Recall (AI Timeline) в Windows 11 — отключение и безопасность

Что такое Recall (AI Timeline) в Windows 11?

Recall (AI Timeline) — это функция, появившаяся в обновлении Windows 11 May 2024 (обновление 24H2) для устройств с маркировкой Copilot+. Она периодически делает снимки экрана и другие «фотографические» снимки действий пользователя. Recall использует локальные ресурсы устройства, включая NPU (Neural Processing Unit), для индексации и поиска этих снимков без постоянного обращения в облако.

Краткое определение: Recall — локальный журнал экранных снимков с функцией поиска по визуальным данным.

Минимальные аппаратные требования, при которых Microsoft активировала Recall на момент релиза:

• Windows 11 Copilot+ PC
• 16 ГБ оперативной памяти
• 8 логических ядер процессора
• 256 ГБ ёмкости накопителя
• Для включения Recall требуется минимум 50 ГБ свободного места
• Автосохранение снимков приостанавливается, если на устройстве становится меньше 25 ГБ свободного места

Эти требования важны: функция создаёт большое количество изображений и индексных данных, поэтому без свободного пространства она либо не включится, либо быстро заполнит диск.

Почему Recall вызывает опасения по приватности

• Recall сохраняет скриншоты с экраном и делает их поиско-совместимыми. Это значит: пароли, одноразовые коды (OTP), номера карт или другие чувствительные элементы могут оказаться в снимках.
• Данные хранятся локально и по умолчанию защищаются шифрованием, но ключ расшифровывается при входе в систему. Если злоумышленник или посторонний пользователь получает доступ к входу в систему, он может просмотреть снимки.
• Без включённого шифрования диска (BitLocker на Pro/Enterprise или Device Encryption на Home) любые локальные файлы доступны при физическом доступе к диску.
• Функция автоматически не ограничивает захват конфиденциального ввода (например, поля ввода пароля). В некоторых сценариях Recall может сохранить куски ввода до момента, пока введённый текст не будет скрыт.

Важно: функция не требует постоянного интернета для работы, но это не делает её менее рискованной — именно локальное хранение делает утечки возможными при доступе к устройству.

Кто должен, а кто не должен использовать Recall

Когда стоит рассмотреть использование Recall:

• Вы регулярно теряете контекст рабочих сеансов и часто ищете недавно открытые документы или сайты.
• Вы работаете с большим объёмом визуальной информации и хотите быстро находить элементы по изображению.
• Устройство защищено корпоративными политиками и шифрованием, и доступ к нему строго контролируют.

Когда лучше не использовать Recall:

• Если вы храните или вводите чувствительные данные (банковские реквизиты, пароли, коды 2FA) и не готовы обеспечить полноценное шифрование диска.
• Если устройство используется несколькими людьми без отдельной учётной записи для каждого.
• Если вы часто оставляете компьютер без присмотра и у вас нет надёжных мер физической безопасности.

Плюсы функции:

• Быстрый поиск по недавним действиям (файлы, сайты, сообщения).
• Не требует интернета — поиск происходит локально.
• Удобный интерфейс, интеграция с экосистемой Copilot+.

Минусы:

• Высокие требования к дисковому пространству.
• Повышенный риск утечки приватных данных при отсутствии шифрования.
• Отсутствие встроенной дополнительной аутентификации при просмотре снимков (по умолчанию).

Как включить Recall (коротко)

1. Нажмите Win + I, чтобы открыть Параметры (Settings).
2. Перейдите в «Конфиденциальность и безопасность (Privacy & Security)» → «Recall и снимки (Recall & snapshots)».
3. Включите переключатель «Сохранять снимки (Save snapshots)».

Если вы решите включить функцию, убедитесь, что свободного места на диске как минимум 50 ГБ.

Как полностью отключить Recall — пошаговые инструкции

Ниже приведены три распространённых метода: через Параметры, через Редактор реестра и через Групповые политики. Все шаги описаны простым языком. Сохраняйте резервные копии важных данных перед внесением изменений.

1) Отключение через Параметры (рекомендуется для домашних пользователей)

1. Нажмите клавиши Win + I, чтобы открыть Параметры (Settings), или правой кнопкой по кнопке Пуск → Параметры.
2. В меню слева выберите «Конфиденциальность и безопасность (Privacy & Security)».
3. Нажмите «Recall и снимки (Recall & snapshots)».
4. Переключите «Сохранять снимки (Save snapshots)» в положение Выключено.
5. Нажмите «Удалить снимки (Delete snapshots)» и выберите период, затем «Удалить всё (Delete all)», чтобы стереть уже сохранённые данные.

