Meta 正在将 Private Processing 引入 Meta AI Glasses，但信任如今需要证据

Meta 正在将 Private Processing 引入 Meta AI Glasses。多年来，该公司一直将高负载 AI 任务交由设备外部处理。9 月 23 日的公告提出了五项安全要求，用于处理 Meta 云端的个人上下文信息。矛盾随之而来：眼镜越智能，就越需要私密数据；但收集这些上下文，也让传统云端处理愈发难以自圆其说。

这一架构旨在让 Meta AI 能够处理信息，同时不让 Meta 的常规基础设施或员工读取这些信息。根据该公司的技术公告，机密虚拟机将把 AI 工作负载与主机系统隔离。公开账本、匿名凭证、远程证明和加密存储则进一步提供控制机制。

这并非只是为可穿戴摄像头新增一个隐私设置。Meta 正在为眼镜准备流式转写、上下文搜索、长期记忆，以及最终跨多个会话执行后台操作的能力。这些体验需要持续了解佩戴者的环境、日常习惯、对话和偏好。

Apple 已将机密云计算确立为一项重要的隐私策略，用于处理无法完全在个人设备上运行的 AI。Meta 如今正将类似模式应用于始终可用的眼镜。这一比较也提高了 Meta 必须达到的标准：详尽的架构固然重要，但可验证的部署证据更重要。

将 Private Processing 引入 Meta AI Glasses，改变了云端边界

Meta 的核心变化在于架构：敏感上下文应只在获批准的机密计算环境中可读。

智能眼镜面临一项软件无法消除的物理限制：镜架必须舒适、轻盈、不过热，并能全天佩戴。它们无法容纳更大型计算机所具备的电池、内存或散热系统。

这些限制使云计算成为高负载 AI 工作的必要条件。一副眼镜可以采集音频、图像和其他信号，再将选定信息发送至更大的模型。隐私问题则始于这些信号离开佩戴者设备之时。

传统云系统会在信息通过网络传输时对其加密，也可以对静态存储的信息加密。不过，常规服务器通常必须先在内存中解密信息，软件才能对其进行处理。

这一缺口被称为“使用中数据暴露”。管理员、遭入侵的主机软件，或能力足够强的攻击者，都可能在服务器处理信息期间接触到它。访问控制能够降低这一风险，但用户仍需信任服务运营方。

Meta 提出的解决方案是 Private Processing，即面向敏感 AI 请求的机密计算基础设施。可信执行环境（TEE）可在受保护的处理器内存中隔离代码和数据。Meta 将其虚拟化版本称为机密虚拟机（CVM）。

该公司表示，主机操作系统、虚拟机监控程序、管理员和常规基础设施均无法查看这一边界内的数据。AI 模型可以使用信息，但周围的云服务应只能看到加密内容。

Meta 围绕五项要求设计了这套系统。用户数据在传输中、处理期间和静态存储时都必须保持不可读。未经授权的变更必须失败关闭，或通过公开记录变得可见。

每个生产环境中的 CVM 镜像还必须出现在由独立方见证的只追加透明度账本中。请求不应泄露足以锁定某个人会话的身份信息。持久化信息必须在用户提供的密钥下保持加密。

这些要求将隐私主张从政策层面推向技术强制执行。政策会告诉员工和系统应该怎么做；机密计算则试图从技术上令某些访问根本无法实现。

Meta 此前已为涉及 WhatsApp 消息的 AI 功能推出Private Processing。该系统建立了多项如今正扩展到眼镜的组件，包括匿名认证和远程证明。

眼镜让这一挑战更加困难。消息摘要请求是离散且有边界的；可穿戴助理则可能涉及持续数据流、不断变化的环境，以及在数天或数周内持续有用的记忆。

因此，这份公告不仅意味着后端替换。Meta 正在为能够记住既有上下文并在稍后据此行动的眼镜打下基础。这一方向既提高了产品价值，也放大了失误的后果。

Meta 并未将这篇文章表述为确认所有当前眼镜交互均已使用 Private Processing。其措辞描述的是面向未来体验的基础设施，以及为推出这些体验所做的工作。读者应区分已公布的架构与已发布功能中经过验证的实际覆盖范围。

这一差异构成了本文的核心张力。将 Private Processing 引入 Meta AI Glasses 之所以有意义，是因为所提保护措施强于普通云端访问控制；而其重要性也使部署、审计和产品覆盖范围的证据不可或缺。

