Google 于 2026 年 9 月 23 日表示，将为 Private AI Compute 增加一个持久的、按用户划分的记忆层，而此前它在每项任务结束时都会清除上下文。Private AI Compute 是 Google 在硬件隔离的云端环境中处理 AI 请求的平台。Google 称，解锁记忆的密钥将只保存在用户设备上。公司还称，处理请求时，会由安全飞地临时解密记忆。安全飞地就是上述硬件隔离环境的一种。[1]
根据更新后的技术简报，记忆存储是一个按用户划分的数据库，位于可信执行环境（TEE）之内。简报称，只有当飞地的远程证明与经过背书的记忆二进制文件相符时，密钥才会释放给该飞地。远程证明是一份签名记录，载明飞地加载了哪些软件。Google 称，记忆服务器及其运行时都已开源。公司还称，这些代码通过可复现构建和一份只追加账本，与已部署的二进制文件对应起来，账本中记录着二进制文件的摘要。由于每个请求都必须送达特定用户的存储，简报称记忆系统并不宣称具备网络层面的不可定向性，即请求无法与用户关联的性质。[2]
Google 的博客文章称，设备将能够在发送个人数据之前验证其服务器软件。[1]简报把设备端对证明证据的验证列为未来工作，由独立第三方联合签署的账本也是如此。简报没有给出时间表。[2]
简报链接了 Trail of Bits 一份日期为 2026 年 9 月 21 日的评估报告。报告列出 10 项发现，Google 解决了其中 8 项，另外 2 项仍未解决。未解决的发现中，评为高危的一项是：模型回复文本的哈希值会发往可信计算基（TCB）之外。可信计算基指系统安全所依赖的那些组件。发出这些哈希值，是为了检查回复是否复述了受版权保护的内容。Google 计划在飞地内加入过滤器，使大部分哈希值不会离开飞地。Trail of Bits 称，这能降低风险，但不能消除风险。另一项未解决的发现评为低危：已删除的记忆可能恢复到活动数据库中。Google 接受了这一风险。Trail of Bits 还指出，Google 可以在没有事先外部审查的情况下更改系统，而且系统包含大量闭源代码。[3]
来源
核查或更正本页
- 更正
- 提交更正请求 · 在 GitHub 编辑源文件 · 更正政策
