Meta расширяет Private Processing Confidential Computing для AI-очков

Meta переносит Private Processing, свою инфраструктуру конфиденциальных вычислений, на свои AI-очки, о чём компания подробно рассказала в посте Engineering at Meta, опубликованном 24 сентября 2026 года. Meta заявляет, что дизайн позволяет облачным AI‑моделям обслуживать запросы очков, не получая доступа к пользовательским данным.

В посте инженеры Meta Притам Шах и Оскар Линде пишут, что многие команды, которые пользователи сейчас дают своим очкам, такие как совершение звонка или ответ на сообщение без рук, выполняются полностью на устройстве. Более продвинутые функции потребовали бы AI‑моделей, слишком больших для работы на самих очках, а помощник, полезный в повседневной жизни, должен сохранять контекст в течение дней или недель и работать проактивно в фоновом режиме. По словам инженеров, такие требования означают, что работа должна происходить в облаке.

Meta впервые представила Private Processing в 2025 году для WhatsApp и приложения Meta AI, позволяя вести приватные чаты с Meta AI без доступа к данным со стороны Meta или WhatsApp, и инженеры говорят, что компания извлекла уроки из этого подхода при расширении его на очки. Meta заявляет, что версия для очков создана для разгрузки интенсивных задач, таких как потоковая транскрипция, контекстный поиск и долговременное запоминание.

Дизайн конфиденциальных вычислений

Традиционные облачные архитектуры шифруют данные в состоянии покоя и при передаче, но вынуждены расшифровывать их в памяти хоста во время обработки, что делает их доступными для операционной системы хоста, гипервизора и оператора инфраструктуры, объясняет пост. Конфиденциальные вычисления — это отраслевое усилие по устранению этого пробела в использовании, а их аппаратный примитив — Trusted Execution Environment (TEE): некоторые процессоры и графические процессоры шифруют память конфиденциальной виртуальной машины (CVM) под ключом, хранящимся в встроенном аппаратном модуле безопасности, и никогда не передают его хосту, гипервизору или операторам машины.

Ссылаясь на определение Confidential Computing Consortium, пост сообщает, что TEE физически обеспечивает конфиденциальность данных, их целостность и целостность кода. Перед подключением клиентское устройство требует удалённый отчёт об аттестации, подписанный ключом, существующим только внутри чипа, проверяет, что подпись цепляется к корневому ключу, публикуемому поставщиком чипа, и сверяет измерение программного обеспечения с журналом только для добавления, наблюдаемым независимой третьей стороной; если любой из проверок не проходит, устройство отказывается подключаться и не передаёт данные.

Meta заявляет, что разработала реализацию для очков, опираясь на пять требований: аппаратная изоляция, делающая пользовательские данные криптографически нечитаемыми для операционных систем хоста, гипервизоров и самого Meta в процессе передачи, использования и хранения; гарантии «fail‑closed», при которых любая попытка изменить гарантии конфиденциальной обработки должна либо привести к закрытому отказу системы, либо стать публично обнаруживаемой; публичная проверяемость через публично наблюдаемый журнал прозрачности для каждого производственного образа CVM; отсутствие возможности целенаправленной атаки, так что злоумышленник не может выделить сессию или хранилище конкретного пользователя без попытки компрометировать всю систему; и зашифрованное хранилище, доступное только с пользовательским ключом. Компания описывает систему как многорегиональную и отказоустойчивую, с моделью угроз, задокументированной в whitepaper Private Processing.

Поток запросов, хранилище и наблюдаемость

Система сначала решает проблему метаданных, пишут инженеры: оператор, знающий, кто отправляет запрос, мог бы перенаправить трафик на скомпрометированный сервер. Устройства используют анонимные учётные данные (слепо‑подписанные токены, получаемые по случайному расписанию), поэтому служба аутентификации Meta не может связать запрос с учётной записью, и они подключаются к шлюзам Meta через сторонний OHTTP‑ретранслятор, управляемый Fastly или Cloudflare, при этом каждый запрос обслуживается TEE, выбранным по неконфиденциальным эвристикам.

Прежде чем отправлять любой контекст, пост сообщает, что очки открывают сессию удалённой аттестации и TLS (RA‑TLS) с TEE сервера, проверяя его аппаратно‑подписанный сертификат и хеши бинарных файлов против публичного журнала прозрачности до установления соединения. Внутри TEE модели работают в изоляции, и TEE должны аттестовать друг друга по тому же протоколу перед передачей данных.

Когда функция требует постоянную память, вывод шифруется пользовательскими ключами до выхода из TEE, а инфраструктура Meta сохраняет зашифрованные данные; устройство предоставляет ключ при последующем извлечении памяти. Meta заявляет, что построила движок хранилища непосредственно внутри TEE, поскольку внешняя зашифрованная база данных всё равно раскрывает шаблоны доступа, такие как время и частота чтения данных и какие записи читаются совместно, а операции, например семантический векторный поиск по обычному зашифрованному хранилищу, не масштабируются по мере роста контекста пользователя.

Дизайн также ограничивает собственных операторов Meta. Поскольку они криптографически исключены, пост сообщает, что инженеры не могут подключать отладчики к работающему TEE, выгружать стеки памяти, регистрировать входы и выходы модели или исследовать полезную нагрузку при операционной ошибке, поэтому слой наблюдаемости опирается на агрегированные сигналы о состоянии: загрузка ЦП, распределение памяти, сетевые задержки и совокупные показатели отказов оборудования.

Внешняя проверка и Agentic Roadmap

Meta заявляет, что каждый образ CVM, развернутый в продакшн, регистрируется в реестре прозрачности, который компания описывает как обеспечивающий доказательство неизменности, поскольку замена бинарного файла будет видна в записи, которой Meta не управляет. Реестр и его измерения публично доступны, а соответствующие бинарные файлы доступны исследователям в рамках программы безопасности Meta по соглашению. Компания сообщает, что сотрудничает с независимыми фирмами по безопасности, включая NCC Group, для аудита архитектурного дизайна, логики аттестации и модели изоляции, а также расширяет свою программу Bug Bounty, чтобы явно охватывать Private Processing на AI‑очках, предоставляя внешним исследователям инструменты, бинарные файлы CVM и документацию.

На момент публикации сообщения Private Processing был сосредоточен на отдельных задачах, таких как суммирование сообщения. Meta описывает эту инфраструктуру как основу для более агентных, мультимодальных опытов с очками, при которых устройство действует от имени пользователя в разных сеансах, и инженеры ссылаются на письмо Марка Цукерберга от июля 2025 года о персональном сверхинтеллекте, в котором предсказывалось, что персональные устройства, такие как очки, станут теми устройствами, на которые люди будут полагаться больше всего для вычислений.

Отдельно, в сообщении Connect newsroom от 23 сентября 2026 года, Meta сообщила, что внедряет Muse, своего персонального AI‑агента, в AI‑очки. Meta также анонсировала Ray‑Ban Meta Gen 3, доступную от $449 с до девяти часами работы от батареи, шести‑микрофонным массивом и 12‑мегапиксельной камерой с 3K Ultra HD‑видео, и заявила, что к концу года предложит более 100 вариантов очков от Ray‑Ban, Oakley и Meta Glasses. Meta сообщила, что её первая модель только для аудио, Ray‑Ban Meta Audio, весит 43 грамма и обеспечивает до 12 часов работы от батареи; предзаказы открыты от $349, а доставка очков запланирована на 13 октября 2026 года.