Meta Private Processing 如何运作

这套设计试图同时防止直接访问数据，以及更隐蔽地锁定某位用户的机密会话。

第一阶段将认证与身份分离。Meta 表示，设备会按随机时间表获取盲签名凭证。这些令牌可以证明请求来自有效客户端，同时不附带用户账户身份。

这种分离应对了一种微妙威胁：能够识别目标的恶意运营者，可能将该用户的请求导向受入侵的机器。隐藏请求者身份会令定向路由更加困难。

随后，眼镜会通过由 Fastly 或 Cloudflare 运营的第三方 Oblivious HTTP 中继进行连接。Oblivious HTTP 在客户端与网关之间加入中继节点，将请求的网络来源与加密内容分离。

中继可以看到传入的网络地址，但不应看到受保护请求的内容。Meta 的网关接收请求时，不会直接获知原始地址。按照预期的协议流程，任何单一参与者都不应同时获得这两部分信息。

系统随后会使用 Meta 所称不可识别用户身份的启发式方法选择节点。这项要求称为“不可定向性”。攻击者不应能在不攻击更广泛 Private Processing 系统的情况下，只入侵某个指定对象。

接下来，眼镜通过远程证明验证服务器。远程证明可让硬件生成带签名的证据，说明其受保护环境中加载的软件。客户端会在传输个人上下文前检查该证据。

Meta 表示，设备会将服务器的二进制度量值与独立的公开透明度账本进行比对，并验证与处理器供应商相关的证书链。如出现不匹配，连接应在用户数据离开设备前终止。

这种失败关闭行为十分重要。数据传输后才显示的警告几乎无法提供保护。拟议的握手流程将验证设为建立机密会话的前提。

验证成功后，设备会与 TEE 建立加密连接。Meta 周边基础设施可以路由加密载荷，但不应读取其内容。经批准的 AI 模型会在隔离内存中处理请求。

模型有时需要在多个机密环境之间传递信息。Meta 表示，这些 CVM 在交换数据前必须彼此证明。这一规则将验证扩展至多模型工作负载，而非仅保护其首台服务器。

当助理需要记忆时，这套架构就变得更具野心。Meta 希望眼镜能够跨时间连接不同想法、检索过去的上下文，并继续完成未完成的任务。这些能力需要超出单次交互而持续存在的信息。

因此，Private Processing 包含有状态的加密存储。Meta 表示，输出会在离开 TEE 前使用用户提供的密钥加密。其常规基础设施存储密文；而在用户稍后请求某项记忆时，经过验证的 TEE 会使用所提供的密钥。

该公司还将存储引擎置于机密边界内。这一做法旨在减少通过访问模式泄露的信息，也可避免每次语义搜索都将大型加密数据集移入 TEE。

访问模式之所以重要，是因为加密并不能隐藏一切。数据库仍可能观察到何时访问记录、查询发生的频率，以及哪些记录会一同出现。即使不暴露底层文字或图像，这些信号也可能泄露日常规律。

Meta 表示，将存储与处理放在同一位置可以降低这种暴露。查询引擎可在处理器加密内存中运行，读取操作无需在外部数据库和受保护执行环境之间反复传递。

这一设计支持一个具体场景：佩戴者可能会询问此前对话中听到的名字，或过去旅行时看到的物体。即便最初发生的时刻已过去数日，助理仍需保留上下文才能作答。

这种回忆能力类似于可穿戴式第二大脑，但其信息收集范围远大于文档库。眼镜会接触实体空间和附近的人，因此范围控制与服务器隔离同样重要。

Private Processing 会在产品决定发送选定数据后保护这些数据。它不会独立决定眼镜是否应收集某个信号，也不能替代权限、拍摄指示器、保留控制或模型训练限制。

更智能的眼镜让 Meta 的隐私主张承受压力

Meta 的眼镜越实用，常规云端可见性就越难以被接受。

Meta 将眼镜定位为个人 AI 的一种特别有效的形态。佩戴者在日常生活中移动时，眼镜始终可用。摄像头和麦克风可提供上下文，无需用户手持手机。

这种便利改变了相关信息的敏感程度。手机通常通过有意的操作进入某个场景；眼镜则可能在对话、旅行、工作、购物和居家期间本就存在。

Meta 表示，每天有数百万人使用其 AI 眼镜。该公司列举了音乐、播客、免手持拍摄和 AI 助理等当前用途。该采用规模的说法来自 Meta 的眼镜隐私 FAQ，而非独立测量。

