Google traz memória persistente no lado do servidor para Private AI Compute

A Google trará memória privada e persistente no lado do servidor para o Private AI Compute, sua plataforma de processamento de IA na nuvem, conforme anunciado pela equipe do Google Private AI Compute em um post do blog do Google DeepMind publicado em 23 de setembro de 2026, lançando um brief técnico atualizado, um registro público de seu software de servidor e resumos de auditorias independentes junto ao anúncio.

Um modelo de cofre seguro com chaves mantidas no dispositivo

A equipe afirmou que a nova camada de memória persistente foi projetada para funcionar como um cofre digital seguro na nuvem. Nesse modelo, as informações necessárias para auxiliar um usuário são seladas em armazenamento dedicado e criptografado, enquanto as chaves criptográficas necessárias para desbloqueá‑las são mantidas exclusivamente nos dispositivos pessoais do usuário — um arranjo que, segundo a Google, torna os dados inacessíveis a qualquer outra pessoa, inclusive à própria Google.

Quando um modelo necessita de informações armazenadas para atender a uma solicitação, um canal autenticado e criptografado de ponta a ponta conecta o dispositivo a um ambiente protegido e isolado na nuvem. Esse espaço, chamado de enclave seguro, descriptografa temporariamente os dados em memória isolada, salva qualquer novo contexto e os recriptografa imediatamente. A Google descreve o design como a combinação de enclaves seguros reforçados por hardware, canais criptografados e bancos de dados por usuário protegidos por chaves de criptografia derivadas dos dispositivos.

O anúncio apresenta a capacidade como resposta a um dilema antigo: proporcionar a um assistente continuidade de longo prazo entre dispositivos, mantendo os rigorosos padrões de privacidade normalmente restritos ao processamento local. Como exemplos da continuidade pretendida, a equipe descreve a exibição de instruções de montagem em um laptop que foram previamente visualizadas através de óculos inteligentes, ou a retomada de uma conversa complexa entre dispositivos móveis e a web.

De uma plataforma sem estado para memória persistente

A Google introduziu Private AI Compute em 11 de novembro de 2025, em um post de Jay Yagnik, vice‑presidente de inovação e pesquisa em IA, descrevendo-o como uma plataforma que combina seus modelos Gemini na nuvem com as garantias de segurança e privacidade do processamento local. A plataforma funciona nas Unidades de Processamento Tensor personalizadas da Google, protegidas pelos Enclaves de Inteligência Titanium. No lançamento, a Google afirmou que o Private AI Compute tornaria o Magic Cue mais útil nos telefones Pixel 10 e permitiria que o aplicativo Pixel Recorder resumisse transcrições em uma gama mais ampla de idiomas.

Até esta atualização, a tecnologia era estritamente sem estado, apagando todo o contexto no instante em que uma tarefa terminava. A Google afirma que soluções alternativas, como fazer a IA salvar listas de fatos e preferências pessoais, não eram suficientes para suportar as experiências contínuas que se espera de uma IA pessoal.

Arquitetura da memória e ciclo de vida da solicitação

O brief técnico atualizado do Private AI Compute, das equipes de Platforms and Devices, DeepMind, Core e Cloud da Google, descreve o recurso como uma extensão com estado da plataforma: uma memória persistente, por usuário, que reside na nuvem enquanto permanece ilegível para a Google, operando inteiramente dentro do ambiente de execução protegido da plataforma.

Em seu núcleo está o Oak Server de memória, um banco de dados persistente por usuário que funciona dentro de um ambiente de execução confiável de hardware. Os registros são criptografados com chaves por usuário que, segundo o brief, nunca são visíveis fora da base de computação confiável do sistema ou para a infraestrutura da Google, e um orquestrador media entre o modelo de IA e o servidor de memória para que o texto em claro nunca saia do enclave. O aplicativo de memória é escrito em Rust e executa no runtime Oak Containers, e tanto o servidor quanto o runtime são de código aberto. Compilações reproduzíveis vinculam o código-fonte publicado aos binários implantados em produção, com os resumos resultantes endossados publicamente em um registro apenas de acréscimos e atestados pelo enclave antes que qualquer chave seja liberada.

Para uma solicitação que requer contexto histórico, o ciclo de vida começa com o cliente estabelecendo uma sessão criptografada via Noise Protocol; a solicitação então chega a um enclave de orquestração dentro de uma máquina virtual confidencial AMD SEV‑SNP. O orquestrador abre um canal ALTS mutuamente atestado para o servidor de memória e, após a verificação de hardware da medição do enclave, as chaves de descriptografia do usuário são liberadas para o mecanismo de banco de dados e os registros relevantes são descriptografados estritamente na memória volátil do enclave. O contexto recuperado é mesclado ao prompt ativo e avaliado inteiramente dentro da plataforma TPU reforçada. Se a sessão gerar novas memórias, fatos ou preferências atualizadas, eles são recriptografados sob a chave do usuário e gravados em armazenamento persistente, e todo o contexto volátil do prompt, tokens e ativações intermediárias são apagados ao entregar a resposta.

A liberação de chaves para o servidor de memória está condicionada à atestação. De acordo com o brief, um enclave que não possa apresentar evidência de atestação válida que corresponda a um binário de memória endossado (incluindo uma compilação modificada ou não autorizada) não pode obter as chaves e, portanto, não pode ler a memória de um usuário.

Modelo de ameaça e verificação externa

O resumo reconhece que a retenção de dados altera a postura de segurança da plataforma. Um armazenamento persistente deve resolver um identificador estável por usuário para cada solicitação, de modo que o sistema com estado não reivindique não‑alvo em nível de rede, propriedade destinada a impedir que qualquer consulta única seja vinculada a um usuário no caminho de inferência sem estado. O Google afirma que direcionar a memória de um usuário específico produz apenas texto cifrado opaco, porque as chaves necessárias para lê‑la estão disponíveis apenas dentro de um enclave atestado.

Os objetivos de segurança declarados para o armazenamento persistente incluem a ausência de caminho administrativo para dados de usuário em texto plano, mesmo em cenários de emergência de quebra‑vidro, contenção de uma instância comprometida por meio de máquinas virtuais confidenciais e políticas de saída padrão‑negação que cobrem monitoramento, registro e despejos de memória.

O Google afirma que auditores externos validaram o design do sistema tanto para o lançamento inicial quanto para a atualização da memória no lado do servidor, e publicou resumos dos relatórios de auditoria de 2025 e 2026. Dispositivos que executam Private AI Compute poderão verificar se o software é autêntico e não alterado em relação ao registro público antes de enviar quaisquer dados pessoais, segundo a empresa.

O trabalho foi co‑desenvolvido pela Google DeepMind com as equipes Platforms and Devices, Core e Cloud, com Four Flynn, Jay Yagnik e David Kleidermacher reconhecidos como patrocinadores executivos.

O resumo encerra com os próximos passos planejados: verificação de atestação do lado do cliente que permitiria que dispositivos dos usuários validassem independentemente as evidências do servidor antes de transmitir dados sensíveis, um registro de transparência apenas de acréscimo observado e co‑assinado por terceiros independentes, cobertura mais ampla de builds reproduzíveis em componentes adicionais do sistema e auditorias recorrentes de terceiros.