Ai đọc được chữ bạn gõ trong chat AI mã hóa của Brave

Tối nay bạn gõ vào chatbot một câu về khoản nợ hoặc một kết quả xét nghiệm. Câu đó nằm trên máy chủ của ai? Trình duyệt Brave vừa trả lời bằng một thiết kế khác: Leo, trợ lý AI trong trình duyệt, mã hóa từng câu hỏi ngay trên máy bạn, và chỉ một vùng cách ly bằng phần cứng ở máy chủ mới giải mã được. Thiết kế này đổi người đọc được chữ của bạn, nhưng vẫn có người đọc. Điều đáng hỏi với mọi dịch vụ hứa “chat riêng tư” là ai đọc, ai chứng minh, và bạn còn phải tin ai.

Mọi mô tả dưới đây là lời của Brave trong bài đăng ngày 15/10/2026; Brave chưa dẫn kiểm định độc lập nào.

Brave nói đã đổi gì

Hồi tháng 11/2025, Brave đã cho mô hình chạy trong một vùng cách ly bằng phần cứng, gọi là TEE (môi trường thực thi tin cậy), nhưng yêu cầu của bạn vẫn đi qua máy chủ của Brave và được bảo vệ bằng chính sách của hãng. Bản mới thay chính sách bằng mật mã: trình duyệt mã hóa mỗi câu hỏi và cả trang bạn chia sẻ với Leo trước khi gửi đi, tới một khóa chỉ tồn tại trong TEE. Trình duyệt chỉ nhận khóa đó sau khi TEE trình ra giấy chứng thực do phần cứng ký, và bộ kiểm tra mã nguồn mở của Brave xác nhận phần cứng là thật, mã đang chạy khớp với mã đã duyệt, và nhật ký triển khai cho biết mô hình đang phục vụ là mô hình bạn chọn.

Ai biết gì, theo bảng của Brave:

Bên	Thấy địa chỉ IP của bạn	Thấy chữ bạn hỏi
Máy chủ trung chuyển của Brave	Có	Không
Cổng của NEAR AI, đối tác chạy mô hình	Không	Có, chỉ bên trong TEE
TEE chạy mô hình	Không	Có, chỉ bên trong TEE

Mô hình là GLM 5.3 Flash, do Z.ai phát hành với trọng số mở, chạy trong máy chủ của NEAR AI trên chip Intel và Nvidia. Brave viết rằng cả Brave lẫn NEAR AI không giữ bản đọc được của các cuộc chat, và lịch sử chat ở lại trên máy bạn. Tính năng có trong Brave bản Release (bản phát hành chính thức), Beta và Nightly (hai bản thử sớm); chọn GLM 5.3 Flash trong Leo để dùng. Brave nói tính năng có cho người dùng Brave ở cả ba kênh này và Leo không cần tài khoản hay đăng nhập; bài đăng không nói riêng về giá.

“Đầu cuối” ở đây là một vùng trong máy chủ

Trong ứng dụng nhắn tin, hai đầu là hai người. Ở đây, đầu bên kia là chương trình chạy trong TEE, và Brave nói thẳng rằng TEE đọc được cuộc trò chuyện của bạn, chỉ là đọc bên trong vùng cách ly. Lời hứa là không nhà vận hành nào, gồm Brave, NEAR AI và nhà cung cấp đám mây, nhìn vào được vùng đó. Lời hứa ấy dựa trên phần cứng và một chuỗi mắt xích mà Brave liệt kê: Intel, Nvidia, hệ điều hành của vùng cách ly (dstack), Sigstore (nơi ghi lại cách tạo ra phần mềm), GitHub, Hugging Face (nơi đặt trọng số mô hình) và hệ thống tên miền công cộng.

Brave cũng tự nêu những chỗ chưa xong:

• Hôm nay trình duyệt của bạn nhờ máy chủ của Brave kiểm giấy chứng thực; việc tự kiểm trong trình duyệt là bước sau.
• Giấy chứng thực chưa xác nhận đúng bộ trọng số đang nạp vào bộ nhớ.
• Tính năng đang ở bản thử, chỉ phủ chat với một mô hình, các tính năng khác của Leo chưa vào chế độ riêng tư kiểm chứng được.

Kiểm tra lời hứa “chat riêng tư” bằng ba câu hỏi

Từ cách Brave tự mô tả, có ba câu hỏi dùng được cho mọi lời hứa chat riêng tư:

1. Ai đọc được chữ tôi gõ ở điểm cuối, và cái gì chứng minh? “Chúng tôi không xem” là lời hứa. Giấy chứng thực phần cứng cùng mã mà ai cũng đọc được là bằng chứng bạn hoặc người khác kiểm được.
2. Phần nào của cuộc chat nằm ngoài lời hứa? Với Leo là mọi mô hình và tính năng khác ngoài GLM 5.3 Flash; với dịch vụ khác, hãy xem lịch sử, tệp tải lên và tính năng tìm kiếm có được che hay không.
3. Mắt xích nào tôi vẫn phải tin? Mật mã tốt không loại bỏ chuyện tin tưởng; nó chuyển chỗ tin từ một công ty sang một chuỗi hãng phần cứng và công cụ.

Khi nào kênh này đủ cho chuyện nhạy cảm

Mô hình trong chế độ này khác ChatGPT hay Gemini bạn quen, và bài đăng không so sánh chất lượng, nên câu trả lời có thể khác. Với chuyện thường như món ăn hay một email, kênh quen vẫn dùng được. Với kết quả xét nghiệm, hợp đồng hoặc danh sách khách hàng, xóa tên, số căn cước và số bệnh án khỏi ảnh chụp hoặc đoạn dán trước khi gửi bất kỳ chatbot nào. Nếu muốn thử kênh có bằng chứng phần cứng như trên, mở Brave bản Release và chọn GLM 5.3 Flash trong Leo.

Nguồn tham khảo

1. Brave, “Another Brave User-First AI Win: Leo adds End-to-end Encryption, Oblivious HTTP, and Verifiable Confidential Computing” (15/10/2026) — cách hoạt động, bảng ai thấy gì, danh sách mắt xích tin cậy và các giới hạn do chính Brave nêu; nguồn của hãng.

Tiếp trên bàn Kiểm tra trước khi tin: Bốn dòng GPT-4 trên trang API tắt ngày 14 tháng 1 năm 2027