Meta utökar Private Processing Confidential Computing till AI-glasögon

Meta inför Private Processing, sin infrastruktur för konfidentiell beräkning, till sina AI-glasögon, företaget redogjorde för i ett Engineering at Meta inlägg publicerat 24 september 2026. Meta säger att designen gör det möjligt för molnbaserade AI-modeller att uppfylla glasögonens förfrågningar utan att Meta själva kan komma åt användardata.

I inlägget skriver Meta‑ingenjörerna Pritam Shah och Oskar Linde att många kommandon som människor för närvarande ger sina glasögon, såsom att ringa ett samtal eller svara på ett meddelande handsfree, utförs helt på enheten. Mer avancerade funktioner skulle kräva AI-modeller som är för stora för att köras på glasögonen själva, och en assistent som är användbar i vardagen måste behålla kontext över dagar eller veckor och arbeta proaktivt i bakgrunden. De kraven, säger ingenjörerna, innebär att arbetet måste ske i molnet.

Meta introducerade först Private Processing 2025 för WhatsApp och Meta AI‑appen, vilket möjliggör privata chattar med Meta AI utan att Meta eller WhatsApp ser datan, och ingenjörerna säger att företaget lärde sig av det tillvägagångssättet när de utökade det till glasögon. Meta säger att glasögonversionen är byggd för att avlasta intensiva arbetsbelastningar såsom strömmande transkribering, kontextuell sökning och långtidsminne.

Designen för konfidentiell beräkning

Traditionella molnarkitekturer krypterar data i vila och under överföring men måste dekryptera den i värdens minne under bearbetning, vilket exponerar den för värdens operativsystem, hypervisorn och infrastrukturoperatören, förklarar inlägget. Konfidentiell beräkning är den branschomfattande satsningen på att stänga detta gap under användning, och dess hårdvaruprimitiv är Trusted Execution Environment (TEE): vissa CPU:er och GPU:er krypterar minnet för en konfidentiell virtuell maskin (CVM) under en nyckel som hålls av säkerhetshårdvara på chipet och som aldrig släpps till värden, hypervisorn eller maskinens operatörer.

Med hänvisning till Confidential Computing Consortiums definition säger inlägget att en TEE fysiskt upprätthåller datakonfidentialitet, dataintegritet och kodintegritet. Innan anslutning kräver en klientenhet en fjärrattesteringsrapport som är signerad med en nyckel som endast finns i chipet, kontrollerar att signaturen spåras tillbaka till en rotnyckel som chipleverantören publicerar, och jämför mjukvarumätningen mot en endast‑tillagd ledger som bevittnas av en oberoende tredje part; om någon av kontrollerna misslyckas vägrar enheten att ansluta och skickar ingen data.

Meta säger att de konstruerade glasögonimplementationen kring fem krav: hårdvaruisolering som håller användardata kryptografiskt oläsliga för värdens operativsystem, hypervisorer och Meta själva under överföring, i bruk och i vila; fail‑closed‑garantier, där varje försök att ändra den konfidentiella bearbetningsgarantin antingen måste få systemet att misslyckas i stängt läge eller bli offentligt upptäckt; offentlig verifierbarhet genom en offentligt bevittnad transparensledger för varje produktions‑CVM‑image; icke‑målbarhet, så att en angripare inte kan rikta in sig på en enskild persons session eller lagring utan att försöka kompromettera hela systemet; samt krypterad lagring som endast är åtkomlig med en användargenererad nyckel. Företaget beskriver systemet som multiregionellt och feltolerant, med sin hotmodell dokumenterad i en Private Processing‑whitepaper.

Begärandeflöde, lagring och observerbarhet

Systemet löser först ett metadata‑problem, skriver ingenjörerna: en operatör som vet vem som skickar en begäran skulle kunna rikta trafiken till en komprometterad maskin. Enheter använder anonyma autentiseringsuppgifter (blind‑signerade token som hämtas enligt slumpmässiga scheman) så att Metas autentiseringstjänst inte kan koppla en begäran till ett konto, och de ansluter till Metas gateways via en tredjeparts‑OHTTP‑relay som drivs av Fastly eller Cloudflare, där varje begäran betjänas av en TEE som väljs på icke‑användaridentifierbara heuristiker.

