Google внедряет постоянную серверную память в Private AI Compute

Google представит частную, постоянную серверную память для Private AI Compute, своей облачной платформы обработки ИИ, команда Google Private AI Compute объявила в сообщении в блоге Google DeepMind, опубликованном 23 сентября 2026 года, выпустив обновлённый технический бриф, публичный реестр своего серверного программного обеспечения и резюме независимых аудитов вместе с объявлением.

Безопасная модель хранилища с ключами, хранящимися на устройстве

Команда заявила, что новый слой постоянной памяти разработан так, чтобы работать как безопасное цифровое хранилище в облаке. По этой модели информация, необходимая для помощи пользователю, запечатывается в отдельном зашифрованном хранилище, а криптографические ключи, требуемые для её разблокировки, хранятся исключительно на личных устройствах пользователя — это, по словам Google, делает данные недоступными для кого бы то ни было другого, включая самого Google.

Когда модели требуется сохранённая информация для обработки запроса, аутентифицированный сквозной зашифрованный канал соединяет устройство с защищённой изолированной средой в облаке. Это пространство, называемое защищённым анклавом, временно расшифровывает данные в изолированной памяти, сохраняет любой новый контекст и сразу же повторно шифрует их. Google описывает дизайн как сочетание аппаратно‑обеспеченных защищённых анклавов, зашифрованных каналов и пользовательских баз данных, защищённых ключами шифрования, полученными с устройства.

Объявление позиционирует эту возможность как решение давней дилеммы: предоставить помощнику долговременную непрерывность работы на разных устройствах, соблюдая строгие стандарты конфиденциальности, обычно ограниченные обработкой на устройстве. В качестве примеров предполагаемой непрерывности команда приводит вызов инструкций по сборке на ноутбуке, которые ранее просматривались через умные очки, или возобновление сложного диалога между мобильным и веб‑клиентом.

От платформы без сохранения состояния к постоянной памяти

Google ввёл Private AI Compute 11 ноября 2025 года, в посте Джей Ягника, вице‑президента по инновациям и исследованиям в области ИИ, описав его как платформу, объединяющую облачные модели Gemini с гарантиями безопасности и конфиденциальности, характерными для обработки на устройстве. Платформа работает на специально разработанных Google Tensor Processing Units, защищённых Titanium Intelligence Enclaves. При запуске Google заявил, что Private AI Compute сделает Magic Cue более полезным на телефонах Pixel 10 и позволит приложению Pixel Recorder суммировать транскрипции на более широком спектре языков.

До этого обновления технология совершенно не сохраняла состояние, стирая весь контекст в момент завершения задачи. Google утверждает, что обходные решения, такие как сохранение ИИ списков личных фактов и предпочтений, были недостаточны для обеспечения непрерывных взаимодействий, которые ожидаются от персонального ИИ.

Архитектура памяти и жизненный цикл запроса

В обновлённом техническом брифе Private AI Compute, подготовленном командами Google Platforms and Devices, DeepMind, Core и Cloud, описывается эта функция как расширение платформы с сохранением состояния: постоянная, пользовательская память, находящаяся в облаке, но остающаяся недоступной для Google, полностью функционирующая внутри защищённой среды выполнения платформы.

В её основе находится память Oak Server — пользовательская база данных с сохранением состояния, работающая внутри аппаратного доверенного окружения выполнения. Записи зашифрованы пользовательскими ключами, которые, согласно брифу, никогда не видны за пределами доверенной вычислительной базы системы и не видны инфраструктуре Google, а оркестратор посредничает между моделью ИИ и сервером памяти, гарантируя, что открытый текст никогда не покидает анклав. Приложение памяти написано на Rust и работает в среде выполнения Oak Containers, при этом исходный код и сервера, и среды выполнения открыт. Воспроизводимые сборки связывают опубликованный исходный код с бинарными файлами, развернутыми в продакшн, а полученные дайджесты публично подтверждаются в журнале только для добавления и аттестуются анклавом перед выпуском любого ключа.

Для запроса, требующего исторического контекста, жизненный цикл начинается с того, что клиент устанавливает зашифрованную сессию через протокол Noise; запрос затем попадает в оркестрационный анклав внутри конфиденциальной виртуальной машины AMD SEV‑SNP. Оркестратор открывает взаимно аттестованный канал ALTS к серверу памяти, и после аппаратной проверки измерения анклава ключи расшифровки пользователя передаются движку базы данных, а соответствующие записи расшифровываются строго в оперативной памяти анклава. Полученный контекст объединяется с активным запросом и полностью обрабатывается в укреплённой платформе TPU. Если сессия генерирует новые воспоминания, факты или обновлённые предпочтения, они повторно шифруются пользовательским ключом и записываются в постоянное хранилище, а весь временный контекст подсказки, токены и промежуточные активации стираются при передаче ответа.

Выдача ключей серверу памяти контролируется аттестацией. Согласно брифу, анклав, не способный предоставить действительные доказательства аттестации, соответствующие одобренному бинарному файлу памяти, — в том числе анклав, работающий с модифицированной или неавторизованной сборкой, — не может получить ключи и, следовательно, не может читать память пользователя.

Модель угроз и внешняя проверка

В документе признаётся, что сохранение данных меняет уровень безопасности платформы. Постоянное хранилище должно определять стабильный идентификатор пользователя для каждого запроса, поэтому система с сохранением состояния не заявляет о невозможности целенаправленно обращаться к конкретному пользователю на уровне сети — свойстве, предназначенном для того, чтобы любой отдельный запрос нельзя было связать с пользователем на пути выполнения модели без сохранения состояния. Google заявляет, что обращение к памяти конкретного пользователя приводит лишь к непрозрачному шифртексту, поскольку ключи, необходимые для его расшифровки, доступны только внутри проверенного анклава.

Установленные цели безопасности для постоянного хранилища включают отсутствие административного пути к открытым пользовательским данным даже в аварийных сценариях «break‑glass», изоляцию скомпрометированного экземпляра с помощью конфиденциальных виртуальных машин и политики исходящего трафика по умолчанию «deny», охватывающие мониторинг, журналирование и дампы памяти.

Google сообщает, что внешние аудиторы подтвердили соответствие дизайна системы как для первоначального выпуска, так и для обновления серверной памяти, и компания опубликовала резюме аудиторских отчётов за 2025 и 2026 годы. Устройства, работающие на Private AI Compute, смогут проверять подлинность и неизменность программного обеспечения по публичному реестру перед передачей любых персональных данных, согласно заявлению компании.

Разработка велась Google DeepMind совместно с командами Platforms and Devices, Core и Cloud, при участии Four Flynn, Jay Yagnik и David Kleidermacher, которым отведена роль исполнительных спонсоров.

В заключении документа перечислены запланированные дальнейшие шаги: проверка аттестации на стороне клиента, позволяющая устройствам пользователей независимо подтверждать доказательства сервера перед передачей конфиденциальных данных; журнал прозрачности только для добавления, наблюдаемый и совместно подписываемый независимыми третьими сторонами; расширенное покрытие воспроизводимых сборок для дополнительных компонентов системы; а также периодические аудиты со стороны третьих лиц.