Примечание: если вы хотите временно приостановить запись, используйте опцию «Приостановить до завтра (Pause until tomorrow)» в меню Recall на панели задач.

2) Отключение через реестр (подходит для опытных пользователей)

Важное примечание: Неправильные изменения в реестре могут сделать систему нестабильной. Создайте резервную копию реестра и полную резервную копию системного раздела перед изменениями.

1. Откройте Пуск → введите “regedit” → запустите редактор реестра от имени администратора.
2. Перейдите по пути:

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsAI

3. Если ключа WindowsAI нет — создайте его.
4. Выделите ключ WindowsAI, щёлкните правой кнопкой → Новый → DWORD (32-разрядный). Назовите его DisableAIDataAnalysis.
5. Дважды щёлкните по DisableAIDataAnalysis и установите значение 1.
6. Закройте редактор реестра и перезагрузите компьютер.

После перезагрузки функция должна быть отключена. Откройте Параметры → Конфиденциальность и безопасность → Recall и снимки и нажмите «Удалить всё», чтобы стереть существующие снимки.

3) Отключение через Групповую политику (для Pro / Enterprise / Education)

1. Откройте «Редактор локальной групповой политики» (gpedit.msc) от имени администратора.
2. Перейдите:

User Configuration > Administrative Templates > Windows Components > Windows AI

3. Найдите политику «Выключить сохранение снимков Windows (Turn off saving snapshots of Windows)».
4. Откройте политику и выберите «Включено (Enabled)». Нажмите «Применить» и «ОК».
5. Перезагрузите компьютер.

Это гарантирует, что политика будет применена ко всем пользователям на машине.

Удаление и проверка: как убедиться, что всё удалено

1. После отключения через любой из методов зайдите в Параметры → Конфиденциальность и безопасность → Recall и снимки.
2. Нажмите «Удалить снимки» → выберите «Всё время» → «Удалить всё».
3. Проверьте место на диске и индексирование: посмотрите, не осталось ли папок или файлов, связанных с Recall, в следующих местах (путь и имена могут отличаться):
   • %LOCALAPPDATA%\Microsoft\Recall
   • %LOCALAPPDATA%\Packages\ (проверьте пакеты, связанные с Copilot/Recall)
4. Если вы используете инструменты резервного копирования или сторонние индексы, убедитесь, что они не сохранили снимки отдельно.

План действий при утечке данных (Incident runbook)

1. Немедленно отключите функцию Recall (см. секции выше).
2. Удалите все снимки через Параметры или вручную из рабочих папок.
3. Если есть подозрение на несанкционированный доступ — отмонтируйте устройство из сети и прекратите резервное копирование.
4. Проанализируйте журналы доступа (Event Viewer) на предмет входов и копирований.
5. Смените пароли и отозовите сессии в аккаунтах, где могли появиться утечки (электронная почта, банки, облачные сервисы).
6. Если данные чувствительные — уведомите соответствующие стейкхолдеры и, при необходимости, регуляторов (смотри раздел про GDPR).
7. Проведите полную проверку целостности системы и восстановление из безопасной резервной копии.

Критерии приёмки после инцидента:

• Recall выключен и политика отключения подтверждена в реестре/GP.
• Все снимки удалены и не подлежат восстановлению из локальных резервных копий.
• Права доступа к устройству усилены (шифрование, MFA, отдельные учётные записи).
• Проведён аудит доступа и задокументированы меры предотвращения.

Риск-матрица и меры смягчения

Меры смягчения (конкретные):

• Включите BitLocker (Pro/Enterprise) или Device Encryption (Home).
• Настройте отдельные учётные записи для разных пользователей.
• Ограничьте права администратора и используйте учётные записи с ограниченными правами для повседневной работы.
• Внедрите процедуру регулярной очистки и удаления старых снимков.

Рекомендации по безопасности и жёсткой конфигурации

1. Включите шифрование диска:
   • Для Windows Pro/Enterprise: BitLocker.
   • Для Windows Home: Device Encryption (если доступно) или стороннее шифрование контейнеров.
2. Используйте Надёжные пароли и менеджер паролей.
3. Включите блокировку экрана и автоматическую блокировку при неактивности.
4. Ограничьте физический доступ к устройству.
5. Регулярно создавайте зашифрованные резервные копии и храните их отдельно.
6. Для корпоративных устройств управляйте настройками через MDM (Intune) и групповые политики.

