Meta розширює Private Processing (конфіденційне обчислення) для AI glasses

Meta впроваджує Private Processing, свою інфраструктуру конфіденційного обчислення, у свої AI glasses; про це компанія розповіла у Engineering at Meta пост, опублікованому 24 вересня 2026 р. Meta стверджує, що дизайн дозволяє хмарним AI‑моделям виконувати запити окулярів без можливості Meta отримати доступ до даних користувачів.

У цьому пості інженери Meta Притам Шах і Оскар Лінде пишуть, що багато команд, які користувачі наразі дають своїм окулярам, наприклад здійснення дзвінка або відповіді на повідомлення без рук, виконуються повністю на пристрої. Більш просунуті функції вимагатимуть AI‑моделей, надто великих, щоб працювати безпосередньо в окулярах, а помічник, корисний у повсякденному житті, має зберігати контекст протягом днів або тижнів і працювати проактивно у фоні. За словами інженерів, ці вимоги означають, що роботу слід виконувати в хмарі.

Meta вперше представила Private Processing у 2025 році для WhatsApp та додатку Meta AI, дозволяючи вести приватні чати з Meta AI без того, щоб Meta або WhatsApp бачили дані, і інженери зазначають, що компанія використала цей досвід при розширенні технології на окуляри. Meta стверджує, що версія для окулярів створена для перенесення інтенсивних навантажень, таких як потокова транскрипція, контекстний пошук та довготривале запам’ятовування.

Дизайн конфіденційного обчислення

Традиційні хмарні архітектури шифрують дані у стані спокою та під час передачі, але під час обробки їх доводиться розшифровувати в оперативній пам’яті хоста, що відкриває доступ операційній системі хоста, гіпервізору та оператору інфраструктури, пояснює пост. Конфіденційне обчислення — це галузеве зусилля, спрямоване на усунення цього розриву під час використання, а його апаратний примітив — Trusted Execution Environment (TEE): певні процесори CPU і GPU шифрують пам’ять конфіденційної віртуальної машини (CVM) за допомогою ключа, що зберігається в безпековому чипі, і ніколи не передають його хосту, гіпервізору чи операторам машини.

Посилаючись на визначення Confidential Computing Consortium, у пості зазначається, що TEE фізично забезпечує конфіденційність даних, їх цілісність та цілісність коду. Перед підключенням клієнтський пристрій вимагає звіт про віддалену атестацію, підписаний ключем, який існує лише всередині чипа, перевіряє, що підпис ланцюжком веде до кореневого ключа, який публікує виробник чипа, і порівнює вимірювання програмного забезпечення з лише‑доданим реєстром, підтвердженим незалежною третьою стороною; якщо будь‑яка перевірка не проходить, пристрій відмовляється підключатися і не надсилає даних.

Meta стверджує, що розробила реалізацію для окулярів, орієнтуючись на п’ять вимог: апаратна ізоляція, яка робить дані користувача криптографічно недоступними для операційних систем хоста, гіпервізорів та самого Meta під час передачі, використання та у стані спокою; гарантії fail‑closed, за яких будь‑яка спроба змінити гарантію конфіденційної обробки повинна або призвести до закриття системи, або стати публічно виявленою; публічна верифікація через прозорий реєстр прозорості, який фіксує кожний виробничий образ CVM; неможливість цілеспрямованого атакування, тобто зловмисник не може виділити сесію або сховище окремої особи без спроби скомпрометувати всю систему; та зашифроване сховище, доступне лише за допомогою ключа, наданого користувачем. Компанія описує систему як багаторегіональну та стійку до збоїв, а її модель загроз задокументована у whitepaper Private Processing.