规模放大了两类不同的隐私问题。第一类涉及佩戴者的数据在进入云系统后如何被处理；第二类涉及附近那些从未选择与 Meta AI 互动的人。

Private Processing 主要回答了第一个问题：当获授权用户发送上下文以进行机密处理时，它承诺提供更强保护。但它本身并不能替上下文中出现的另一位语音或影像主体取得同意。

Meta 使用拍摄 LED，在眼镜拍摄图库照片或视频时提醒旁观者。该公司表示，在较新的型号上遮挡该 LED 会禁用摄像头。它还宣布将加强对物理篡改的检测。

这些措施运行在设备层。机密计算则运行在云层。可信的眼镜隐私方案需要两者兼具，因为安全处理无法纠正不当采集。

压力同样来自 Meta 的产品路线图。9 月的文章提到，流式转写、上下文搜索和长期记忆将是预期工作负载。每项能力都会带来不同的隐私暴露面。

流式转写可将偶然听到的言语转化为可搜索文本。上下文搜索可将当前场景与此前信息结合。长期记忆则可能保留连用户自己都已遗忘的细节。

Agentic 行为进一步提高了风险。Meta 预计，未来的眼镜将在多个会话和现实场景中执行操作。助手可能从回答问题，进展到选择工具、检索记忆并发起任务。

这种演进依赖更丰富的个人状态。一个有用的代理必须知道佩戴者提出了什么要求、此前发生了什么，以及哪些信息仍然相关。它还需要在明确边界内采取行动的权限。

这一安全架构应对的是该状态的存储与处理风险。硬件隔离降低了基础设施运营人员的访问能力。证明机制限制哪些软件可以接收数据。不可定向路由使个体更难被单独锁定。

但这些控制措施并不能决定模型的行为是否恰当。经过安全处理的请求仍可能产生不准确的回答。被隔离的代理仍可能误解授权，或根据误导性上下文采取行动。

这一边界对开发者和企业买家至关重要。机密计算降低了一类基础设施信任风险，但并未消除应用安全、模型安全、身份管理或治理义务。

因此，Meta 必须精确说明功能覆盖范围。用户需要知道哪些请求会进入 Private Processing、持久记忆何时启用，以及如何检查或删除相关内容。一个笼统的隐私标签无法回答这些产品层面的问题。

这项公告同样给竞争对手带来压力。任何构建上下文可穿戴设备的公司，都必须解释设备外处理如何运作。当机密 AI 系统变得可行时，“传输过程中已加密”的说法显得并不完整。

Apple 提供了最清晰的对照。其云安全模型同样采用证明、受保护硬件、不可定向性和透明度机制。Apple 为超出设备端能力的高强度 Apple Intelligence 请求设计了该系统。

Meta 的路径遵循同一更广泛的方向：在保留对大型云模型访问能力的同时，将运营商排除在数据路径之外。差异化将取决于具体实现、支持的工作负载、开放程度和独立验证。

真正的考验是可验证性，而不是架构图

Meta 的设计在纸面上可信，但在研究人员能够复现其承诺的保障之前，最强的主张仍只是公司自身的主张。

机密计算依赖一条信任链。设备必须验证正确的硬件证书，必须将已加载的软件与获批准的度量值比对，账本则必须保持可由外部独立观察。

研究人员还需要获得足够访问权限，以评估获批准二进制文件的实际行为。匹配的哈希值只能确认已部署代码与已记录镜像一致，并不能自动证明该镜像不存在漏洞或不受欢迎的行为。

Meta 表示，每个生产 CVM 镜像都将出现在一个仅可追加、由公众见证的账本中。它计划在协议约束下向研究人员提供对应的二进制文件。该公司还表示，将提供用于测试证明链的文档和工具。

这些是有益的承诺，但细节决定其力度。研究人员需要稳定的访问渠道、充分的文档和足够时间来检查变更。外部监控者必须能够在不依赖完全由 Meta 控制的基础设施的情况下发现不匹配。

Meta 表示，NCC Group 和其他研究人员已审查其架构和隔离边界。它还在扩展漏洞赏金计划，以覆盖 AI 眼镜上的 Private Processing。这些举措提供了审查路径，但公开的研究发现将提供更有力的公共证据。

Apple 为运营保障提供了有用的标杆。它发布安全研究资源，并公开与已部署软件相关的材料。Apple 还委托定期对其 Private Cloud Compute 配置控制进行 SOC 3 审查。

