Google brengt persistent server-side geheugen naar Private AI Compute

Google zal privé, persistent server-side geheugen aan Private AI Compute, zijn cloud-AI-verwerkingsplatform, toevoegen, zoals het Google Private AI Compute-team aankondigde in een Google DeepMind blogpost gepubliceerd op 23 september 2026, waarbij een bijgewerkte technische briefing, een openbaar register van zijn server-software, en samenvattingen van onafhankelijke audits naast de aankondiging werden vrijgegeven.

Een veilig kluismodel met apparaat-gehouden sleutels

Het team zei dat de nieuwe persistente geheugelaag is ontworpen om te functioneren als een veilige digitale kluis in de cloud. Volgens dit model wordt informatie die nodig is om een gebruiker te ondersteunen, opgeslagen in een toegewijde, versleutelde opslag, terwijl de cryptografische sleutels die nodig zijn om deze te ontgrendelen uitsluitend op de persoonlijke apparaten van de gebruiker worden bewaard — een regeling waarvan Google zegt dat deze de gegevens ontoegankelijk maakt voor iedereen, inclusief Google zelf.

Wanneer een model opgeslagen informatie nodig heeft om een verzoek af te handelen, verbindt een geauthentiseerde, end-to-end versleutelde kanaal het apparaat met een beschermde, geïsoleerde omgeving in de cloud. Die ruimte, een secure enclave genoemd, ontsleutelt tijdelijk de gegevens in geïsoleerd geheugen, slaat nieuwe context op en versleutelt deze onmiddellijk opnieuw. Google beschrijft het ontwerp als een combinatie van hardware-afgedwongen secure enclaves, versleutelde kanalen en per-gebruiker databases die worden beschermd door apparaat-afgeleide encryptiesleutels.

De aankondiging positioneert de mogelijkheid als een antwoord op een langdurig dilemma: een assistent langdurige continuïteit over apparaten geven, terwijl de strenge privacy-normen die normaal alleen op-apparaat verwerking gelden, worden gehandhaafd. Als voorbeelden van de beoogde continuïteit beschrijft het team het ophalen van montage-instructies op een laptop die eerder via slimme bril werden bekeken, of het hervatten van een complex gesprek tussen mobiel en web.

Van een stateless platform naar persistent geheugen

Google introduceerde Private AI Compute op 11 november 2025, in een bericht van Jay Yagnik, vicepresident AI-innovatie en onderzoek, waarin hij het beschrijft als een platform dat zijn Gemini-cloudmodellen combineert met de beveiligings- en privacy-garanties van verwerking op het apparaat. Het platform draait op Google’s eigen Tensor Processing Units, beveiligd door Titanium Intelligence Enclaves. Bij de lancering zei Google dat Private AI Compute Magic Cue bruikbaarder zou maken op Pixel 10-telefoons en de Pixel Recorder-app in staat zou stellen transcripties over een breder scala aan talen samen te vatten.

Tot deze update was de technologie strikt stateless, waarbij alle context werd gewist zodra een taak eindigde. Google zegt dat oplossingen, zoals het laten opslaan van lijsten met persoonlijke feiten en voorkeuren door de AI, niet voldoende waren om de doorlopende ervaringen te ondersteunen die men van persoonlijke AI verwacht.

Geheugenarchitectuur en levenscyclus van verzoeken

De bijgewerkte Private AI Compute Technical Brief, van Google’s Platforms and Devices, DeepMind, Core en Cloud-teams, beschrijft de functie als een stateful uitbreiding van het platform: een persistent, per-gebruiker geheugen dat in de cloud leeft maar onleesbaar blijft voor Google, en volledig opereert binnen de beschermde uitvoeringomgeving van het platform.

