Meta breidt Private Processing Confidential Computing uit naar AI‑brillen

Meta brengt Private Processing, zijn infrastructuur voor vertrouwelijke computing, naar zijn AI‑brillen, zoals het bedrijf uiteenzette in een Engineering at Meta post gepubliceerd op 24 september 2026. Meta zegt dat het ontwerp cloud‑gebaseerde AI‑modellen in staat stelt om verzoeken van de bril af te handelen zonder dat Meta zelf toegang heeft tot gebruikersgegevens.

In de post schrijven Meta‑ingenieurs Pritam Shah en Oskar Linde dat veel opdrachten die mensen momenteel aan hun bril geven, zoals een oproep plaatsen of een sms handsfree beantwoorden, volledig op het apparaat plaatsvinden. Geavanceerdere functies zouden AI‑modellen vereisen die te groot zijn om op de bril zelf te draaien, en een assistent die nuttig is in het dagelijks leven moet context behouden over dagen of weken en proactief op de achtergrond werken. Die eisen, stellen de ingenieurs, betekenen dat het werk in de cloud moet gebeuren.

Meta introduceerde Private Processing voor het eerst in 2025 voor WhatsApp en de Meta AI‑app, waarmee privé‑chats met Meta AI mogelijk zijn zonder dat Meta of WhatsApp de gegevens zien, en de ingenieurs zeggen dat het bedrijf van die aanpak heeft geleerd bij de uitbreiding naar brillen. Meta zegt dat de bril‑versie is gebouwd om intensieve taken zoals streaming‑transcriptie, contextuele zoekopdrachten en langdurige herinnering af te handelen.

Het Confidential Computing‑ontwerp

Traditionele cloud‑architecturen versleutelen gegevens in rust en tijdens transport, maar moeten ze tijdens verwerking in het host‑geheugen ontsleutelen, waardoor ze blootgesteld worden aan het host‑besturingssysteem, de hypervisor en de infrastructuuroperator, legt de post uit. Confidential computing is de branche‑brede inspanning om die in‑gebruik‑kloof te dichten, en de hardware‑primitive ervan is de Trusted Execution Environment (TEE): bepaalde CPU’s en GPU’s versleutelen het geheugen van een vertrouwelijke virtuele machine (CVM) onder een sleutel die wordt vastgehouden door beveiligingshardware op de chip en die nooit wordt vrijgegeven aan de host, de hypervisor of de operators van de machine.

Met een verwijzing naar de definitie van het Confidential Computing Consortium stelt de post dat een TEE fysiek data‑confidentialiteit, data‑integriteit en code‑integriteit afdwingt. Voordat er verbinding wordt gemaakt, vraagt een client‑apparaat om een remote‑attestatie‑rapport ondertekend met een sleutel die alleen binnen de chip bestaat, controleert of de handtekening terugleidt naar een root‑sleutel die de chip‑leverancier publiceert, en vergelijkt de software‑meting met een alleen‑aan‑toevoeging‑ledger die wordt waargenomen door een onafhankelijke derde partij; als een van de controles faalt, weigert het apparaat verbinding en stuurt het geen gegevens.

Meta zegt dat het de bril‑implementatie heeft ontworpen rond vijf eisen: hardware‑isolatie die gebruikersgegevens cryptografisch onleesbaar houdt voor host‑besturingssystemen, hypervisors en Meta zelf tijdens transport, gebruik en rust; fail‑closed garanties, waarbij elke poging om de vertrouwelijke verwerkingsgarantie te wijzigen het systeem moet laten falen of openbaar maakbaar moet worden; publieke verifieerbaarheid via een publiek waargenomen transparantie‑ledger voor elke productie‑CVM‑image; niet‑targeteerbaarheid, zodat een aanvaller geen individuele sessie of opslag van één persoon kan isoleren zonder te proberen het hele systeem te compromitteren; en versleutelde opslag die alleen toegankelijk is met een door de gebruiker verstrekte sleutel. Het bedrijf beschrijft het systeem als multi‑regionaal en fouttolerant, met zijn dreigingsmodel gedocumenteerd in een Private Processing‑whitepaper.

Verzoekstroom, opslag en observeerbaarheid

Het systeem pakt eerst een metadata‑probleem aan, schrijven de ingenieurs: een operator die weet wie een verzoek verstuurt, zou het verkeer naar een gecompromitteerde machine kunnen leiden. Apparaten gebruiken anonieme referenties (blind‑ondertekende tokens die op willekeurige tijdstippen worden opgehaald) zodat Meta’s authenticatieservice een verzoek niet kan koppelen aan een account, en ze verbinden met Meta’s gateways via een OHTTP‑relay van derden die wordt beheerd door Fastly of Cloudflare, waarbij elk verzoek wordt afgehandeld door een TEE die is geselecteerd op basis van niet‑gebruiker‑identificeerbare heuristieken.

