Brave verschlüsselt Leo-Chats mit GLM 5.3 Flash jetzt auf dem Gerät

Brave verschlüsselt Leo-Prompts im Browser, nur eine attestierte TEE kann sie lesen

Brave stellt die Chats seines Assistenten Leo auf das Open-Weight-Modell GLM 5.3 Flash um und verschlüsselt sie nach eigenen Angaben Ende zu Ende. Laut explainx.ai stammt die Ankündigung vom 15. Oktober 2026. Der Browser verschlüsselt jeden Prompt per Oblivious HTTP (OHTTP), bevor er das Gerät verlässt. OHTTP ist ein IETF-Standard (RFC 9458). Er leitet verschlüsselte HTTP-Nachrichten so weiter, dass der Zielserver sie nicht dem Client zuordnen kann. Dem weiterleitenden Knoten setzt er nur begrenztes Vertrauen voraus. Der verschlüsselte Prompt läuft über Braves quelloffenes AI Gateway, das die IP-Adresse des Nutzers vor dem KI-Anbieter NEAR AI verbirgt. Entschlüsseln kann ihn laut Brave nur eine attestierte, Nvidia-gestützte Trusted Execution Environment (TEE). NEAR AI betreibt sie, und darin läuft das Modell. GLM 5.3 stammt als Open-Weight-Modell von Z.ai. Laut mindstudio.ai ist die Flash-Variante ein leichterer Zweig der GLM-5-Familie für schnellere Inferenz. Die Funktion ist laut Brave in Release, Beta und Nightly verfügbar. Welche Plattformen und Tarife betroffen sind und ob sie standardmäßig aktiv ist oder nur auf Wunsch genutzt werden kann, geht aus dem vorliegenden Material nicht hervor.

Laut Brave prüft der Browser die Attestierung künftig selbst

Den Unterschied zum Stand von November 2025 beschreibt Brave als Wechsel von Richtlinien zu Kryptografie. Damals lief das Modell bereits in einer NEAR-AI-TEE, war laut The Register (zitiert über explainx.ai) aber auf Nightly-Nutzer beschränkt. Anfragen liefen über Braves Server. Sie waren laut Brave im Transport verschlüsselt, wurden nicht protokolliert und nach der Antwort verworfen. Das beruhte auf Richtlinien. Braves Server prüften den TEE-Nachweis und zeigten ein grünes Label. Die Prüfung setzte also Vertrauen in Brave voraus.

Nach Darstellung von Brave verlangt die neue Version eine hardwaresignierte Attestierung, bevor ein Prompt den Browser verlässt. Erst danach wird verschlüsselt. Laut Brave wird außerdem der Code aller Pipeline-Stufen veröffentlicht. Laut explainx.ai kann Brave als Betreiber des Verifizierers die Inhalte nicht mehr lesen. Eine weitere Zusammenfassung der Ankündigung nennt die Verlagerung der Attestierungsprüfung in den Browser dagegen als Zukunftsplan. Wie sich das zur Darstellung verhält, der Browser prüfe bereits jetzt, lässt sich aus dem Material nicht klären.

Unabhängige Prüfung fehlt, physische Angriffe auf TEEs bleiben offen

Braves Aussage „selbst Brave kann sie nicht lesen“ und der Schutz auch vor NEAR AI sind Herstellerangaben. Eine unabhängige Prüfung des Codes oder der Attestierungskette konnten wir nicht finden. Auch eine Reaktion der Fachpresse fehlt bislang.

Kritik an den Garantien von TEEs gibt es bereits. Ein Fachautor sieht sie von Anbietern überhöht dargestellt. Die Forschenden von tee.fail zeigen, dass sich Intel TDX und AMD SEV-SNP (mit Ciphertext Hiding) mit einem günstigen Memory-Interposer an DDR5-Servern brechen lassen. In einigen Fällen gelingt auch die Extraktion geheimer Attestierungsschlüssel. Dafür ist physischer Zugriff auf den Server nötig. Ob das die von NEAR AI genutzte Nvidia-gestützte Hardware betrifft, ist nicht geklärt. Brave nennt Intel TDX nicht. Braves Garantie ist im Rahmen eines Remote-Operator-Bedrohungsmodells formuliert, die Kritik zielt dagegen auf physische Angriffe.