In de kern bevindt zich de Oak Server-geheugen, een stateful per-gebruiker database die draait binnen een hardware-trusted execution environment. Records worden versleuteld met per-gebruiker sleutels die volgens de briefing nooit zichtbaar zijn buiten de trusted computing base van het systeem of voor de Google-infrastructuur, en een orchestrator bemiddelt tussen het AI-model en de geheugenserver zodat platte tekst nooit de enclave verlaat. De geheugen-applicatie is geschreven in Rust en draait in de Oak Containers-runtime, en zowel de server als de runtime zijn open source. Reproduceerbare builds koppelen de gepubliceerde broncode aan de binaries die in productie worden ingezet, waarbij de resulterende digests publiekelijk worden goedgekeurd in een alleen-aan-toevoegen grootboek en door de enclave worden geattesteerd voordat een sleutel wordt vrijgegeven.

Voor een verzoek dat historische context vereist, begint de levenscyclus met de client die een versleutelde sessie tot stand brengt via het Noise-protocol; het verzoek bereikt vervolgens een orchestratie-enclave binnen een AMD SEV-SNP vertrouwelijke virtuele machine. De orchestrator opent een wederzijds geattesteerd ALTS-kanaal naar de geheugenserver, en na hardware-verificatie van de meting van de enclave worden de decryptiesleutels van de gebruiker ontgrendeld voor de database-engine en worden de relevante records uitsluitend in vluchtig enclave-geheugen ontsleuteld. De opgehaalde context wordt samengevoegd met de actieve prompt en volledig geëvalueerd binnen het geharde TPU-platform. Als de sessie nieuwe herinneringen, feiten of bijgewerkte voorkeuren oplevert, worden deze opnieuw versleuteld onder de sleutel van de gebruiker en naar persistente opslag geschreven, en alle vluchtige prompt-context, tokens en tussenliggende activaties worden gewist bij het leveren van het antwoord.

Het vrijgeven van sleutels aan de geheugenserver is afhankelijk van attestation. Volgens de briefing kan een enclave die geen geldig attestation-bewijs kan overleggen dat overeenkomt met een goedgekeurde geheugen-binary (inclusief een gewijzigde of ongeautoriseerde build) de sleutels niet verkrijgen en dus het geheugen van een gebruiker niet lezen.

Dreigingsmodel en externe verificatie

Het rapport erkent dat het bewaren van gegevens de beveiligingspositie van het platform verandert. Een persistente opslag moet voor elk verzoek een stabiele per‑gebruiker‑identificatie bepalen, zodat het stateful systeem geen niet‑doelbaarheid op netwerkniveau claimt, de eigenschap die bedoeld is om te voorkomen dat een enkele query kan worden gekoppeld aan een gebruiker op het stateless inferentiepad. Google zegt dat het richten op het geheugen van een specifieke gebruiker alleen ondoorzichtige ciphertext oplevert, omdat de sleutels die nodig zijn om het te lezen alleen beschikbaar zijn binnen een geattesteerde enclave.

De opgegeven beveiligingsdoelen voor de persistente opslag omvatten geen administratief pad naar platte tekst gebruikersgegevens, zelfs niet in noodscenario’s met break‑glass, containment van een gecompromitteerde instantie via vertrouwelijke virtuele machines, en standaard‑deny egress‑beleid dat monitoring, logging en core dumps dekt.

Google zegt dat externe auditors het systeemontwerp hebben gevalideerd voor zowel de eerste release als de server‑side‑memory‑update, en dat het samenvattingen van de auditrapporten van 2025 en 2026 heeft gepubliceerd. Apparaten die Private AI Compute draaien, kunnen volgens het bedrijf verifiëren dat de software authentiek en onveranderd is ten opzichte van het openbare register voordat ze persoonlijke gegevens verzenden.

Het werk werd mede‑ontwikkeld door Google DeepMind samen met de Platforms and Devices, Core en Cloud teams, waarbij Four Flynn, Jay Yagnik en David Kleidermacher werden genoemd voor hun uitvoerende sponsoring.

Het rapport sluit af met de geplande vervolgstappen: client‑side‑attestatie‑verificatie die gebruikersapparaten in staat stelt serverbewijsmateriaal onafhankelijk te valideren voordat gevoelige gegevens worden verzonden, een alleen‑aan‑toe transparantielog dat wordt waargenomen en mede‑ondertekend door onafhankelijke derden, een bredere dekking van reproduceerbare builds over extra systeemcomponenten, en terugkerende audits door derden.