Brave представила новую систему защиты переписки с ИИ-помощником Leo, которая, по заявлению разработчиков, не позволяет даже самой компании читать пользовательские запросы. Сообщения шифруются прямо в браузере, а нейросеть обрабатывает их внутри аппаратно защищённой среды.
Новая архитектура доступна пользователям стабильной, бета-версии и Nightly браузера Brave. Для защищённого общения нужно выбрать в Leo модель GLM 5.3 Flash, разработанную китайской компанией Z.ai. Режим пока имеет статус бета-версии, а поддержка других моделей и дополнительных функций помощника появится позднее.
Главное отличие от обычных облачных чат-ботов заключается в том, кто получает доступ к содержимому переписки. Как утверждает Brave, ни оператор браузера, ни поставщик вычислительных мощностей NEAR AI, ни владелец облачных серверов не могут прочитать сообщения пользователей. Нейросеть получает открытый текст только внутри изолированной вычислительной среды, защищённой аппаратными механизмами.
Перед отправкой запроса браузер получает криптографический ключ, связанный с доверенной средой исполнения TEE (Trusted Execution Environment). Такая среда изолирует вычисления и память от остальной системы, включая программное обеспечение администратора сервера. Сначала специальный механизм проверяет подлинность оборудования и запущенного программного кода, после чего разрешает использовать ключ для шифрования.
Для передачи сообщений Brave применяет протокол Oblivious HTTP (OHTTP), который разделяет сетевой адрес отправителя и содержимое запроса. Браузер шифрует текст и отправляет его через промежуточный шлюз Brave AI Gateway. Шлюз видит IP-адрес пользователя, но не может расшифровать сообщение. Перед отправкой в NEAR AI система убирает исходный IP-адрес, поэтому вычислительная инфраструктура не получает прямой сетевой идентификатор собеседника.
После доставки зашифрованного сообщения защищённая среда расшифровывает запрос и передаёт его модели GLM 5.3 Flash. Ответ шифруется внутри той же среды и возвращается в браузер, где пользователь получает обычный текст. При каждом новом обращении браузер создаёт временную пару криптографических ключей и заново шифрует всю историю диалога, необходимую модели для продолжения разговора.
В основе механизма лежит Hybrid Public Key Encryption (HPKE), стандартизованный в RFC 9180. Для согласования общего секрета применяется алгоритм X25519, для получения симметричного ключа используется HKDF-SHA256, а содержимое запроса защищает AES-128-GCM. Последний механизм позволяет не только скрыть переписку от посторонних, но и обнаружить попытку незаметно изменить зашифрованные данные при передаче.
Вычислительная инфраструктура сочетает Intel Trust Domain Extensions (TDX) и Nvidia Confidential Computing. Процессоры Intel изолируют память виртуальной машины от администратора хост-системы, а защищённые графические ускорители Nvidia выполняют вычисления нейросети без обычного доступа оператора к обрабатываемым данным. Передача информации между процессорами и видеоускорителями также защищена шифрованием.
За проверку доверенной среды отвечает отдельный механизм аттестации. Система проверяет аппаратные свидетельства Intel и Nvidia, сопоставляет работающий код с проверенными исходниками и учитывает сведения о сборках программного обеспечения. Разработчики опубликовали компоненты инфраструктуры, чтобы независимые специалисты могли изучать реализацию криптографической защиты и процедуры проверки.
Защищённый режим сохраняет возможность искать информацию в интернете. GLM 5.3 Flash обращается к Brave Search API непосредственно из доверенной среды и получает релевантные фрагменты веб-страниц через интерфейс LLM Context. По утверждению Brave, исходный текст беседы при таком поиске не раскрывается, а поисковые запросы отправляются с вычислительного сервера, а не с IP-адреса пользователя.
Brave также утверждает, что не хранит переписку на собственных серверах или в инфраструктуре NEAR AI. История разговоров остаётся на устройстве пользователя. Для обращения к Leo не требуется учётная запись, а платные подписки проверяются с помощью токенов, которые не должны связывать платёжные сведения с содержимым диалогов.
Однако разработчики пока не завершили всю систему независимой проверки. Сейчас аппаратную аттестацию выполняет инфраструктура Brave, а не непосредственно браузер пользователя. В дальнейшем компания намерена перенести проверку на клиентское устройство и опубликовать журнал криптографических ключей доверенных сред. Такой механизм позволит убедиться, что разным пользователям предоставляют одинаковые проверенные ключи.
Остаётся и другой вопрос. Текущая аттестация подтверждает подлинность оборудования и проверенного программного окружения, но пока не доказывает криптографически, какие именно веса нейросети загружены в память. Brave планирует добавить проверку весов модели, включая соответствие оптимизированных версий оригинальной GLM 5.3 Flash. До завершения работы полностью исключить незаметную подмену модели средствами новой архитектуры нельзя.
Защита также зависит от безопасности процессоров, видеоускорителей и механизмов аттестации. Исследование TEE.fail, опубликованное в октябре 2025 года, показало возможность атак на аппаратно изолированные среды Intel, AMD и Nvidia при наличии физического доступа к оборудованию и дополнительных условий. Результаты не доказывают уязвимость реализации Brave, но напоминают, что аппаратная изоляция не гарантирует абсолютной безопасности.
Brave начала экспериментировать с конфиденциальными вычислениями для Leo ещё в ноябре 2025 года. Нынешний запуск расширяет первоначальную архитектуру полноценным сквозным шифрованием, разделением сетевых идентификаторов и содержимого запросов, а также публикацией кода для независимого аудита. Для облачных ИИ-сервисов такой подход меняет привычную модель доверия, поскольку оператору больше не требуется предоставлять техническую возможность читать пользовательские диалоги.
Похожие способы защиты облачных вычислений развивают Apple, Google, Microsoft, Amazon и Nvidia. Однако реализация Brave объединяет аппаратную изоляцию, открытые веса нейросети и шифрование запросов непосредственно в браузере. Пока возможности ограничены конкретной моделью, а часть проверок ещё предстоит реализовать. Поэтому заявление о недоступности переписки даже для самой Brave опирается на заявленную архитектуру и работу доверенного оборудования, а не на уже завершённую независимую проверку всех компонентов.
