Meta rozszerza prywatne przetwarzanie (confidential computing) na okulary AI

Meta wprowadza prywatne przetwarzanie, swoją infrastrukturę poufnego przetwarzania, do swoich okularów AI, o czym firma szczegółowo pisała w post Engineering at Meta opublikowanym 24 września 2026 r. Meta twierdzi, że projekt pozwala modelom AI w chmurze realizować żądania okularów, nie umożliwiając Meta dostępu do danych użytkowników.

W poście inżynierowie Meta, Pritam Shah i Oskar Linde, piszą, że wiele poleceń, które ludzie obecnie wydają swoim okularom, takich jak wykonywanie połączenia czy odbieranie wiadomości tekstowych bez użycia rąk, odbywa się w całości na urządzeniu. Bardziej zaawansowane funkcje wymagałyby modeli AI zbyt dużych, aby mogły działać na samych okularach, a asystent przydatny w codziennym życiu musi zachowywać kontekst przez dni lub tygodnie i działać proaktywnie w tle. Według inżynierów te wymagania oznaczają, że praca musi odbywać się w chmurze.

Meta po raz pierwszy wprowadziło prywatne przetwarzanie w 2025 roku dla WhatsApp i aplikacji Meta AI, umożliwiając prywatne czaty z Meta AI bez podglądu danych przez Meta lub WhatsApp, a inżynierowie twierdzą, że firma wyciągnęła wnioski z tego podejścia przy rozszerzaniu go na okulary. Meta podkreśla, że wersja na okulary została zaprojektowana do odciążania intensywnych zadań, takich jak transkrypcja strumieniowa, wyszukiwanie kontekstowe i długoterminowe przypominanie.

Projekt poufnego przetwarzania

Tradycyjne architektury chmurowe szyfrują dane w spoczynku i w tranzycie, ale muszą je odszyfrować w pamięci hosta podczas przetwarzania, co naraża je na dostęp ze strony systemu operacyjnego hosta, hipernadzorcy i operatora infrastruktury, wyjaśnia post. Poufne przetwarzanie to branżowy wysiłek mający na celu zamknięcie tej luki w użyciu, a jego podstawowy element sprzętowy to Zaufane Środowisko Wykonawcze (Trusted Execution Environment, TEE): niektóre procesory CPU i GPU szyfrują pamięć poufnej maszyny wirtualnej (CVM) przy użyciu klucza przechowywanego w zabezpieczeniach na chipie i nigdy nie udostępniają go hostowi, hipernadzorcy ani operatorom maszyny.

Cytując definicję Confidential Computing Consortium, post stwierdza, że TEE fizycznie zapewnia poufność danych, integralność danych oraz integralność kodu. Przed nawiązaniem połączenia urządzenie klienckie żąda raportu zdalnej atestacji podpisanego kluczem, który istnieje wyłącznie wewnątrz chipu, weryfikuje, czy podpis łączy się z kluczem głównym publikowanym przez dostawcę chipu, oraz sprawdza pomiar oprogramowania względem jedynie dopisywalnego rejestru obserwowanego przez niezależną trzecią stronę; jeśli którekolwiek z tych sprawdzeń się nie powiedzie, urządzenie odrzuca połączenie i nie wysyła żadnych danych.

Meta twierdzi, że opracowało implementację okularów wokół pięciu wymagań: izolacji sprzętowej, która utrzymuje dane użytkownika kryptograficznie nieczytelne dla systemów operacyjnych hosta, hipernadzorców i samego Meta w tranzycie, w użyciu i w spoczynku; gwarancji fail-closed, według których każda próba modyfikacji gwarancji poufnego przetwarzania musi spowodować zamknięcie systemu lub stać się publicznie wykrywalna; publicznej weryfikowalności poprzez publicznie obserwowany rejestr przejrzystości dla każdego obrazu produkcyjnego CVM; braku możliwości ukierunkowania, tak aby atakujący nie mógł wybrać sesji lub pamięci jednego użytkownika bez próby kompromitacji całego systemu; oraz zaszyfrowanej pamięci dostępnej wyłącznie przy użyciu klucza dostarczonego przez użytkownika. Firma opisuje system jako wieloregionalny i odporny na awarie, a jego model zagrożeń jest udokumentowany w białej księdze Private Processing.

