Occhiali Meta AI: il cloud confidenziale per un'IA che vede tutto

Il dilemma degli occhiali IA

Meta pone una constatazione semplice: gli occhiali sono secondo l'azienda il formato migliore per un'IA presente tutto il giorno, ma non possono ospitare i grandi modelli. Fare una chiamata o rispondere a un messaggio si fa già in locale; tradurre una conversazione o riassumere delle note richiede molta più potenza.

La potenza è solo metà del problema. Un assistente davvero utile deve essere stateful: conoscere il contesto, collegare idee su giorni o settimane, agire in background. Tutto ciò impone il cloud, proprio dove i dati personali sono più esposti.

Il post cita peraltro Mark Zuckerberg, secondo cui i dispositivi che «vedono ciò che vediamo» diventeranno i nostri computer principali. La posta in gioco è quindi costruire un'IA iper-personalizzata senza che l'operatore possa guardarci dentro.

Confidential computing: proteggere il dato durante l'uso

L'industria cifra da tempo i dati a riposo e in transito. L'anello debole restava il dato in uso, decifrato in memoria e quindi visibile all'OS, all'hypervisor e all'amministratore. Il confidential computing mira a colmare questa lacuna.

Il mattone hardware è il Trusted Execution Environment (TEE): il processore cifra la memoria di una CVM con una chiave detenuta da hardware di sicurezza dedicato, mai trasmessa all'host. Secondo il Confidential Computing Consortium, un TEE garantisce la riservatezza dei dati, la loro integrità e l'integrità del codice caricato.

Private Processing aggiunge a questa base due proprietà proprietarie: la non tracciabilità delle sessioni e lo storage cifrato, il tutto sostenuto da una trasparenza verificabile.

Il percorso di una richiesta

Primo tempo, l'anonimato: token a firma cieca, recuperati secondo calendari casuali, impediscono al servizio di autenticazione di collegare la richiesta a un account. La connessione passa tramite un relay OHTTP di terze parti, e il nodo TEE viene scelto secondo criteri non identificanti, affinché un attaccante non possa dirigere un bersaglio verso una macchina compromessa.

Secondo tempo, l'attestazione: gli occhiali aprono una sessione RA-TLS, richiedono un certificato firmato dall'hardware e verificano che il binario corrisponda a quello pubblicato nel registro. Se la catena del produttore o l'hash non coincidono, la connessione fallisce.

Terzo tempo, l'elaborazione: l'infrastruttura trasporta un blob cifrato che non può leggere. Se più modelli devono dialogare, i TEE si attestano reciprocamente prima di ogni scambio. Infine, ogni memoria persistente viene cifrata con la chiave dell'utente prima di lasciare l'enclave.

Uno storage ospitato nell'enclave

L'approccio ingenuo consisterebbe nel cifrare i dati sul dispositivo e archiviarli in un database cloud classico. Meta spiega perché fallisce: anche cifrato, un database esterno osserva quando si legge, con quale frequenza e quali record vanno insieme, il che basta a mappare una routine quotidiana.

Secondo ostacolo, le prestazioni: una ricerca vettoriale semantica su storage cifrato remoto obbliga a riportare enormi volumi di ciphertext nel TEE per ogni richiesta. Più il contesto cresce, più la latenza esplode.

La risposta: co-localizzare esecuzione e stato nella memoria cifrata dal processore. I motori di query girano all'interno del perimetro del TEE, e le letture non attraversano mai una rete esterna.

Operare alla cieca e farsi auditare

Bloccare gli operatori crea un rompicapo operativo: impossibile collegare un debugger, fare un dump di memoria o ispezionare la richiesta che ha fatto crashare il sistema. Meta si appoggia quindi unicamente a segnali aggregati di salute per mantenere la disponibilità di un sistema multiregionale e tollerante ai guasti.

Sul fronte fiducia, ogni immagine CVM in produzione viene registrata in un registro pubblico append-only. Qualsiasi sostituzione di binario diventerebbe visibile in un registro che Meta non controlla. I binari stessi restano riservati ai ricercatori del programma di sicurezza, sotto accordo.

Meta rivendica un modello di minaccia che considera i propri data center come ostili, fa auditare il design da aziende come NCC Group e apre il suo Bug Bounty a Private Processing sugli occhiali.

Rotta verso l'agentico

Finora, Private Processing serviva a compiti puntuali, come riassumere un messaggio. Meta annuncia che l'IA degli occhiali diventerà sempre più stateful, multimodale e agentica, capace di agire per conto dell'utente da una sessione all'altra.

Questo complica i confini di fiducia: un agente che detiene uno stato sensibile richiede isolamento rigoroso, provenienza verificabile dei dati e comunicazione attestata tra CVM. Meta presenta Private Processing come la base per questi futuri utilizzi.