Meta-KI-Brille: die vertrauliche Cloud für eine KI, die alles sieht

Das Dilemma der KI-Brille

Meta stellt eine einfache Feststellung auf: Die Brille sei ihrer Ansicht nach das beste Format für eine KI, die den ganzen Tag präsent ist, könne aber keine großen Modelle mitführen. Einen Anruf tätigen oder auf eine Nachricht antworten geschieht bereits lokal; eine Unterhaltung übersetzen oder Notizen zusammenfassen erfordert deutlich mehr Rechenleistung.

Rechenleistung ist nur die halbe Miete. Ein wirklich nützlicher Assistent muss stateful sein: den Kontext kennen, Ideen über Tage oder Wochen verknüpfen, im Hintergrund handeln. All das erfordert die Cloud – genau dort, wo persönliche Daten am stärksten exponiert sind.

Der Beitrag zitiert übrigens Mark Zuckerberg, für den Geräte, die 'sehen, was wir sehen', zu unseren wichtigsten Computern werden. Die Herausforderung besteht also darin, eine hyperpersonalisierte KI zu bauen, ohne dass der Betreiber hineinschauen kann.

Confidential Computing: Daten während der Nutzung schützen

Die Branche verschlüsselt seit langem Daten im Ruhezustand und bei der Übertragung. Das schwache Glied blieb die Daten während der Nutzung, die im Speicher entschlüsselt und damit für OS, Hypervisor und Administrator sichtbar sind. Confidential Computing soll diese Lücke schließen.

Der Hardware-Baustein ist die Trusted Execution Environment (TEE): Der Prozessor verschlüsselt den Speicher einer CVM mit einem Schlüssel, der von dedizierter Sicherheitshardware gehalten wird und niemals an den Host übertragen wird. Laut dem Confidential Computing Consortium garantiert eine TEE die Vertraulichkeit der Daten, ihre Integrität und die Integrität des geladenen Codes.

Private Processing fügt diesem Fundament zwei hauseigene Eigenschaften hinzu: die Nicht-Zielbarkeit von Sitzungen und verschlüsselten Speicher, alles gestützt auf überprüfbare Transparenz.

Der Weg einer Anfrage

Erste Phase, Anonymität: Blind signierte Token, nach zufälligen Zeitplänen abgerufen, verhindern, dass der Authentifizierungsdienst die Anfrage einem Konto zuordnen kann. Die Verbindung läuft über ein OHTTP-Relais eines Drittanbieters, und der TEE-Knoten wird nach nicht identifizierenden Kriterien ausgewählt, damit ein Angreifer ein Ziel nicht auf eine kompromittierte Maschine lenken kann.

Zweite Phase, Attestierung: Die Brille öffnet eine RA-TLS-Sitzung, verlangt ein von der Hardware signiertes Zertifikat und prüft, ob die Binärdatei mit der im Register veröffentlichten übereinstimmt. Stimmt die Herstellerkette oder der Hash nicht überein, schlägt die Verbindung fehl.

Dritte Phase, die Verarbeitung: Die Infrastruktur transportiert einen verschlüsselten Blob, den sie nicht lesen kann. Müssen mehrere Modelle miteinander kommunizieren, attestieren sich die TEEs gegenseitig vor jedem Austausch. Schließlich wird jeder persistente Speicher mit dem Schlüssel des Nutzers verschlüsselt, bevor er die Enklave verlässt.

Ein in der Enklave untergebrachter Speicher

Der naive Ansatz bestünde darin, Daten auf dem Gerät zu verschlüsseln und in einer klassischen Cloud-Datenbank abzulegen. Meta erklärt, warum das scheitert: Selbst verschlüsselt beobachtet eine externe Datenbank, wann gelesen wird, wie häufig und welche Einträge zusammengehören – das reicht aus, um eine tägliche Routine zu kartieren.

Zweites Hindernis, die Performance: Eine semantische Vektorsuche auf entfernt verschlüsseltem Speicher zwingt dazu, riesige Mengen an Ciphertext für jede Anfrage in die TEE zurückzuholen. Je größer der Kontext, desto stärker explodiert die Latenz.

Die Antwort: Ausführung und Zustand im vom Prozessor verschlüsselten Speicher zusammenzulegen. Die Abfrage-Engines laufen innerhalb der TEE-Grenze, und Lesevorgänge durchqueren nie ein externes Netzwerk.

Im Blindflug operieren und sich prüfen lassen

Die Betreiber auszusperren schafft ein Betriebs-Kopfzerbrechen: unmöglich, einen Debugger anzuhängen, einen Memory-Dump zu erstellen oder die Anfrage zu untersuchen, die das System zum Absturz gebracht hat. Meta stützt sich daher ausschließlich auf aggregierte Health-Signale, um die Verfügbarkeit eines multiregionalen, ausfallsicheren Systems aufrechtzuerhalten.

Was das Vertrauen betrifft, wird jedes CVM-Produktions-Image in einem öffentlichen, append-only Register erfasst. Jeder Austausch einer Binärdatei würde in einem Eintrag sichtbar, den Meta nicht kontrolliert. Die Binärdateien selbst bleiben Forschern des Sicherheitsprogramms unter Vertrag vorbehalten.

Meta beansprucht ein Bedrohungsmodell, das die eigenen Rechenzentren als feindlich betrachtet, lässt das Design von Firmen wie NCC Group prüfen und öffnet sein Bug-Bounty-Programm für Private Processing auf der Brille.

Kurs auf das Agentische

Bisher diente Private Processing punktuellen Aufgaben, etwa dem Zusammenfassen einer Nachricht. Meta kündigt an, dass die KI der Brille zunehmend stateful, multimodal und agentisch wird, fähig, im Auftrag des Nutzers über Sitzungen hinweg zu handeln.

Das verkompliziert die Vertrauensgrenzen: Ein Agent, der einen sensiblen Zustand hält, erfordert strikte Isolation, überprüfbare Datenherkunft und attestierte Kommunikation zwischen CVMs. Meta präsentiert Private Processing als das Fundament für diese zukünftigen Anwendungen.