Brave: Leo cifra i prompt end-to-end e li elabora in un TEE verificato
Brave ha attivato la crittografia end-to-end in Leo, l’assistente AI del suo browser. Secondo l’annuncio pubblicato da Brave il 15 ottobre 2026, le conversazioni con il modello open-weight GLM 5.3 Flash vengono cifrate sul dispositivo e possono essere decifrate solo da un ambiente di esecuzione fidato (TEE) che abbia superato un’attestazione hardware. La novità è disponibile in Brave Release, Beta e Nightly.
Cosa cambia in Leo con GLM 5.3 Flash
Il modello è GLM 5.3 Flash, che Z.ai ha rilasciato con pesi aperti e licenza MIT nell’agosto 2026. Gira in un’enclave hardware basata su Nvidia gestito da NEAR AI, un operatore indipendente. Brave precisa che la cifratura riguarda ogni prompt e le pagine condivise con Leo.
L’isolamento hardware, spiega Brave, protegge prompt e risposte da chi gestisce l’infrastruttura, compresi Brave e NEAR AI. Z.ai, che ha creato il modello, non vede le conversazioni. L’attestazione serve anche a dimostrare quale modello sta rispondendo, così da escludere la sostituzione con uno più economico.
Secondo Brave la cronologia resta sul dispositivo e non esiste una copia leggibile delle chat che si possa usare per l’addestramento, consegnare a un tribunale o perdere in una fuga di dati. Leo offre anche altri modelli open-weight ospitati da Brave (Qwen, DeepSeek, Kimi, Mistral e Nemotron di Nvidia), ma la pagina parla di cifratura end-to-end solo per GLM 5.3 Flash.
Come viaggia il prompt: cifratura con Oblivious HTTP
Il browser usa Oblivious HTTP (OHTTP), standard IETF, appoggiandosi al supporto OHTTP già presente in Chromium. Sotto, OHTTP si basa su HPKE (RFC 9180). I passaggi descritti da Brave:
- per ogni richiesta il browser genera una chiave X25519 effimera e fa uno scambio ECDH con la chiave pubblica del TEE;
- HKDF-SHA256 ricava dal segreto condiviso una chiave simmetrica, con cui l’intera richiesta viene cifrata in AES-128-GCM;
- le risposte tornano cifrate, in streaming, con una chiave derivata dallo stesso scambio, quindi solo il browser può leggerle;
- a ogni turno il browser genera una nuova chiave monouso e ricifra tutta la cronologia della conversazione.
Il relay che nasconde l’indirizzo IP
La cifratura nasconde cosa si dice, non da dove arriva la richiesta. Per questo Brave divide i ruoli: il Brave AI Gateway, open source, fa da relay OHTTP, mentre il gateway che decifra sta dentro il TEE di NEAR AI. Brave ammette che il nome «Brave AI Gateway» è fuorviante.
Il relay vede l’IP perché inoltra il messaggio, ma non può leggerlo. Toglie l’indirizzo e passa il testo cifrato al TEE con l’account di Brave, quindi a NEAR AI ogni richiesta sembra arrivare da Brave. Secondo l’azienda, né il TEE né Brave Search vedono mai l’IP dell’utente.
Il TEE deve dimostrare cosa esegue prima di ricevere i dati
La chiave pubblica del TEE arriva al browser solo dopo la verifica dell’attestazione. Se il controllo fallisce, Brave non consegna la chiave né inoltra il messaggio. Un «oracolo di verifica» controlla ogni deployment dei TEE di NEAR AI:
- la firma Intel sul quote TDX, per provare che la CPU enclave è hardware Intel TDX reale;
- l’attestazione delle GPU tramite il Remote Attestation Service di Nvidia;
- la corrispondenza fra il modello richiesto e quello attestato, e il legame delle chiavi di firma con l’attestazione hardware;
- per le immagini software scritte da NEAR, una provenienza di build firmata, registrata in un log di trasparenza pubblico e riferita al commit sorgente rivisto da Brave: l’oracolo le ricompila e confronta il risultato con ciò che gira;
- per il runtime del modello di terze parti, che non viene ricompilato, un log di deployment attestato dall’hardware.
Il gateway riverifica prima di ogni messaggio, usando una verifica vecchia al massimo un’ora. Brave dichiara pubblici il protocollo, il relay, il verificatore, i pesi del modello e il codice di NEAR AI eseguito nei TEE; la chiave privata del TEE non ne esce mai.
Da novembre 2025 a oggi, e cosa manca ancora
Brave aveva già portato Leo nei TEE di NEAR AI a novembre 2025. Allora però le richieste passavano dai server dell’azienda, con protezioni affidate a policy (cifratura in transito, nessun log, scarto dopo la risposta), e anche la verifica dell’etichetta verde dipendeva dalla fiducia in Brave.
Con questa versione Brave pubblica il codice di ogni fase della pipeline, compreso il Brave AI Gateway, e rende la verifica crittografica. Secondo l’azienda, nemmeno Brave, che gestisce il verificatore, può ora leggere ciò che l’utente invia.
Resta un passaggio di fiducia: per ora il browser si affida al gateway per controllare il TEE. Brave prevede che in futuro il browser verifichi ogni chiave su una lista firmata delle approvazioni dell’oracolo e, dopo, controlli direttamente l’attestazione hardware, senza più bisogno di un server Brave che garantisca per il TEE.