Альтернативные подходы — как получить преимущества Recall без риска

• Используйте инструменты истории версий в приложениях (Google Docs, Office AutoSave) вместо снимков экрана.
• Включите журналы активности внутри приложений с контролем доступа и аудита.
• Используйте специализированные инструменты заметок с синхронизацией и шифрованием.
• Организуйте рабочие процессы так, чтобы ключевые данные хранились в контролируемых папках с отдельным шифрованием.

Проверка и тест-кейсы (когда считать задачу выполненной)

1. Функция Recall отключена в Параметрах и значение DisableAIDataAnalysis=1 присутствует в реестре.
2. Политика «Turn off saving snapshots of Windows» установлена в GP, если применяется.
3. После удаления снимков на устройстве не осталось файлов Recall, и место на диске возвращено.
4. Попытка доступа к ранее сохранённым снимкам без учётной записи или без расшифровки невозможна.
5. Произведён аудит доступа и получены логи о любых подозрительных входах за последние 30 дней.

Примеры тест-кейсов:

• Тест 1: Включить Recall, сделать несколько действий, выключить через Параметры, удалить снимки, проверить отсутствие снимков.
• Тест 2: Установить DisableAIDataAnalysis в реестре, перезагрузить, проверить, что всплывающие сервисы Recall не запускаются.
• Тест 3: Применить GP-политику на дочерних машинах и проверить результат в gpresult /h report.html.

Ролевые чек-листы

Администратор (ИТ):

• Проверить политики на всех корпоративных устройствах.
• Включить BitLocker на корпоративных устройствах.
• Развернуть MDM-профили с отключением Recall.
• Уведомить сотрудников и провести обучение.

Домашний пользователь:

• Отключить Recall через Параметры.
• Включить шифрование устройства, если доступно.
• Удалить старые снимки и проверить резервные копии.

Специалист по безопасности:

• Провести аудит мест хранения снимков.
• Оценить риски хранения снимков в резервных копиях.
• Настроить мониторинг несанкционированного доступа.

Краткая методика принятия решения (минимальная)

1. Оцените уровень чувствительности информации на устройстве.
2. Проверьте, доступно ли шифрование диска.
3. Если уровень чувствительности высокий и шифрование отсутствует — отключите Recall.
4. Если шифрование настроено и контроль доступа строгий — оцените пользу функции и при необходимости оставьте включённой.

Факто-бокс: ключевые моменты

• Требования: минимум 16 ГБ RAM и 8 логических ядер.
• Минимум 50 ГБ свободного места для включения.
• Снимки приостанавливаются при недостатке места (<25 ГБ).
• Данные хранятся локально и индексируются NPU.

Короткая сводка для объявления сотрудникам (100–200 слов)

Recall (AI Timeline) автоматически делает снимки экрана и индексирует ваши действия. Это может помочь восстановить рабочий контекст, но несёт риски для конфиденциальности, если устройство не зашифровано или к нему имеют доступ посторонние лица. Рекомендуемая практика: для корпоративных машин — отключить Recall через групповые политики и включить BitLocker; для домашних — отключить через Параметры и включить шифрование устройства. Обязательно удалите все существующие снимки и проверьте резервные копии.

Короткая справка: понятия одним предложением

• NPU: аппаратный ускоритель нейронных сетей для локальной обработки визуальных данных.
• BitLocker: встроенное средство шифрования дисков в Windows Pro/Enterprise.
• Device Encryption: упрощённое шифрование для некоторых устройств Windows Home.

Частые вопросы и ответы (коротко)

• Вопрос: Где хранятся снимки Recall? Ответ: Локально в профиле пользователя и в системных каталогах приложения Recall.
• Вопрос: Можно ли восстановить удалённые снимки? Ответ: Если их удалили корректно и резервных копий нет — восстановление затруднено; сторонние бэкапы могут содержать копии.
• Вопрос: Доступно ли Recall без интернета? Ответ: Да, функция индексирует данные локально.

Итог

Recall даёт удобный способ восстановить рабочий контекст. Но по соображениям безопасности и конфиденциальности функция требует внимательной настройки. Самые важные шаги — отключить Recall, если вы не доверяете физическому доступу к устройству, включить шифрование диска и удалить уже сохранённые снимки. В корпоративной среде централизованное управление через MDM/GP и BitLocker — обязательное требование.

Важно: если вы работаете с чувствительными данными, оценивайте риск до включения функций, которые фотографируют и индексируют экран.