该审计并不认证 Apple AI 模型的准确性或安全性。Apple 明确将其范围限定为计算节点的配置、验证和保护流程。这一区分说明了独立保障能够证明什么，以及不能证明什么。

Meta 将面临同样的边界。审计或许可以确认，获批准的软件会通过受控流程抵达受保护节点；但它无法证明每个回答都正确，也无法证明每项产品决策都符合用户预期。

硬件漏洞仍是另一项不确定因素。TEE 通过将信任边界移入受保护的处理器功能来降低暴露风险，但这并不意味着处理器或固件不会出错。侧信道和实现错误仍属于威胁格局的一部分。

Meta 的故障关闭设计应能降低未经批准代码带来的损害。不过，其安全性依赖于正确的客户端验证以及可信的硬件根信任。任一层的弱点都可能削弱其上层保护。

运营也带来了另一种权衡。工程师通常通过检查日志、内存和有问题的输入来诊断故障。Private Processing 有意阻断这些方法，因为它们会暴露机密数据。

Meta 表示，其团队将改为监控处理器利用率、内存分配、网络延迟和硬件故障率等聚合信号。这能保护内容，但当罕见输入触发错误时，可用细节会更少。

这种限制可能影响可靠性。工程师可能难以复现无法检查的故障，因此必须开发既能反映系统健康状况、又不会暴露个人提示词、录音或模型输出的隐私保护诊断方式。

持久记忆带来了更多问题。Meta 表示，用户提供的密钥将保护保留的信息，且只有经过验证的 TEE 可以解密。公开说明尚未完整解释设备或密钥更换时的恢复行为。

用户还需要清晰的删除语义。从产品界面移除某个项目，应当对加密副本、索引和备份产生可理解的影响。该公告侧重于架构，而非这些生命周期细节。

元数据仍值得持续审视。无感路由和匿名凭证可在会话建立期间降低可关联性，但网络时序、请求大小、重复行为以及受保护工作负载之外的信息仍可能形成信号。

Meta 并未声称 Private Processing 能消除所有可能的威胁。其文章指出了一个明确的威胁模型，这才是正确的表述方式。读者应依据该模型评估架构，而不应将“私密”视为无限制保证。

因此，最重要的审慎结论很明确：Meta 已描述了一套严肃机制，用于减少运营商对眼镜数据的访问；但它尚未证明每一条相关产品路径都会一致地采用该机制。

私有云 AI 成为新的竞争基线

Meta 和 Apple 正在趋向同一原则：先进的个人 AI 需要云端能力，但不应让服务提供商例行访问个人内容。

当硬件可以完成任务时，设备端处理仍是最简单的隐私模型。数据留在附近，对网络的依赖降低，云端接收到的信息也更少。然而，眼镜无法在本地运行上下文辅助所需的每一种模型。

因此，行业的现实选择并不总是设备端与云端之间的二选一。它越来越成为普通云处理与一种将自身运营商视为潜在对手的机密服务之间的选择。

Apple 在 2024 年通过 Private Cloud Compute 让这一方法获得显著关注。随后，Meta 将 Private Processing 应用于敏感的 WhatsApp AI 工作负载。其眼镜项目则将这一模型扩展至持续、多模态和持久的上下文。

这些架构共有多个目标。两者都强调远程证明、软件透明度、不可定向性、受保护执行和受限的特权访问。两者都试图让客户端在释放敏感信息前验证服务器。

它们的产品场景有所不同。Apple 的系统接收来自受支持设备的选定请求，并在其更广泛的智能体系中处理这些请求。Meta 的眼镜则可能接触实时物理环境，并在反复互动中构建上下文。

这种差异使状态对 Meta 而言尤为重要。可穿戴助手在记住人物、地点、任务和此前问题后会变得更有用；当这些记忆出错、过度或难以移除时，其影响也会更加重大。

因此，Meta 的存储设计是本次公告中最重要的元素之一。将查询执行移入 TEE，旨在保护内容并降低访问模式泄露，同时也支持在不断增长的个人上下文中进行更快搜索。

这种方法可能影响其他 AI 提供商。开发别针、耳机、摄像头和工作场所助手的团队将面临类似问题。客户会询问谁能查看提示词、软件如何得到验证，以及是否可能针对某个个人。

