Brave ha añadido cifrado de extremo a extremo a Leo, el asistente de inteligencia artificial de su navegador. Cada pregunta se cifra en el propio navegador y solo la puede descifrar un entorno de ejecución confiable (TEE, por sus siglas en inglés): una parte aislada del hardware de los servidores de NEAR AI donde ni Brave ni quien opera esas máquinas puede mirar. Antes de entregar la clave, Brave comprueba que el hardware es genuino y que el software que corre dentro es exactamente el que está publicado. Por ahora funciona con un modelo, el abierto GLM 5.3 Flash, de la china Z.ai.
Leo lleva desde 2023 en el navegador y Brave lo vende como un asistente privado: no pide cuenta, no guarda la dirección IP y el historial de conversaciones se queda en el equipo. Pero, como en cualquier chatbot, la pregunta tenía que llegar en claro al servidor que ejecuta el modelo. En noviembre de 2025 Brave dio un primer paso: probó en su versión Nightly el modelo DeepSeek V3.1 dentro de los TEE de NEAR AI, con una etiqueta verde que indicaba que Brave había verificado el entorno. Sin embargo, las peticiones seguían pasando por los servidores de Brave, y la protección dependía, en palabras de la empresa, «de nuestras políticas, todavía no de la criptografía».
El anuncio del 15 de octubre, firmado entre otros por el fundador y director ejecutivo de Brave, Brendan Eich, cambia eso. El navegador no envía nada hasta que el entorno ha superado la verificación, cifra el mensaje con una clave que solo existe dentro de ese hardware y lo manda por un relé que quita la dirección IP. Si la comprobación falla, Brave no entrega la clave ni reenvía el mensaje. El código de todo el recorrido es abierto.
Claves del cifrado de Leo
- Modelo: GLM 5.3 Flash, de Z.ai, publicado en agosto de 2026 con la licencia libre MIT. Que sus pesos sean abiertos es lo que permite a NEAR AI cargarlo en su hardware verificado. Brave lo marca todavía como beta.
- Hardware: procesadores Intel con TDX, que cifran la memoria, y GPU de NVIDIA con computación confidencial, que aíslan la suya. Los datos que pasan entre el procesador y la GPU también van cifrados.
- Verificación previa: un servicio de Brave, que la empresa llama oráculo, comprueba las firmas de Intel y NVIDIA que prueban que el hardware es real. Además, vuelve a compilar desde el código público las imágenes de software de NEAR AI y confirma que coinciden con lo que se está ejecutando, que el modelo cargado es el pedido y que la clave del entorno está ligada a ese hardware.
- Comprobación en cada mensaje: la pasarela de IA de Brave vuelve a revisar la atestación antes de cada mensaje y solo acepta una verificación de menos de una hora.
- Cifrado en el navegador: usa Oblivious HTTP (OHTTP) con HPKE, el estándar RFC 9180. En cada petición el navegador genera un par de claves X25519 nuevo y cifra con AES-128-GCM. En cada turno vuelve a cifrar todo el historial de la conversación, y las respuestas llegan también cifradas.
- La IP, por otro lado: el relé de Brave sabe desde qué dirección escribes, pero no qué preguntas. El entorno de NEAR AI ve la pregunta, pero no la dirección: le llega con la cuenta de Brave.
- Búsquedas en la web: cuando el modelo decide buscar algo, la búsqueda sale desde dentro del entorno protegido hacia la API de Brave Search, sin asociarse a tu IP y con la opción de no conservar datos.
- Cómo activarlo: está en las versiones Release, Beta y Nightly del navegador. Basta con elegir GLM 5.3 Flash en el selector de modelos de Leo. Brave no detalla si la opción es gratuita o exclusiva de Leo Premium, ni en qué plataformas aparece.
Por qué importa
La gente le cuenta a los chatbots cosas que no le diría a un buscador. Brave cita una encuesta de la fundación KFF de este año: un tercio de los adultos de EE. UU. ha consultado información de salud a un chatbot, y el 41 % de ellos subió datos médicos personales. También recuerda que en 2025 más de 370,000 conversaciones con Grok acabaron indexadas en buscadores. Por otro lado, ocho estados de EE. UU. acaban de demandar a OpenAI por los riesgos de ChatGPT para los adolescentes. Con la mayoría de los servicios, la privacidad de esas conversaciones depende de lo que diga la política de la empresa. La propuesta de Brave es que se pueda comprobar con criptografía.
El enfoque también muestra para qué sirven los modelos de pesos abiertos, como el Muse Spark Open que acaba de publicar Meta: cualquiera puede ejecutarlos en un hardware que el usuario sea capaz de verificar. Con un modelo cerrado, que solo corre en los servidores de su dueño, eso no es posible.
Brave reconoce que todavía no es un sistema sin confianza. Hoy el navegador depende de la pasarela de Brave para comprobar la atestación. El programa de terceros que ejecuta el modelo no se recompila: solo queda fijado en un registro firmado. Y la empresa admite que unos pesos abiertos pueden llevar puertas traseras ocultas, así que también habría que verificar cómo se entrenó el modelo. Sus próximos pasos son llevar la verificación al propio navegador, publicar un registro de claves para que todos los usuarios reciban la misma y hacer que el entorno demuestre qué pesos exactos tiene cargados en memoria. Después quiere extender el modo a más modelos y funciones de Leo.
Es un avance real sobre lo que ofrecen casi todos los asistentes de IA, aunque de momento se limita a un modelo en beta y exige confiar en Brave para una parte de la comprobación. Si la verificación llega al navegador, como promete la empresa, Leo sería de los pocos chatbots cuya privacidad puede comprobar el propio usuario.
Fuente: Brave. Foto de portada: Book Catalog (www.shopcatalog.com), CC BY 2.0.