---
title: Google 称将为 Private AI Compute 增加加密的用户专属记忆
dek: Google 于 2026 年 9 月 23 日表示，Private AI Compute 将新增持久记忆，并以保存在用户设备上的密钥加密。Google 技术简报中链接的一份 Trail of Bits 评估报告列出 10 项发现，其中 2 项仍未解决。
---

Google 于 2026 年 9 月 23 日表示，将为 Private AI Compute 增加一个持久的、按用户划分的记忆层，而此前它在每项任务结束时都会清除上下文。Private AI Compute 是 Google 在硬件隔离的云端环境中处理 AI 请求的平台。Google 称，解锁记忆的密钥将只保存在用户设备上。公司还称，处理请求时，会由安全飞地临时解密记忆。安全飞地就是上述硬件隔离环境的一种。[^1]

根据更新后的技术简报，记忆存储是一个按用户划分的数据库，位于可信执行环境（TEE）之内。简报称，只有当飞地的远程证明与经过背书的记忆二进制文件相符时，密钥才会释放给该飞地。远程证明是一份签名记录，载明飞地加载了哪些软件。Google 称，记忆服务器及其运行时都已开源。公司还称，这些代码通过可复现构建和一份只追加账本，与已部署的二进制文件对应起来，账本中记录着二进制文件的摘要。由于每个请求都必须送达特定用户的存储，简报称记忆系统并不宣称具备网络层面的不可定向性，即请求无法与用户关联的性质。[^2]

Google 的博客文章称，设备将能够在发送个人数据之前验证其服务器软件。[^1]简报把设备端对证明证据的验证列为未来工作，由独立第三方联合签署的账本也是如此。简报没有给出时间表。[^2]

简报链接了 Trail of Bits 一份日期为 2026 年 9 月 21 日的评估报告。报告列出 10 项发现，Google 解决了其中 8 项，另外 2 项仍未解决。未解决的发现中，评为高危的一项是：模型回复文本的哈希值会发往可信计算基（TCB）之外。可信计算基指系统安全所依赖的那些组件。发出这些哈希值，是为了检查回复是否复述了受版权保护的内容。Google 计划在飞地内加入过滤器，使大部分哈希值不会离开飞地。Trail of Bits 称，这能降低风险，但不能消除风险。另一项未解决的发现评为低危：已删除的记忆可能恢复到活动数据库中。Google 接受了这一风险。Trail of Bits 还指出，Google 可以在没有事先外部审查的情况下更改系统，而且系统包含大量闭源代码。[^3]

:::analysis
持久记忆让验证变得更难，因为存储的数据必须在软件版本更替中始终受到保护。Google 的设计为外界提供了可供检查的具体对象。其中包括开源的记忆服务器，以及一份公开账本，记录着密钥释放所依赖的二进制文件摘要。同一批文件也写明了局限。设备端对远程证明的验证仍属未来工作，审计指出的一条飞地外数据通路和一处记忆删除弱点也仍未解决。
:::

:::checked
2026 年 10 月 20 日，我们查阅了 Google 于 2026 年 9 月 23 日发布的博客文章、文章链接的技术简报，以及 Trail of Bits 的评估报告。简报只标注了月份，因此来源列表采用博客文章的日期。Google 的博客文章没有指明审计方。我们没有检查账本或开源代码，也不自行测试任何系统。博客文章把这项功能描述为将要推出，简报则称其已经加入。我们无法确认它是否已经面向用户上线。
:::