即使从不部署眼镜，企业买家也应当关注。机密 AI 基础设施可支持会议、内部搜索、文档分析和个人知识系统。每种用例都涉及组织可能不希望提供商查看的信息。

不过，部署的简易性将决定其采用程度。开发者需要清晰边界、易用接口、可预测的延迟和有意义的故障行为。一个会悄然回退到普通处理的强大安全系统，将削弱整个价值主张。

Meta 尚未宣布面向这些眼镜工作负载的无限制开发者平台。目前的消息涉及 Meta 自身的基础设施和计划中的体验。外部团队不应假定自己可以将任意应用置于同一受保护环境中。

竞争效应依然重要。一旦大型提供商声称，即使其管理员也无法访问某些 AI 输入，竞争对手就必须回答一个更棘手的问题：为何运营商可读的处理仍有必要。

隐私措辞也需要更加精确。“我们不会将这些数据用于训练”回应的是一种担忧；而在正确实施时，“我们的基础设施无法读取此请求”则是不同且更强的主张。

机密计算并不能消除合同限制的必要性，但可以让这些限制更容易在技术上得到执行。最强的服务将使密码学控制、产品权限、保留规则和外部审计保持一致。

将 Private Processing 引入 Meta AI 眼镜，使市场更接近这一综合标准。这一宣布并未确定哪家公司拥有最安全的架构，但它明确了所有情境化 AI 产品必须回答的问题。

三个信号将显示 Meta 是否兑现承诺

下一阶段应通过可观察的部署证据、独立测试和精确的功能覆盖范围来评判。

第一个信号是公众能否访问透明度系统及相应的 CVM 二进制文件。研究人员应能够监测生产环境中的测量结果、获取相关构件，并验证客户端检查在发生不匹配时如何响应。

如果 Meta 能够配合实用文档提供这种访问权限，其可验证性的主张将大幅增强。访问受限、发布延迟或生产环境覆盖不完整，都会削弱这一核心承诺。

第二个信号是独立安全研究。Meta 已将外部审查和扩大漏洞赏金计划覆盖范围列为其计划的一部分。公开的评估、可复现的发现以及有记录的修复，将表明审查不止于内部工程团队。

没有报告出的漏洞并不能证明系统安全。有力的证据应包括测试范围、已披露的限制，以及 Meta 对弱点的回应。清晰的威胁模型修订同样将体现成熟的流程。

第三个信号是产品层面的覆盖图。Meta 应明确哪些眼镜功能使用 Private Processing、哪些数据会进入持久化存储，以及普通云系统何时仍会参与其中。查看、禁用和删除记忆的控制功能也应同样具体。

这张图将决定该公告是否改变日常隐私实践，还是主要描述未来的基础设施。用户需要了解转录、视觉上下文、回忆和智能体操作所经过的路径。

延迟和可靠性将在每个信号中都很重要。一项机密服务必须足够迅速，才能支持实时可穿戴设备交互。频繁故障可能迫使团队降低保护措施，或构建防护较弱的备用路径。

Meta 应在这些权衡出现之前解释备用行为。如果证明失败，理想结果应是明确拒绝传输敏感上下文。悄然将同一请求路由至其他地方，将违背故障关闭原则。

还要关注该公司如何处理调试。聚合遥测数据能够保护个人内容，但棘手的故障会考验工程纪律。保护隐私的诊断机制必须解决运营问题，同时不能重新建立间接访问内容的通道。

更广泛的问题已不再是云端 AI 能否支持面向隐私的架构。多家大型平台如今都将机密计算视为实用基础。问题在于，它们公开提供的证据能否跟上不断扩大的产品主张。

开发者应要求可证明的软件身份、公开的威胁模型和明确的数据生命周期。企业采购方应询问哪些管理员仍处于信任边界之内。消费者则应询问哪些功能默认使用受保护的处理方式。

将 Private Processing 引入 Meta AI 眼镜值得关注，因为它瞄准了正确的基础设施问题。它并未解决同意机制、模型错误或可穿戴摄像头带来的所有风险，但仍可能降低一个重要的暴露来源。

下一项考验在 Meta 之外。安全研究人员需要可用的二进制文件、可见的账本，以及足够的访问权限来挑战这一设计。用户则需要能够将这些技术保证对应到具体功能的控制选项。

当 Meta 开始部署该系统时，在接受最宽泛的隐私主张之前，请留意这三个信号。架构决定可能性；独立验证和透明的产品覆盖范围，将展示人们实际获得了什么。