「我承诺不偷看」已经不够用了：Brave 给 Leo 加上端到端加密和可验证机密计算，连自己都看不到你聊了什么

浏览器里和 AI 聊天，你的 prompt 到底被谁看过？2026 年 10 月 15 日，Brave 在官方博客宣布：Leo 助手里选择 open-weight 的 GLM 5.3 Flash 时，对话将受到端到端加密和硬件机密计算的双重保护——浏览器先在你的设备上用 Oblivious HTTP（OHTTP）把 prompt 加密，只有通过验证的可信执行环境（TEE）才能解密并跑推理。Brave 的口号可以总结成一句话：从"我承诺不偷看"，升级到"你根本不需要相信我"。

先看请求走完的完整链路，一共四站：你的设备 → Brave 的开源 AI Gateway → NEAR AI 运营的 Nvidia 硬件 enclave → 回答返回。浏览器在设备端用 OHTTP 加密 prompt，然后交给 Brave 开源的 AI Gateway 做中继——这一步的作用是把你的 IP 地址对 AI 服务商（NEAR AI）隐藏起来；最后在 NEAR AI 运营的 Nvidia 硬件 enclave 里解密、跑推理。硬件隔离的保证是：Brave、NEAR AI、云主机商，三方都看不到明文。

Brave Leo 的新请求链路：设备端 OHTTP 加密 → Brave 开源 AI Gateway（对 NEAR AI 隐藏用户 IP）→ 通过 attestation 验证的 TEE 解密推理 → 回答返回。Brave、NEAR AI、云主机商都看不到明文。

链路里最精妙的一步发生在加密之前：先验 attestation，再放行密钥。TEE 必须先出示硬件签名的 attestation（远程证明），浏览器验证两件事——安全硬件是真的、以及里面跑的模型和公开可审计的代码没有被篡改；验证通过，浏览器才把加密密钥放行。换句话说，浏览器不是在"相信"某个服务器，而是在放行密钥之前先查了对方的"身份证 + 体检报告"。这个机制还有个附带好处：它能证明回答你的确实是你选的模型，防止服务商把模型悄悄换成更便宜的版本——模型偷换这件事，从回答里是检测不出来的。

为什么 Brave 要大费周章做这个？博客用"5 件坏事"论证了"承诺式隐私"为什么不够用，每一件都是真实发生过的案例：

• 被拿去训练下一代模型。你以为是私聊，其实进了训练集。
• 法院传票。NYT 诉 OpenAI 案里，2,000 万条聊天记录被要求交出——数据在人家手里，传票一到就得交。
• bug 和裸奔的数据库。2026 年 1 月，"Chat & Ask AI" 泄露了 3 亿条消息——不是被黑，是数据库本身就没穿衣服。
• 分享链接被搜索引擎索引。Grok 的 37 万段对话因为分享链接被搜索引擎收录，变成了公开网页。
• 模型被悄悄替换。NeurIPS 2025 的研究显示：服务商把模型换成更便宜的版本，用户从回答里根本检测不出来。

这五件事的共同点是：它们都发生在"承诺"的管辖范围之外。承诺"不拿去训练"挡不住传票，承诺"用完即弃"挡不住数据库配置错误，承诺"这是 GPT-几"挡不住悄悄换模型。Brave 的论点是：隐私如果只能靠承诺和政策维持，那它本质上是一个信任问题；而信任是会破产的。把保护做进密码学和硬件里，问题就从"信不信我"变成了"验不验得过"。

「承诺式隐私」vs「可验证隐私」：5 件坏事在旧模式下分别靠承诺、政策、运气、默认设置和信任来防；新链路下，每一件都被具体的密码学或硬件机制挡住。

和 2025 年 11 月的第一版对比，进步的幅度才看得清楚。当时 Brave 已经把模型放进 TEE 里跑了，但请求还要经过 Brave 自己的服务器——保护靠的是政策：传输加密、不记日志、用完即弃。也就是说，旧版是"Brave 能看到，但承诺不看"；而这次，连 Brave 自己都看不到了。而且全链路代码开源、可验证——"可验证"三个字是这次升级的题眼：attestation 的验证逻辑、Gateway 的中继代码，都是公开可审计的。

可用性方面：Brave Release、Beta、Nightly 三个版本都已上线，条件是在 Leo 里选择 GLM 5.3 Flash——这是 Z.ai 在 2026 年 8 月以 MIT 协议开源权重的模型。对话历史只存在用户设备上；连模型的作者 Z.ai 也看不到对话内容。路线图上，Brave 说下一步是把 attestation 检查做到浏览器内部，并覆盖更多开源权重模型。博客还顺手点名了 OpenAI 上月宣布的 Private Intelligence——按 Brave 的自述，OpenAI 的"私有推理还没来"，Brave 的已经可用。这句是 Brave 的单方面说法，OpenAI 的 Private Intelligence 究竟什么进度，以 OpenAI 官方口径为准。

为什么重要：隐私保护第一次从"信任题"变成了"数学题"

AI 聊天隐私的默认答案，这几年一直是"相信我"：相信服务商不拿数据训练、相信日志真的删了、相信回答你的就是标称的模型。Brave 这次把答案换成了"不用信，验"——OHTTP 加密、硬件签名 attestation、开源可审计的代码，每一层都是可独立验证的。这不是功能升级，是信任模型的替换：从"机构信用"换成"密码学 + 硬件证明"。一旦这个范式被用户接受，所有还在说"相信我"的竞品都会显得过时。