Innan någon kontext skickas, säger inlägget, öppnar glasögonen en fjärrattesterings‑ och TLS‑session (RA‑TLS) med serverns TEE, och korskontrollerar dess hårdvarusignerade certifikat och binära hashvärden mot den offentliga transparensledgern innan någon anslutning upprättas. Inuti TEE:n körs modeller i isolering, och TEEr måste attestera till varandra under samma protokoll innan data överförs.

När en funktion kräver beständig minne krypteras utdata med användargenererade nycklar innan de lämnar TEE:n, och Metas infrastruktur lagrar chiffertexten; enheten levererar nyckeln när minnet senare hämtas. Meta säger att de byggde lagringsmotorn direkt i TEE:n eftersom en extern krypterad databas fortfarande avslöjar åtkomstmönster, såsom när och hur ofta data läses och vilka poster som nås tillsammans, och eftersom operationer som semantisk vektorsökning över konventionell krypterad lagring inte skalar när en användares kontext växer.

Designen begränsar också Metas egna operatörer. Eftersom de är kryptografiskt utestängda, säger inlägget, kan ingenjörer inte fästa debuggerar till en körande TEE, dumpa minnesstackar, logga modellens in‑ och utdata, eller inspektera nyttolasten bakom ett operativt fel, så observabilitetslagret förlitar sig på aggregerade hälsosignaler: CPU‑användning, minnesallokering, nätverkslatens och samlade hårdvarufelshastigheter.

Extern verifiering och den agentiska färdplanen

Meta säger att varje CVM‑avbildning som distribueras i produktion registreras i transparens‑ledgern, vilket företaget beskriver som att skapa bevis på manipulation eftersom byte av en annan binär fil skulle synas i en post som Meta inte kontrollerar. Ledgern och dess mätvärden är offentligt synliga, och de motsvarande binärerna är tillgängliga för forskare i Metas säkerhetsprogram under avtal. Företaget uppger att det samarbetar med oberoende säkerhetsföretag, inklusive NCC Group, för att granska den arkitektoniska designen, attestationslogiken och isoleringsmodellen, och att det utökar sitt Bug Bounty‑program för att uttryckligen omfatta Private Processing på AI‑glasögon, vilket ger externa forskare verktyg, CVM‑binärer och dokumentation.

Vid tidpunkten för inläggets publicering hade Private Processing fokuserat på enskilda uppgifter såsom att sammanfatta ett meddelande. Meta beskriver infrastrukturen som grunden för mer agentiska, multimodala glasögonupplevelser där enheten utför handlingar på användarens vägnar över sessioner, och ingenjörerna hänvisar till Mark Zuckerbergs brev från juli 2025 om personlig superintelligens, som förutspådde att personliga enheter som glasögon skulle bli de enheter som folk förlitar sig mest på för beräkningar.

Separat, i ett 23 september 2026 Connect newsroom post, meddelade Meta att de tar med Muse, deras personliga AI‑agent, till sina AI‑glasögon. Meta annonserade också Ray‑Ban Meta Gen 3, tillgänglig från $449 med upp till nio timmars batteritid, ett sex‑mikrofon‑arrangemang och en 12‑megapixelkamera med 3K Ultra HD‑video, och sade att de kommer att erbjuda mer än 100 glasögonalternativ från Ray‑Ban, Oakley och Meta Glasses senast i slutet av året. Meta uppgav att deras första enbart‑ljud‑modell, Ray‑Ban Meta Audio, väger 43 gram och ger upp till 12 timmars batteritid; förhandsbeställningar är öppna från $349, och glasögonen levereras den 13 oktober 2026.