Voordat er enige context wordt verzonden, zegt de post, openen de brillen een remote‑attestatie‑ en TLS‑ (RA‑TLS) sessie met de TEE van de server, waarbij het hardware‑ondertekende certificaat en de binaire hashes worden gecontroleerd tegen het publieke transparantie‑ledger voordat een verbinding tot stand komt. Binnen de TEE draaien modellen in isolatie, en moeten TEE’s elkaar attesteren onder hetzelfde protocol voordat gegevens worden overgedragen.

Wanneer een functie persistent geheugen vereist, wordt de output versleuteld met door de gebruiker geleverde sleutels voordat deze de TEE verlaat, en slaat Meta’s infrastructuur de ciphertext op; het apparaat levert de sleutel wanneer het geheugen later wordt opgehaald. Meta zegt dat het opslag‑engine direct binnen de TEE heeft gebouwd omdat een externe versleutelde database nog steeds toegangspatronen blootlegt, zoals wanneer en hoe vaak gegevens worden gelezen en welke records samen worden benaderd, en omdat bewerkingen zoals semantisch vector‑zoeken over conventionele versleutelde opslag niet schalen naarmate de context van een gebruiker groeit.

Het ontwerp beperkt ook de eigen operators van Meta. Omdat ze cryptografisch buitengesloten zijn, stelt de post dat ingenieurs geen debuggers kunnen koppelen aan een draaiende TEE, geen geheugen‑stacks kunnen dumpen, geen model‑invoer‑ en -uitvoer kunnen loggen, of de payload achter een operationele fout kunnen inspecteren, waardoor de observeerbaarheidslaag vertrouwt op geaggregeerde gezondheids‑signalen: CPU‑gebruik, geheugen‑allocatie, netwerklatentie en geaggregeerde hardware‑storingspercentages.

Externe verificatie en de agentische roadmap

Meta zegt dat elke CVM-image die in productie wordt ingezet, wordt geregistreerd in het transparantieledger, dat het bedrijf beschrijft als het creëren van bewijs van manipulatie omdat het vervangen van een andere binary zichtbaar zou zijn in een record dat Meta niet controleert. Het ledger en de bijbehorende metingen zijn openbaar zichtbaar, en de corresponderende binaries zijn beschikbaar voor onderzoekers in Meta’s beveiligingsprogramma onder een overeenkomst. Het bedrijf zegt dat het samenwerkt met onafhankelijke beveiligingsfirma’s, waaronder NCC Group, om het architecturale ontwerp, de attestatielogica en het isolatiemodel te auditen, en dat het zijn Bug-Bounty-programma uitbreidt om expliciet Private Processing op AI-brillen te dekken, waarbij externe onderzoekers tools, CVM-binaries en documentatie krijgen.

Op het moment van publicatie van het bericht richtte Private Processing zich op afzonderlijke taken, zoals het samenvatten van een bericht. Meta beschrijft de infrastructuur als de basis voor meer agentgerichte, multimodale brilervaringen waarbij het apparaat acties uitvoert namens de gebruiker over verschillende sessies, en de ingenieurs verwijzen naar de juli-2025-brief van Mark Zuckerberg over persoonlijke superintelligentie, waarin werd voorspeld dat persoonlijke apparaten zoals brillen de apparaten zullen worden waarop mensen het meest vertrouwen voor computergebruik.

Separaat, in een 23 september 2026 Connect newsroom-bericht, zei Meta dat het Muse, zijn persoonlijke AI-agent, naar zijn AI-brillen brengt. Meta kondigde ook Ray-Ban Meta Gen 3 aan, verkrijgbaar vanaf $449 met een batterijduur van maximaal negen uur, een zes-microfoonarray en een 12-megapixelcamera met 3K Ultra HD-video, en zei dat het tegen het einde van het jaar meer dan 100 brilopties zal aanbieden via Ray-Ban, Oakley en Meta Glasses. Meta meldde dat zijn eerste uitsluitend-audio-model, Ray-Ban Meta Audio, 43 gram weegt en een batterijduur van maximaal 12 uur biedt; pre-orders zijn geopend vanaf $349, en de brillen worden verzonden op 13 oktober 2026.