‏پردازش خصوصی متا میاد روی عینک‌های هوشمند

متا اعلام کرده Private Processing، یعنی همون زیرساخت confidential computing خودش، حالا میاد روی عینک‌های هوشمند. ایدهٔ اصلی اینه که مرز اعتمادِ دستگاه تا دیتاسنتر کشیده بشه: مدل‌های سنگین داخل ماشین‌های مجازی محرمانه یا همون CVM اجرا می‌شن، جوری که حتی خود متا هم به داده دسترسی نداره. متا این سیستم رو ۲۰۲۵ برای واتس‌اپ و اپ Meta AI معرفی کرده بود و حالا همونو به عینک‌ها گسترش داده.

مسئله اینه که داده تا حالا تو دو حالت رمز می‌شد: روی دیسک و موقع انتقال. حالت سوم یعنی «موقع استفاده» همیشه باز بود، چون برای پردازش باید تو حافظه رمزگشایی می‌شد و جلوی چشم سیستم‌عامل میزبان و hypervisor و ادمین قرار می‌گرفت. TEE، یه قابلیت سخت‌افزاری تو بعضی CPU و GPU ها، حافظهٔ اون ماشین مجازی رو با کلیدی رمز می‌کنه که فقط تو خود چیپ می‌مونه. پس حافظهٔ CVM از بیرون فقط متن رمزشده‌ست.

قبل از فرستادن هر داده‌ای، عینک از سرور attestation می‌خواد: یه گواهی امضاشده با کلید سخت‌افزاری که هشِ ایمیج اجراشده رو حمل می‌کنه. دستگاه چک می‌کنه که امضا به کلید ریشهٔ سازندهٔ چیپ برسه و هش با چیزی که تو یه دفترِ فقط-افزودنی و زیر نظر یه ناظر مستقل ثبت شده بخونه. اگه هر کدوم جور در نیاد، هندشیک شکست می‌خوره و هیچ داده‌ای فرستاده نمی‌شه.

متا پنج شرط مهندسی گذاشته: ایزولاسیون سخت‌افزاری، fail-closed بودن، قابلِ راستی‌آزمایی بودن هر ایمیج، non-targetability و استوریج رمزشده. برای non-targetability از credential های ناشناس و بلایند-ساین‌شده استفاده می‌کنه که سرِ زمان‌های تصادفی گرفته می‌شن، و ترافیک از یه رلهٔ OHTTP شخص ثالث (فستلی یا کلادفلر) رد می‌شه تا سرویس احراز هویت نتونه درخواست رو به حساب کاربر وصل کنه.

جالب‌ترین تصمیم معماری اینه که موتور استوریج رو بردن داخل خود TEE. متا می‌گه استوریج رمزشدهٔ بیرونی دو مشکل داره. اول اینکه الگوی دسترسی، یعنی کِی و چند بار و کدوم رکوردها با هم خونده می‌شن، خودش روتین روزانهٔ آدمو لو می‌ده حتی وقتی محتوا رمزه. دوم اینکه کوئری سنگین مثل جستجوی برداری باید حجم زیادی ciphertext رو از شبکه رد کنه و رمزگشایی کنه، و هرچی کانتکست کاربر بزرگ‌تر بشه تأخیر می‌زنه بالا. با گذاشتنِ اجرا و استوریج کنار هم داخل حافظهٔ رمزشده، خوندن‌ها اصلاً از مرز شبکه رد نمی‌شن.

هزینه‌ش اینه که دیباگ عملاً کور می‌شه: نه می‌شه دیباگر به TEE وصل کرد، نه دامپ حافظه گرفت، نه ورودی و خروجی مدل رو لاگ کرد. تیم فقط سیگنال‌های سلامتِ تجمیعی مثل مصرف CPU و حافظه و تأخیر شبکه و نرخ خرابی سخت‌افزار رو می‌بینه. در عوض متا می‌گه باینری‌های CVM رو با قرارداد در اختیار پژوهشگرهای برنامهٔ امنیتیش می‌ذاره و Bug Bounty رو هم به Private Processing روی عینک‌ها گسترش داده.

نکات کلیدی:

• مدل‌ها داخل CVM اجرا می‌شن و حافظه‌شون با کلیدی که فقط تو چیپ می‌مونه رمز می‌شه، پس میزبان و hypervisor و خود متا چیزی نمی‌بینن.
• عینک قبل از اتصال، هش ایمیج سرور رو با یه دفترِ ثبتِ فقط-افزودنی و عمومی مقایسه می‌کنه؛ جور در نیاد، اتصال برقرار نمی‌شه.
• ترافیک از رلهٔ OHTTP فستلی یا کلادفلر با توکن‌های بلایند-ساین‌شده رد می‌شه تا درخواست به حساب کاربر وصل نشه.
• موتور استوریج داخل خود TEE اجرا می‌شه تا الگوی دسترسی لو نره و کوئری برداری از مرز شبکه رد نشه.
• دیباگ فقط با متریک‌های تجمیعیه؛ دامپ حافظه و لاگ ورودی و خروجی مدل ممکن نیست.