你在电脑上让 AI 帮忙组装家具，出门后换到手机，却得从头解释做到哪一步。要让助手真正“认识你”，它必须记住过去；可一旦把这些记忆长期放进云端，谁能读取、如何保护，就成了更棘手的问题。Google DeepMind 公布了一套拟用于 Private AI Compute 的方案：让 AI 在不同设备和会话之间保留记忆，同时尽量沿用端侧处理的隐私原则。需要先说明的是，目前信息主要来自 Google 官方博客和技术材料，相关能力仍以未来时态描述，尚不能视为已经上线。
把记忆锁进云端保险箱
Private AI Compute 是 Google 试图兼顾两件事的架构：一边使用云端大模型所需的算力，一边让敏感数据获得接近本机处理的保护。过去，端侧处理通常被视为更稳妥的办法，因为原始数据尽量留在手机或电脑里。但能力更强的模型往往需要云端资源，长期个性化也不能只依赖某一台设备的本地存储。
Google 现在提出增加“服务端持久记忆”——由云端长期保存用户偏好、信息或交互上下文，让助手换设备、隔一段时间后仍能接着工作。
按 Google DeepMind 的说明，这些信息将存放在云端专用的加密存储中，解密所需的密钥则只保存在用户的个人设备上。可以把它理解为：保险箱放在云端，但钥匙留在你的手机或电脑里。
AI需要用记忆时，会发生什么？
当模型需要读取过去的信息，设备将通过经过认证的端到端加密通道，连接云端受保护的 secure enclave。Secure enclave，即“安全隔离环境”或“可信执行环境”，是一套把敏感计算与云平台其他软件隔开的硬件和系统机制，让运营方更难直接查看处理中数据。
数据进入后，会在隔离内存中被临时解密。系统处理当前请求，写入新产生的上下文，随后立即重新加密。也就是说，数据确实离开设备并进入云端，而且处理时会短暂以明文存在；“像从未离开设备一样安全”是 Google 描述的设计目标，不是说数据真的没有离开设备。
跨设备记忆由此成为可能。Google 给出的例子是：用户先通过智能眼镜查看组装说明，之后在笔记本电脑上继续；或者把手机端的一段复杂对话接到网页端，而不必重新交代全部背景。
真正的变化，是从“算完即忘”到长期保存
Google 称，Private AI Compute 此前采用无状态设计：一次任务结束，相关上下文随即清除。官方还把这一判断扩展到业内类似方案，但没有列出具体对象，因此不宜直接概括整个行业。
无状态系统容易解释隐私边界，却很难成为连续的个人助手。另一种折中办法，是只让 AI 保存一张用户事实和偏好清单，但 Google 认为，这不足以支持更丰富、持续的协助。新方案改变的关键不是单次计算如何隔离，而是如何让记忆在任务结束后仍可保存，又不把普通访问权限交给云服务商。
这也延续了 Google 更早的隐私计算路线。据 Google Research 和 Google DeepMind，Android 12 在 2021 年引入 Private Compute Core，用于隔离 Live Caption、Now Playing 等会接触敏感数据的功能；后来，类似的硬件隔离思路被扩展到数据中心。如今再增加持久记忆，相当于让原本“用完即清空”的私密云计算开始记住用户。
为什么值得关注？
个人 AI 最有价值的地方，往往也是最敏感的地方。它记得越多，就越能减少重复说明，理解用户长期习惯；但保存时间越长，泄露、误用和越权访问的风险也越值得追问。Google 的方案正面处理了这组矛盾：把大模型计算和记忆放到云端，同时把密钥控制留在个人设备，并用隔离环境限制数据暴露。
官方还表示，将发布不可篡改的服务器软件公开记录。设备在发送个人数据前，可据此验证服务器软件是否真实且未被修改。Google 也称将更新技术方法，并公布一家网络安全公司的独立审计结果，邀请隐私研究者检查其系统架构、安全证明与验证协议。这些材料会比“私密 by design”一类口号更有判断价值。
局限与未知
- Google 尚未披露发布日期、适用产品、部署范围、性能指标或正式开放时间。
- “包括 Google 在内的任何其他主体都无法访问”是官方的绝对化表述。现有材料没有充分说明威胁模型、密钥恢复机制、代码开放程度等关键细节，仍需结合完整技术文件与独立审计判断。
- 持久记忆如何让用户查看、修改和删除，以及设备丢失或更换后如何处理密钥，博客摘要均未交代。