Google introduserer vedvarende server‑side‑minne til Private AI Compute

Google vil innføre privat, vedvarende server‑side‑minne i Private AI Compute, deres sky‑AI‑behandlingsplattform, kunngjorde Google Private AI Compute‑teamet i et Google DeepMind blogginnlegg publisert 23. september 2026, og lanserte et oppdatert teknisk sammendrag, en offentlig oversikt over serverprogramvaren, samt sammendrag av uavhengige revisjoner sammen med kunngjøringen.

En sikker hvelvmodell med nøkler lagret på enheten

Teamet sa at det nye vedvarende minnelaget er designet for å fungere som et sikkert digitalt hvelv i skyen. I denne modellen er informasjon som trengs for å bistå en bruker låst inn i dedikert, kryptert lagring, mens de kryptografiske nøklene som kreves for å låse den opp, holdes eksklusivt på brukerens personlige enheter – en ordning Google hevder gjør dataene utilgjengelige for andre, inkludert Google selv.

Når en modell trenger lagret informasjon for å behandle en forespørsel, kobler en autentisert, ende‑til‑ende‑kryptert kanal enheten til et beskyttet, isolert miljø i skyen. Dette området, kalt en sikker innkapsling, dekrypterer midlertidig data i isolert minne, lagrer ny kontekst, og krypterer den umiddelbart på nytt. Google beskriver designet som en kombinasjon av maskinvare‑tvangssikrede innkapslinger, krypterte kanaler og per‑bruker‑databaser beskyttet av enhets‑avledede krypteringsnøkler.

Kunngjøringen presenterer funksjonen som et svar på et langvarig dilemma: å gi en assistent langsiktig kontinuitet på tvers av enheter samtidig som de strenge personvernstandardene som vanligvis er begrenset til behandling på enheten, opprettholdes. Som eksempler på den tiltenkte kontinuiteten beskriver teamet å hente opp monteringsinstruksjoner på en bærbar PC som tidligere ble vist via smarte briller, eller å gjenoppta en kompleks samtale mellom mobil og nett.

Fra en tilstandsløs plattform til vedvarende minne

Google presenterte Private AI Compute den 11. november 2025, i et innlegg av Jay Yagnik, visepresident for AI‑innovasjon og forskning, som beskriver det som en plattform som kombinerer deres Gemini‑sky‑modeller med sikkerhets‑ og personverngarantier fra behandling på enheten. Plattformen kjører på Googles egne Tensor Processing Units sikret av Titanium Intelligence‑innkapslinger. Ved lanseringen sa Google at Private AI Compute ville gjøre Magic Cue mer nyttig på Pixel 10‑telefoner og la Pixel Recorder‑appen oppsummere transkripsjoner på et bredere språkutvalg.

Frem til denne oppdateringen var teknologien strengt tilstandsløs, og slettet all kontekst så snart en oppgave var fullført. Google sier at omveier, som å la AI lagre lister over personlige fakta og preferanser, ikke var tilstrekkelige for å støtte de kontinuerlige opplevelsene den forventer av personlig AI.

Minnearkitektur og forespørselslivssyklus

Den oppdaterte Private AI Compute Technical Brief, fra Googles Platforms and Devices, DeepMind, Core og Cloud‑teamene, beskriver funksjonen som en tilstandsbevarende utvidelse av plattformen: et vedvarende, per‑bruker‑minne som lever i skyen samtidig som det forblir uleselig for Google, og opererer fullt ut innenfor plattformens beskyttede kjøremiljø.

I kjernen er minnet Oak Server, en tilstandsbevarende per‑bruker‑database som kjører inne i et maskinvare‑tillitsfullt kjøremiljø. Poster er kryptert med per‑bruker‑nøkler som ifølge sammendraget aldri er synlige utenfor systemets trusted computing base eller for Googles infrastruktur, og en orkestrator formidler mellom AI‑modellen og minneserveren slik at klartekst aldri forlater innkapslingen. Minneapplikasjonen er skrevet i Rust og kjører i Oak Containers‑runtime, og både serveren og runtime er åpen kildekode. Reproduserbare bygg knytter den publiserte kildekoden til binærene som er distribuert i produksjon, med de resulterende digestene offentlig godkjent i en kun‑legge‑journal og attestert av innkapslingen før noen nøkkel slippes.

For en forespørsel som krever historisk kontekst, starter livssyklusen med at klienten etablerer en kryptert økt via Noise‑protokollen; forespørselen når deretter en orkestrerings‑innkapsling inne i en AMD SEV‑SNP konfidensiell virtuell maskin. Orkestratoren åpner en gjensidig attestert ALTS‑kanal til minneserveren, og etter maskinvareverifisering av innkapslingens måling, blir brukerens dekrypteringsnøkler frigitt til database‑motoren og de relevante postene dekryptert utelukkende i volatil innkapslings‑minne. Den hentede konteksten slås sammen med den aktive prompten og evalueres fullt ut innenfor den forsterkede TPU‑plattformen. Hvis økten genererer nye minner, fakta eller oppdaterte preferanser, blir de kryptert på nytt under brukerens nøkkel og skrevet til vedvarende lagring, og alt volatilt prompt‑kontekst, tokens og mellomliggende aktiveringer slettes ved svarlevering.

Nøkkelutgivelse til minneserveren er avhengig av attestasjon. Ifølge sammendraget kan en innkapsling som ikke kan fremlegge gyldig attestasjonsbevis som samsvarer med en godkjent minne‑binær (inkludert en modifisert eller uautorisert bygg) ikke få tak i nøklene og dermed ikke lese en brukers minne.

Trusselmodell og ekstern verifisering

Kortet erkjenner at lagring av data endrer plattformens sikkerhetsposisjon. En vedvarende lagring må løse en stabil per‑bruker‑identifikator for hver forespørsel, slik at det tilstandfulle systemet ikke påstår nettverksnivåets ikke‑målrettbarhet, egenskapen som skal hindre at noen enkeltspørring kan knyttes til en bruker på den tilstandsløse inferensveien. Google sier at målretting av en spesifikk brukers minne kun gir opak kryptert tekst, fordi nøklene som trengs for å lese den kun er tilgjengelige innenfor en attestert enclave.

De angitte sikkerhetsmålene for den vedvarende lagringen inkluderer ingen administrativ vei til klartekst‑brukerdata selv i nødsituasjoner med brudd‑glass‑scenarioer, innkapsling av en kompromittert forekomst via konfidensielle virtuelle maskiner, og standard‑nekt‑utgående‑politikker som dekker overvåking, logging og core‑dump.

Google sier at eksterne revisorer bekreftet systemdesignen både for den første utgivelsen og oppdateringen av server‑side‑minnet, og at de har publisert sammendrag av revisjonsrapportene for 2025 og 2026. Enheter som kjører Private AI Compute vil kunne verifisere at programvaren er autentisk og uendret i forhold til den offentlige registreringen før de sender personlige data, ifølge selskapet.

Arbeidet ble samskapt av Google DeepMind sammen med teamene Platforms and Devices, Core og Cloud, med Four Flynn, Jay Yagnik og David Kleidermacher kreditert for den ledende sponsoreringen.

Kortet avslutter med planlagte neste steg: klient‑side attestasjonsverifisering som vil la brukerens enheter uavhengig validere serverbevis før de overfører sensitiv data, en kun‑til‑legge‑gjennomsiktighetslogg som observeres og medsigneres av uavhengige tredjeparter, bredere dekning av reproduserbare bygg over flere systemkomponenter, og gjentakende tredjepartsrevisjoner.