Przepływ żądań, przechowywanie i obserwowalność

System najpierw rozwiązuje problem metadanych, piszą inżynierowie: operator, który wie, kto wysyła żądanie, mógłby skierować ruch do przejętego urządzenia. Urządzenia używają anonimowych poświadczeń (tokenów podpisanych w sposób ślepy, pobieranych według losowych harmonogramów), dzięki czemu usługa uwierzytelniania Meta nie może powiązać żądania z kontem, a łączą się z bramkami Meta poprzez zewnętrzny przekaźnik OHTTP obsługiwany przez Fastly lub Cloudflare, przy czym każde żądanie obsługiwane jest przez TEE wybrane na podstawie heurystyk nieidentyfikujących użytkownika.

Zanim wyślą jakikolwiek kontekst, jak podaje post, okulary otwierają sesję zdalnej atestacji i TLS (RA‑TLS) z TEE serwera, weryfikując jego certyfikat podpisany sprzętowo oraz hashe binarne względem publicznego rejestru przejrzystości przed nawiązaniem połączenia. Wewnątrz TEE modele działają w izolacji, a TEE muszą wzajemnie się atestować w ramach tego samego protokołu przed przekazaniem danych.

Gdy funkcja wymaga pamięci trwałej, wyjście jest szyfrowane kluczami dostarczonymi przez użytkownika przed opuszczeniem TEE, a infrastruktura Meta przechowuje szyfrogram; urządzenie dostarcza klucz przy późniejszym odczycie pamięci. Meta twierdzi, że zbudowało silnik przechowywania bezpośrednio wewnątrz TEE, ponieważ zewnętrzna zaszyfrowana baza danych nadal ujawnia wzorce dostępu, takie jak moment i częstotliwość odczytu danych oraz które rekordy są odczytywane razem, a także dlatego, że operacje takie jak wyszukiwanie wektorów semantycznych w tradycyjnym zaszyfrowanym przechowywaniu nie skalują się w miarę rosnącego kontekstu użytkownika.

Projekt również ogranicza własnych operatorów Meta. Ponieważ są kryptograficznie wykluczeni, jak podaje post, inżynierowie nie mogą podłączać debugerów do działającego TEE, zrzucać stosów pamięci, rejestrować wejść i wyjść modeli ani analizować ładunku za awarią operacyjną, dlatego warstwa obserwowalności opiera się na zbiorczych sygnałach zdrowia: wykorzystaniu CPU, alokacji pamięci, opóźnieniach sieciowych oraz zbiorczych wskaźnikach awarii sprzętu.

Zewnętrzna weryfikacja i roadmapa agentowa

Meta twierdzi, że każdy obraz CVM wdrożony w produkcji jest rejestrowany w rejestrze przejrzystości, który firma opisuje jako zapewniający dowód niezmienności, ponieważ podmiana innego pliku binarnego byłaby widoczna w zapisie, którego Meta nie kontroluje. Rejestr i jego pomiary są publicznie dostępne, a odpowiadające im pliki binarne są dostępne dla badaczy w programie bezpieczeństwa Meta na podstawie umowy. Firma podaje, że współpracuje z niezależnymi firmami bezpieczeństwa, w tym z NCC Group, aby audytować projekt architektury, logikę potwierdzania i model izolacji, oraz rozszerza swój program Bug Bounty, aby wyraźnie obejmował Private Processing w okularach AI, udostępniając zewnętrznym badaczom narzędzia, pliki binarne CVM i dokumentację.

Na dzień publikacji tego posta, Private Processing koncentrowało się na dyskretnych zadaniach, takich jak podsumowywanie wiadomości. Meta opisuje tę infrastrukturę jako fundament dla bardziej agentowych, multimodalnych doświadczeń z okularami, w których urządzenie podejmuje działania w imieniu użytkownika w różnych sesjach, a inżynierowie odwołują się do listu Marka Zuckerberga z lipca 2025 r. o osobistej superinteligencji, w którym przewidziano, że osobiste urządzenia, takie jak okulary, staną się najważniejszymi urządzeniami, na których ludzie będą polegać w zakresie obliczeń.

Oddzielnie, w 23 września 2026 post w newsroomie Connect, Meta oświadczyła, że wprowadza Muse, swojego osobistego agenta AI, do swoich okularów AI. Meta również ogłosiła Ray‑Ban Meta Gen 3, dostępną od $449 z maksymalnie dziewięciogodzinnym czasem pracy na baterii, sześcioma mikrofonami oraz aparatem 12‑megapikselowym z wideo 3K Ultra HD, i podała, że do końca roku zaoferuje ponad 100 opcji okularów w ramach Ray‑Ban, Oakley i Meta Glasses. Meta poinformowała, że jej pierwszy model wyłącznie audio, Ray‑Ban Meta Audio, waży 43 g i zapewnia do 12 godzin pracy na baterii; przedsprzedaż jest otwarta od $349, a okulary zostaną wysłane 13 października 2026.