第二层意义在"5 件坏事"的论证方法上。Brave 没有空谈"我们更重视隐私"，而是把过去几年真实发生的隐私事故一件件摆出来，说明每一件为什么是"承诺"防不住的。这种论证方式本身就在重新定义问题：隐私事故的根因不是"某家公司变坏了"，而是"架构上它本来就能看到"。能看到，就有可能被传票、被 bug、被内部人利用；看不到，这些风险在源头就不存在。"最小化信任"不是道德要求，是架构要求。

第三层是浏览器这个位置的特殊性。浏览器是用户设备上离 prompt 最近的一环——加密越早发生，暴露面越小。Brave 把加密放在设备端、把 attestation 验证放在放行密钥之前，等于把信任边界推到了用户手里。这和 Apple 的 Private Cloud Compute、Signal 的 sealed sender 是同一条思路：敏感计算离用户越近，服务商作恶的空间越小。浏览器厂商做这件事，比云厂商做更有说服力，因为浏览器本来就站在用户这边。

第四层要泼点冷水：这个保护目前只覆盖"在 Leo 里选 GLM 5.3 Flash"这一种组合。换句话说，最强隐私保护和最强模型目前是互斥的——你想要端到端加密，就得接受 open-weight 模型的回答质量；你想要最强的模型，就得回到"相信我"模式。Brave 的路线图说会覆盖更多开源权重模型，但闭源前沿模型愿不愿意进 TEE、进 attestation 体系，是另一个问题。隐私和能力之间的这个 trade-off，短期内不会消失。

判断区：事实与观点分开标

以下进入判断区，事实和观点分开标。

判断一（观点）：「可验证」是比「端到端加密」更重要的关键词。端到端加密解决的是"传输和存储中谁能看到"，attestation 解决的是"对端到底是谁"。没有 attestation 的 E2EE，你只是在和"某个自称是 TEE 的服务器"加密通话——而 attestation 把"对方身份"也变成了可验证的事实。这次升级真正的增量不在加密，在验证。事实依据：先验 attestation、验证通过才放行密钥的流程是博客原文明确描述的。

判断二（观点＋事实）：「5 件坏事」的论证方法值得所有隐私产品抄。用真实事故（NYT 传票 2,000 万条、3 亿条泄露、37 万对话被索引）逐个说明"承诺为什么防不住"，比任何隐私政策都有说服力（观点）。这五件案例都是公开报道过的真实事件，不是 Brave 编的（事实）。它把隐私讨论从"信不信"拉回到"能不能"，这是话语权的转移。

判断三（观点）：Brave 点名 OpenAI Private Intelligence 是阳谋。博客明确写了 OpenAI 上月的 Private Intelligence"私有推理还没来"、Brave 的已经可用——这是 Brave 的单方面说法（已在正文标注）。但策略意图很清楚：把"可验证隐私"变成浏览器 AI 助手的标配叙事，逼所有竞品跟进。先定义赛道的人，永远有先发优势。

判断四（观点）：短期最大的限制是"隐私只给 open-weight 模型"。GLM 5.3 Flash 是 MIT 开源权重的模型，attestation 能验证"跑的是公开可审计的代码"——这套逻辑天然要求模型权重和代码公开。闭源前沿模型进不来这个体系，用户就得在"最强能力"和"最强隐私"之间二选一。Brave 说未来覆盖更多开源权重模型，但没说闭源模型怎么办。这个 trade-off 会是未来一年浏览器 AI 助手竞争的主战场之一。

判断五（观点）：对话历史只存设备，是容易被低估的一步。云端 AI 助手最大的隐私风险敞口其实是"历史记录"——传票要的是它、泄露的是它、训练用的也是它。Brave 把历史记录留在设备端，等于把最大的那块风险直接从架构里拿掉了。这个设计比加密链路本身更值得抄，因为它不依赖任何新密码学，今天就能做。

还有什么没说

• 性能开销没提。OHTTP 加密、attestation 验证、TEE 内推理——这一套下来，首 token 延迟增加了多少？博客一个字没说。隐私的代价如果是"明显变慢"，用户会用脚投票。
• TEE 的信任根问题。attestation 验证的是"硬件签名"，但硬件本身（Nvidia enclave）是否可信、是否存在后门，仍然是一个需要信任硬件厂商的问题。Brave 把信任从"我"转移到了"硬件"，但信任并没有消失，只是搬家了。
• NEAR AI 的角色细节不明。NEAR AI 运营 enclave，但"运营"具体包括什么权限？它能不能更新 enclave 里的代码？更新流程是否同样经过 attestation？博客没展开。
• GLM 5.3 Flash 的能力边界。作为 MIT 开源权重的模型，它和 Leo 默认模型的能力差距有多大？为隐私付出的能力代价具体是多少？博客没给对比。
• "已上线"的验证。Release/Beta/Nightly 三个版本都已上线是博客的说法，实际推送进度、地区差异，需要用户自己验证。
• 对 OpenAI Private Intelligence 的点名是 Brave 单方面说法。OpenAI 那边的实际进度，以 OpenAI 官方口径为准，不要当成事实引用。

相关阅读：Cursor SDK 给 agent 装上「方向盘」：后台 subagent 运行中可 steer 转向——agent 获得更多能力的同时，另一面是用户数据流向哪里：Brave 这篇回答的是"你的 prompt 只去你验证过的地方"；groundcover 上线 agent-to-agent 可观测性，MCP 直通生产遥测——可观测性要求"一切可见"，隐私要求" selectivley 不可见"，两者在 agent 时代的张力值得单独写一篇。

一句话总结：Brave 给 Leo 加上的不只是一层加密，而是一整套"不用信任我"的验证体系——设备端 OHTTP 加密、开源 Gateway 隐藏 IP、硬件签名 attestation 先验后放行，让"5 件坏事"在架构层面就发生不了；代价是目前只有选 open-weight 模型才能享受，而"最强能力 vs 最强隐私"的二选一，短期内还不会消失。