam Shah e Oskar Linde scrivono che molte istruzioni che le persone danno attualmente ai loro visori, come effettuare una chiamata o rispondere a un messaggio in modalità mani libere, avvengono interamente sul dispositivo. Funzionalità più avanzate richiederebbero modelli AI troppo grandi per essere eseguiti sui visori stessi, e un assistente utile nella vita quotidiana deve mantenere il contesto per giorni o settimane e operare in modo proattivo in background. Quegli obblighi, affermano gli ingegneri, implicano che il lavoro debba avvenire nel cloud.

Meta ha introdotto per la prima volta Private Processing nel 2025 per WhatsApp e l’app Meta AI, consentendo chat private con Meta AI senza che Meta o WhatsApp vedano i dati, e gli ingegneri affermano che l’azienda ha appreso da quell’approccio per estenderlo ai visori. Meta dichiara che la versione per i visori è progettata per scaricare carichi di lavoro intensivi come la trascrizione in streaming, la ricerca contestuale e il richiamo a lungo termine.

Il design della computazione riservata

Le architetture cloud tradizionali criptano i dati a riposo e in transito, ma devono decrittarli nella memoria dell’host durante l’elaborazione, esponendoli al sistema operativo host, all’hypervisor e all’operatore dell’infrastruttura, spiega il post. La computazione riservata è lo sforzo a livello industriale per colmare questa lacuna durante l’uso, e il suo elemento hardware fondamentale è l’Environment di Esecuzione Fidato (TEE): alcune CPU e GPU criptano la memoria di una macchina virtuale riservata (CVM) sotto una chiave gestita dall’hardware di sicurezza integrato e mai rilasciata all’host, all’hypervisor o agli operatori della macchina.

Citata la definizione del Confidential Computing Consortium, il post afferma che un TEE impone fisicamente la riservatezza dei dati, l’integrità dei dati e l’integrità del codice. Prima di connettersi, un dispositivo client richiede un rapporto di attestazione remota firmato da una chiave che esiste solo all’interno del chip, verifica che la firma risalga a una chiave radice pubblicata dal fornitore del chip e confronta la misurazione del software con un registro a sola aggiunta attestato da una terza parte indipendente; se uno dei controlli fallisce, il dispositivo rifiuta la connessione e non invia alcun dato.

Meta afferma di aver progettato l’implementazione per i visori attorno a cinque requisiti: isolamento hardware che mantiene i dati dell’utente criptograficamente illeggibili per i sistemi operativi host, gli hypervisor e Meta stesso durante il transito, l’uso e a riposo; garanzie di fail-closed, secondo le quali qualsiasi tentativo di modificare la garanzia di elaborazione riservata deve provocare la chiusura del sistema o diventare pubblicamente rilevabile; verificabilità pubblica tramite un registro di trasparenza attestato pubblicamente per ogni immagine CVM di produzione; non‑targetabilità, in modo che un attaccante non possa isolare la sessione o lo storage di una singola persona senza tentare di compromettere l’intero sistema; e storage criptato accessibile solo con una chiave fornita dall’utente. L’azienda descrive il sistema come multiregionale e tollerante ai guasti, con il modello di minaccia documentato in un whitepaper su Private Processing.

Flusso di richiesta, archiviazione e osservabilità

Il sistema affronta innanzitutto un problema di metadati, scrivono gli ingegneri: un operatore che conosce chi sta inviando una richiesta potrebbe indirizzare il traffico verso una macchina compromessa. I dispositivi utilizzano credenziali anonime (token firmati in cieco recuperati con programmazioni randomizzate) in modo che il servizio di autenticazione di Meta non possa collegare una richiesta a un account, e si connettono ai gateway di Meta tramite un relay OHTTP di terze parti gestito da Fastly o Cloudflare, con ogni richiesta servita da un TEE selezionato in base a euristiche non identificabili dall’utente.

Prima di inviare qualsiasi contesto, il post afferma che i visori aprono una sessione di attestazione remota e TLS (RA‑TLS) con il TEE del server, verificando incrociatamente il certificato firmato dall’hardware e gli hash binari contro il registro di trasparenza pubblico prima di stabilire la connessione. All’interno del TEE, i modelli vengono eseguiti in isolamento, e i TEE devono attestarsi reciprocamente sotto lo stesso protocollo prima di trasferire dati.

Quando una funzionalità richiede memoria persistente, l’output viene criptato con chiavi fornite dall’utente prima di uscire dal TEE, e l’infrastruttura di Meta memorizza il ciphertext; il dispositivo fornisce la chiave quando la memoria viene successivamente recuperata. Meta afferma di aver costruito il motore di archiviazione direttamente all’interno del TEE perché un database criptato esterno espone comunque i pattern di accesso, come quando e con quale frequenza i dati vengono letti e quali record sono accessi insieme, e perché operazioni come la ricerca di vettori semantici su storage criptato convenzionale non scalano man mano che il contesto dell’utente cresce.

Il design limita anche gli operatori di Meta. Poiché sono esclusi crittograficamente, il post afferma che gli ingegneri non possono collegare debugger a un TEE in esecuzione, scaricare stack di memoria, registrare gli input e gli output del modello, né ispezionare il payload dietro un guasto operativo, così lo strato di osservabilità si basa su segnali di salute aggregati: utilizzo CPU, allocazione di memoria, latenza di rete e tassi aggregati di guasti hardware.

Verifica esterna e la roadmap agentica

Meta afferma che ogni immagine CVM distribuita in produzione è registrata nel registro di trasparenza, che l’azienda descrive come in grado di garantire evidenza di manomissione poiché la sostituzione di un binario diverso sarebbe visibile in un registro che Meta non controlla. Il registro e le sue misurazioni sono pubblicamente visibili, e i binari corrispondenti sono disponibili per i ricercatori nel programma di sicurezza di Meta in base a un accordo. L’azienda dichiara di collaborare con società di sicurezza indipendenti, tra cui NCC Group, per verificare la progettazione architettonica, la logica di attestazione e il modello di isolamento, e sta espandendo il suo programma Bug Bounty per coprire esplicitamente Private Processing sugli occhiali AI, fornendo ai ricercatori esterni strumenti, binari CVM e documentazione.

Al momento della pubblicazione del post, Private Processing si era concentrato su compiti discreti come la sintesi di un messaggio. Meta descrive l’infrastruttura come la base per esperienze più agentiche e multimodali con gli occhiali, in cui il dispositivo compie azioni per conto dell’utente attraverso le sessioni, e gli ingegneri fanno riferimento alla lettera di Mark Zuckerberg di luglio 2025 sull’intelligenza superpersonale, che prevedeva che dispositivi personali come gli occhiali sarebbero diventati i dispositivi su cui le persone fanno più affidamento per la computazione.

Separatamente, in un 23 settembre 2026 post della newsroom Connect, Meta ha dichiarato di portare Muse, il suo agente AI personale, sui suoi occhiali AI. Meta ha anche annunciato Ray-Ban Meta Gen 3, disponibile a partire da $449 con fino a nove ore di autonomia, un array di sei microfoni e una fotocamera da 12 megapixel con video Ultra HD 3K, e ha affermato che offrirà più di 100 opzioni di occhiali tra Ray-Ban, Oakley e Meta Glasses entro la fine dell’anno. Meta ha detto che il suo primo modello solo audio, Ray-Ban Meta Audio, pesa 43 grammi e offre fino a 12 ore di autonomia; le prenotazioni sono aperte a partire da $349, e gli occhiali saranno spediti il 13 ottobre 2026.