Потік запитів, сховище та спостережуваність

Система спочатку вирішує проблему метаданих, пишуть інженери: оператор, який знає, хто надсилає запит, міг би перенаправити трафік на скомпрометовану машину. Пристрої використовують анонімні облікові дані (токени з сліпим підписом, отримані за випадковими розкладами), тому служба автентифікації Meta не може пов’язати запит з обліковим записом, і вони підключаються до шлюзів Meta через сторонній OHTTP‑ретранслятор, яким керують Fastly або Cloudflare, причому кожен запит обслуговується TEE, обраним за нерозпізнаваними користувачем евристиками.

Перед надсиланням будь‑якого контексту, зазначає пост, окуляри відкривають сеанс віддаленої атестації та TLS (RA‑TLS) з TEE сервера, перевіряючи його апаратно підписаний сертифікат і хеші бінарних файлів проти публічного реєстру прозорості перед встановленням будь‑якого з’єднання. Усередині TEE моделі працюють у ізоляції, і TEE повинні атестувати один одного за тим же протоколом перед передачею даних.

Коли функція вимагає постійна пам’ять, вихідні дані шифруються ключами, наданими користувачем, перед виходом з TEE, а інфраструктура Meta зберігає шифротекст; пристрій надає ключ під час подальшого отримання пам’яті. Meta стверджує, що створила механізм сховища безпосередньо всередині TEE, оскільки зовнішня зашифрована база даних все ще розкриває патерни доступу, наприклад коли і як часто читаються дані та які записи доступні разом, і тому що операції, такі як семантичний векторний пошук над традиційним зашифрованим сховищем, не масштабуються зі зростанням контексту користувача.

Дизайн також обмежує власних операторів Meta. Оскільки вони криптографічно заблоковані, зазначає пост, інженери не можуть підключати дебагери до працюючого TEE, вивантажувати стек пам’яті, журналювати вхідні та вихідні дані моделей або досліджувати корисне навантаження за оперативною помилкою, тому шар спостережуваності спирається на агреговані сигнали здоров’я: використання CPU, розподіл пам’яті, затримка мережі та агреговані показники відмов обладнання.

Зовнішня верифікація та агентна дорожна карта

Meta стверджує, що кожен образ CVM, розгорнутий у продакшн, зареєстрований у реєстрі прозорості, який компанія описує як забезпечення доказу недоторканності, оскільки заміна іншого бінарного файлу була б помітна в записі, яким Meta не керує. Реєстр і його вимірювання є публічно доступними, а відповідні бінарні файли доступні дослідникам у програмі безпеки Meta за угодою. Компанія повідомляє, що співпрацює з незалежними компаніями з безпеки, зокрема NCC Group, для аудиту архітектурного дизайну, логіки атестації та моделі ізоляції, і розширює свою програму Bug Bounty, щоб явно охопити Private Processing на AI‑окулярах, надаючи зовнішнім дослідникам інструменти, бінарники CVM та документацію.

На момент публікації допису Private Processing зосереджувався на окремих завданнях, таких як підсумовування повідомлення. Meta описує інфраструктуру як основу для більш агентних, мультимодальних досвідів з окулярами, у яких пристрій виконує дії від імені користувача протягом сеансів, і інженери посилаються на лист Марка Цукерберга від липня 2025 року про персональну надінтелектуальність, у якому передбачалося, що персональні пристрої, такі як окуляри, стануть найважливішими пристроями, на які люди покладаються у обчисленнях.

Окремо, у 23 вересня 2026 року повідомлення в Connect newsroom, Meta повідомила, що впроваджує Muse, свого персонального AI‑агента, у свої AI‑окуляри. Meta також анонсувала Ray-Ban Meta Gen 3, доступну від $449 з до дев’яти годин автономної роботи, шість мікрофонів та 12‑мегапіксельною камерою з відео 3K Ultra HD, і заявила, що до кінця року запропонує понад 100 варіантів окулярів від Ray‑Ban, Oakley та Meta Glasses. Meta повідомила, що її перша модель лише для аудіо, Ray‑Ban Meta Audio, важить 43 грами і забезпечує до 12 годин роботи від батареї; передзамовлення відкриті від $349, а окуляри будуть відправлені 13 жовтня 2026 року.