Google впроваджує постійну серверну пам’ять у Private AI Compute

Google додасть приватну, постійну серверну пам’ять до Private AI Compute, своєї хмарної платформи обробки ШІ, повідомила команда Google Private AI Compute у посту у блозі Google DeepMind, опублікованому 23 вересня 2026 року, випустивши оновлений технічний бриф, публічний запис про серверне програмне забезпечення та резюме незалежних аудитів разом з оголошенням.

Безпечна модель сховища з ключами, що зберігаються на пристрої

Команда заявила, що новий шар постійної пам’яті розроблений так, щоб працювати як захищене цифрове сховище в хмарі. За цією моделлю інформація, необхідна для допомоги користувачеві, зберігається у спеціальному зашифрованому сховищі, тоді як криптографічні ключі, потрібні для його розблокування, зберігаються виключно на особистих пристроях користувача — порядок, який, за словами Google, робить дані недоступними для будь-кого іншого, включаючи сам Google.

Коли моделі потрібна збережена інформація для обробки запиту, автентифікований наскрізно зашифрований канал з’єднує пристрій із захищеним, ізольованим середовищем у хмарі. Це середовище, назване захищеним анклавом, тимчасово розшифровує дані в ізольованій пам’яті, зберігає новий контекст і одразу знову їх шифрує. Google описує дизайн як поєднання апаратно забезпечених захищених анклавів, зашифрованих каналів та баз даних для кожного користувача, захищених ключами шифрування, отриманими з пристрою.

Оголошення позиціонує цю можливість як відповідь на давню дилему: забезпечити асистенту довгострокову безперервність роботи між пристроями, зберігаючи суворі стандарти конфіденційності, які зазвичай обмежуються обробкою на пристрої. Як приклади передбачуваної безперервності, команда описує відкриття інструкцій зі складання на ноутбуці, які раніше переглядалися через смарт‑окуляри, або продовження складної розмови між мобільним пристроєм і веб‑версією.

Від платформи без збереження стану до постійної пам’яті

Google впровадив Private AI Compute 11 листопада 2025 року, у дописі Джея Яґніка, віце-президента з інновацій та досліджень у галузі ШІ, який описав його як платформу, що поєднує моделі Gemini у хмарах з гарантіями безпеки та конфіденційності обробки на пристрої. Платформа працює на спеціальних Tensor Processing Units Google, захищених Titanium Intelligence Enclaves. На запуску Google заявив, що Private AI Compute зробить Magic Cue більш корисним на телефонах Pixel 10 і дозволить застосунку Pixel Recorder підсумовувати транскрипції на більш широкому спектрі мов.

До цього оновлення технологія суворо не зберігала стан, стираючи весь контекст у момент завершення завдання. Google стверджує, що обхідні рішення, такі як збереження ШІ списків особистих фактів та уподобань, були недостатніми для підтримки безперервних вражень, які очікуються від персонального ШІ.

Архітектура пам’яті та життєвий цикл запиту

Оновлений технічний бриф Private AI Compute, від команд Google Platforms and Devices, DeepMind, Core та Cloud, описує цю функцію як розширення зі збереженням стану платформи: постійну пам’ять для кожного користувача, що живе в хмарі, залишаючись недоступною для Google, працюючи повністю у захищеному середовищі виконання платформи.

У її ядрі — пам’ять Oak Server, база даних зі збереженням стану для кожного користувача, що працює всередині апаратного довіреного середовища виконання. Записи шифруються за допомогою ключів користувача, які, згідно з брифом, ніколи не видно поза межами довіреної обчислювальної бази системи та ніколи не видимі інфраструктурі Google, а оркестратор виступає посередником між моделлю ШІ та сервером пам’яті, забезпечуючи, щоб відкритий текст ніколи не покидав анклав. Додаток пам’яті написаний на Rust і працює у середовищі виконання Oak Containers, причому і сервер, і середовище є відкритим кодом. Відтворювані збірки пов’язують опубліковане джерело з бінарними файлами, розгорнутими у продакшн, при цьому отримані дайджести публічно затверджені в реєстрі, що дозволяє лише додавання записів, та підтверджені анклавом перед випуском будь-якого ключа.

Для запиту, що потребує історичного контексту, життєвий цикл починається з того, що клієнт встановлює зашифрований сеанс за допомогою протоколу Noise; запит потім потрапляє до оркестраційного анклава всередині конфіденційної віртуальної машини AMD SEV‑SNP. Оркестратор відкриває взаємно підтверджений канал ALTS до сервера пам’яті, і після апаратної верифікації вимірювання анклава, ключі розшифрування користувача розблоковуються для рушія бази даних, а відповідні записи розшифровуються виключно у волатильній пам’яті анклава. Отриманий контекст зливається з активним запитом і оцінюється повністю у посиленій платформі TPU. Якщо сеанс створює нові спогади, факти чи оновлені уподобання, вони повторно шифруються під ключем користувача і записуються у постійне сховище, а весь волатильний контекст запиту, токени та проміжні активації стираються під час надання відповіді.

Надання ключа серверу пам’яті залежить від атестації. За даними брифу, анклав, який не може надати дійсний доказ атестації, що відповідає затвердженому бінарному файлу пам’яті, — зокрема анклав, що працює з модифікованою або неавторизованою збіркою, — не може отримати ключі і, отже, не може читати пам’ять користувача.

Модель загроз та зовнішня верифікація

У документі зазначено, що зберігання даних змінює позицію безпеки платформи. Постійне сховище має визначати стабільний ідентифікатор користувача для кожного запиту, тому система зі збереженням стану не заявляє про неможливість цілеспрямованого звернення до певного користувача на рівні мережі — властивість, призначену запобігти прив’язці будь‑якого окремого запиту до користувача на шляху виконання моделі без збереження стану. Google стверджує, що націлювання на пам’ять конкретного користувача дає лише непрозорий шифротекст, оскільки ключі, необхідні для його розшифрування, доступні лише всередині атестованого анклаву.

Зазначені цілі безпеки для постійного сховища включають відсутність адміністративного шляху до відкритих даних користувача навіть у надзвичайних сценаріях «break‑glass», ізоляцію скомпрометованого екземпляра за допомогою конфіденційних віртуальних машин та політики виходу за замовчуванням «deny», що охоплюють моніторинг, журналювання та дампи пам’яті.

Google повідомляє, що зовнішні аудитори підтвердили дизайн системи як для початкового випуску, так і для оновлення серверної пам’яті, і компанія опублікувала резюме аудиторських звітів за 2025 та 2026 роки. Пристрої, що працюють на Private AI Compute, зможуть перевіряти автентичність та незмінність програмного забезпечення за публічним реєстром перед передачею будь‑яких персональних даних, згідно з заявою компанії.

Розробку спільно виконала Google DeepMind разом із командами Platforms and Devices, Core та Cloud, а за виконавче спонсорство визнані Four Flynn, Jay Yagnik та David Kleidermacher.

У документі підсумовано заплановані наступні кроки: перевірка атестації на боці клієнта, яка дозволить пристроям користувачів незалежно перевіряти докази сервера перед передачею конфіденційних даних; прозорий журнал лише для додавання, який контролюється та підписується незалежними третіми сторонами; розширене охоплення відтворюваних збірок для додаткових компонентів системи; а також регулярні аудити сторонніх організацій.