Google внедряет постоянную серверную память в Private AI Compute

Google представит частную, постоянную серверную память для Private AI Compute, своей облачной платформы обработки ИИ, команда Google Private AI Compute объявила в сообщении в блоге Google DeepMind, опубликованном 23 сентября 2026 года, выпустив обновлённый технический бриф, публичный реестр своего серверного программного обеспечения и резюме независимых аудитов вместе с объявлением.

Безопасная модель хранилища с ключами, хранящимися на устройстве

Команда заявила, что новый слой постоянной памяти разработан так, чтобы работать как безопасное цифровое хранилище в облаке. По этой модели информация, необходимая для помощи пользователю, запечатывается в отдельном зашифрованном хранилище, а криптографические ключи, требуемые для её разблокировки, хранятся исключительно на личных устройствах пользователя — это, по словам Google, делает данные недоступными для кого бы то ни было, включая самого Google.

Когда модели требуется сохранённая информация для обработки запроса, аутентифицированный сквозной зашифрованный канал соединяет устройство с защищённой изолированной средой в облаке. Это пространство, называемое защищённым анклавом, временно расшифровывает данные в изолированной памяти, сохраняет любой новый контекст и сразу же повторно шифрует их. Google описывает дизайн как сочетание аппаратно‑обеспеченных защищённых анклавов, зашифрованных каналов и пользовательских баз данных, защищённых ключами шифрования, полученными с устройства.

Объявление позиционирует эту возможность как решение давней дилеммы: предоставить помощнику долговременную непрерывность работы на разных устройствах, соблюдая строгие стандарты конфиденциальности, обычно ограниченные обработкой на устройстве. В качестве примеров предполагаемой непрерывности команда приводит вызов инструкций по сборке на ноутбуке, которые ранее просматривались через умные очки, или возобновление сложного диалога между мобильным и веб‑клиентом.

От безсостояния платформы к постоянной памяти

Google ввёл Private AI Compute 11 ноября 2025 года, в посте Джей Ягника, вице‑президента по инновациям и исследованиям в области ИИ, описав его как платформу, объединяющую облачные модели Gemini с гарантиями безопасности и конфиденциальности, характерными для обработки на устройстве. Платформа работает на пользовательских Tensor Processing Units от Google, защищённых Titanium Intelligence Enclaves. При запуске Google заявил, что Private AI Compute сделает Magic Cue более полезным на телефонах Pixel 10 и позволит приложению Pixel Recorder суммировать транскрипции на более широком спектре языков.

До этого обновления технология была полностью безсостоянием, стирая весь контекст в момент завершения задачи. Google утверждает, что обходные решения, такие как сохранение ИИ списков личных фактов и предпочтений, были недостаточны для обеспечения непрерывных взаимодействий, которые ожидаются от персонального ИИ.

Архитектура памяти и жизненный цикл запроса

В обновлённом техническом брифе Private AI Compute, подготовленном командами Google Platforms and Devices, DeepMind, Core и Cloud, описывается эта функция как состояние‑расширение платформы: постоянная, пользовательская память, находящаяся в облаке, но остающаяся недоступной для Google, полностью функционирующая внутри защищённой среды выполнения платформы.

В её основе находится память Oak Server — состояние‑ориентированная пользовательская база данных, работающая внутри аппаратного доверенного окружения выполнения. Записи зашифрованы пользовательскими ключами, которые, согласно брифу, никогда не видны за пределами доверенной вычислительной базы системы и инфраструктуры Google, а оркестратор посредничает между моделью ИИ и сервером памяти, гарантируя, что открытый текст никогда не покидает анклав. Приложение памяти написано на Rust и работает в среде выполнения Oak Containers, при этом и сервер, и среда выполнения являются открытым исходным кодом. Воспроизводимые сборки связывают опубликованный исходный код с бинарными файлами, развернутыми в продакшн, а полученные дайджесты публично подтверждаются в журнале только для добавления и аттестуются анклавом перед выпуском любого ключа.

Для запроса, требующего исторического контекста, жизненный цикл начинается с того, что клиент устанавливает зашифрованную сессию через протокол Noise; запрос затем попадает в оркестрационный анклав внутри конфиденциальной виртуальной машины AMD SEV‑SNP. Оркестратор открывает взаимно аттестованный канал ALTS к серверу памяти, и после аппаратной проверки измерения анклава ключи расшифровки пользователя передаются движку базы данных, а соответствующие записи расшифровываются строго в оперативной памяти анклава. Полученный контекст объединяется с активным запросом и полностью обрабатывается в укреплённой платформе TPU. Если сессия генерирует новые воспоминания, факты или обновлённые предпочтения, они повторно шифруются пользовательским ключом и записываются в постоянное хранилище, а весь временный контекст подсказки, токены и промежуточные активации стираются после доставки ответа.

Выдача ключей серверу памяти контролируется аттестацией. Согласно брифу, анклав, не способный предоставить действительные доказательства аттестации, соответствующие одобренному бинарному файлу памяти (включая модифицированную или неавторизованную сборку), не может получить ключи и, следовательно, не может читать память пользователя.

Модель угроз и внешняя проверка

В документе признаётся, что сохранение данных меняет уровень безопасности платформы. Постоянное хранилище должно определять стабильный идентификатор пользователя для каждого запроса, чтобы система с состоянием не заявляла о сетевой нецелевой доступности, свойстве, предназначенном для того, чтобы любой отдельный запрос нельзя было связать с пользователем на безсостоящем пути вывода. Google заявляет, что обращение к памяти конкретного пользователя приводит лишь к непрозрачному шифртексту, поскольку ключи, необходимые для его расшифровки, доступны только внутри проверенного анклава.

Установленные цели безопасности для постоянного хранилища включают отсутствие административного пути к открытым пользовательским данным даже в аварийных сценариях «break‑glass», изоляцию скомпрометированного экземпляра с помощью конфиденциальных виртуальных машин и политики исходящего трафика по умолчанию «deny», охватывающие мониторинг, журналирование и дампы памяти.

Google сообщает, что внешние аудиторы подтвердили соответствие дизайна системы как для первоначального выпуска, так и для обновления серверной памяти, и компания опубликовала резюме аудиторских отчётов за 2025 и 2026 годы. Устройства, работающие на Private AI Compute, смогут проверять подлинность и неизменность программного обеспечения по публичному реестру перед передачей любых персональных данных, согласно заявлению компании.

Работа была совместно разработана Google DeepMind совместно с командами Platforms and Devices, Core и Cloud, при участии Four Flynn, Jay Yagnik и David Kleidermacher, которым признана роль исполнительных спонсоров.

В заключении документа перечислены запланированные дальнейшие шаги: проверка аттестации на стороне клиента, позволяющая устройствам пользователей независимо подтверждать доказательства сервера перед передачей конфиденциальных данных; журнал прозрачности только для добавления, наблюдаемый и совместно подписываемый независимыми третьими сторонами; расширенное покрытие воспроизводимых сборок для дополнительных компонентов системы; а также периодические аудиты со стороны третьих лиц.