Brave har i oktober 2026 annonceret en funktion, der ikke findes hos nogen af de store konkurrenter: Leo, browserens indbyggede AI-assistent, kan nu køre en samtale, hvor selve prompten er krypteret fra det øjeblik, den forlader din enhed, til den bliver behandlet inde i en hardware-forseglet enklave. Brave kalder det end-to-end-kryptering af AI-chat, og det sker i samarbejde med infrastrukturselskabet NEAR AI. For brugere i Danmark og det øvrige Norden, hvor både GDPR-krav og en generel skepsis mod amerikanske AI-giganters datahåndtering fylder meget, er det en nyhed, der rejser et konkret spørgsmål: kan en browser rent faktisk gøre AI-chat privat, eller er det endnu en markedsføringsclaim uden substans?
Svaret ligger et sted i midten. Brave har bygget en arkitektur, der adskiller sig teknisk fra, hvordan de fleste chatbots fungerer i dag, men funktionen dækker kun én specifik model, og flere praktiske detaljer er endnu ikke offentliggjort. Denne artikel gennemgår, hvad der konkret er annonceret, hvordan krypteringen virker i praksis, hvordan det stiller sig op mod resten af markedet, og hvad der stadig er ubesvaret.
Brave annoncerer kryptering af AI-chat i Leo
Annonceringen kom 15. oktober 2026 via Braves officielle kanaler, og selskabets blogindlæg om funktionen blev opdateret dagen efter, 16. oktober. Samme dag offentliggjorde NEAR AI sin egen version af nyheden. Kernebudskabet er, at Leo nu understøtter end-to-end-krypteret chat, når assistenten bruger modellen GLM 5.3 Flash, en open-weight-model. Funktionen er rullet ud til Braves Nightly-, Beta- og Release-kanaler, altså ikke kun til en lille testgruppe af brugere på den ustabile udviklergren.
Det er ikke Braves første skridt i den retning. I november 2025 introducerede selskabet en tidligere version af samarbejdet med NEAR AI, hvor fortrolig AI-behandling blev kørt i Nvidia-baserede hardwareenklaver, uden at det dengang blev udvidet til fuld end-to-end-kryptering af selve samtalen. Det, der er nyt i oktober 2026, er at krypteringen nu starter i browseren, før en eneste byte sendes ud over nettet, og at Brave kalder resultatet “industry-leading privacy you can verify”, altså privatliv man som bruger selv kan efterprøve, frem for blot at tage producentens ord for det.
Det centrale designmål er en adskillelse mellem identitet og indhold. NEAR AI skal ikke kunne se, hvem der stiller et spørgsmål, og Brave skal ikke kunne se, hvad spørgsmålet eller svaret indeholder i klartekst. Det er en markant anden model end den, de fleste AI-chatbots bruger i dag, hvor udbyderen typisk har adgang til både afsenderens identitet, konto og IP-adresse, og selve samtaleindholdet et sted i databehandlingskæden.
Sådan virker krypteringen: fra prompt til svar
Teknisk set består Braves løsning af flere lag, der hver løser et bestemt problem. Det første lag er kryptering i browseren selv: Leo krypterer din prompt, før den overhovedet sendes fra din computer eller telefon. Det andet lag er netværkslaget, hvor Brave bruger en protokol kaldet Oblivious HTTP til at fjerne din IP-adresse, før forespørgslen når frem til NEAR AI’s servere. Det tredje lag er selve beregningsmiljøet: en hardware-baseret, fortrolig computeplatform, hvor krypterede data kan dekrypteres og behandles, uden at infrastrukturoperatøren kan se dem.
Brave beskriver opsætningen som en “sealed, Nvidia-backed hardware enclave”, altså en forseglet hardwareenklave bygget på Nvidia-teknologi. Kæden af hændelser, når du skriver til Leo og bruger GLM 5.3 Flash, ser i korte træk sådan ud:
1. Leo krypterer prompten lokalt i browseren
2. Den krypterede forespørgsel sendes via Braves AI-relæ
3. Oblivious HTTP fjerner brugerens IP-adresse fra forespørgslen
4. Forespørgslen krypteres til en nøgle, der kun findes inde i enklaven
5. Den attesterede TEE dekrypterer prompten og kører AI-inferens
6. Svaret krypteres igen og sendes tilbage til browseren
7. Browseren dekrypterer svaret, så brugeren kan læse detPointen er, at hverken Brave eller NEAR AI på noget tidspunkt i denne kæde har adgang til en læsbar version af din samtale. Den eneste komponent, der kan dekryptere noget, er selve enklaven, og den er låst til en nøgle, der aldrig eksisterer uden for det hardware-isolerede rum.
Attestering: sådan beviser Brave, at enklaven kan stoles på
Det, der gør Braves tilgang teknisk interessant, er ikke kun krypteringen i sig selv, men mekanismen bag den: attestering. Før din browser overhovedet sender en krypteret prompt, kræver den et hardware-signeret bevis fra enklaven. Det bevis, som kaldes attestering, lader browseren kontrollere tre ting, før den stoler på modtageren: at den forventede, sikre hardware faktisk er i brug, at den forventede model, i dette tilfælde GLM 5.3 Flash, rent faktisk er den, der kører, og at den kode, som kører inde i enklaven, er den samme offentligt reviderbare kode, som er blevet publiceret og kan tjekkes af uafhængige parter.
Det er en væsentlig forskel fra, hvordan de fleste tjenester håndterer privatlivsløfter i dag. Normalt skal brugeren stole på en privatlivspolitik, altså et juridisk dokument, som selskabet selv har skrevet, og som i praksis er umuligt at verificere teknisk fra brugerens side. Attestering flytter en del af den tillid fra et juridisk løfte til et kryptografisk bevis, som i princippet kan kontrolleres automatisk af softwaren selv, hver gang en samtale startes.
Det betyder dog ikke, at tilliden er forsvundet. Den er flyttet til nye led: Intel, Nvidia, firmwaren i enklaverne, selve attesteringsinfrastrukturen og korrektheden af den kode, der faktisk er blevet revideret. Hvis et eller flere af disse led svigter, falder hele sikkerhedsmodellen sammen, uanset hvor elegant selve krypteringen er designet.
NEAR AI og den fortrolige infrastruktur bag Leo
Den tekniske motor bag funktionen er NEAR AI, der driver selve den fortrolige inferens-infrastruktur. Virksomheden beskriver i sit eget materiale, hvordan en Trusted Execution Environment, eller TEE, fungerer: et hardware-isoleret område af en CPU eller GPU, hvor både kode og data er krypteret, selv mens de behandles. Det er en vigtig detalje, fordi almindelig kryptering typisk kun beskytter data, når de ligger i ro eller transporteres. En TEE beskytter data, mens de rent faktisk bliver brugt, altså under selve AI-beregningen.
Den underliggende hardware kommer fra to kendte navne i branchen for fortrolig databehandling: Intels TDX-teknologi og Nvidias Confidential Computing-platform. Kombinationen af de to gør det muligt at køre en stor, GPU-tung AI-model inde i en enklave, uden at selv den, der ejer og driver serverne, kan se, hvad der behandles på dem.
Det er samme grundarkitektur, som Brave og NEAR AI testede i november 2025, men dengang uden den fulde end-to-end-kryptering af brugerens prompt helt fra browseren. Oktober 2026-opdateringen lukker det sidste hul i kæden, så krypteringen nu dækker hele vejen fra tastatur til enklave og tilbage igen.
Kun GLM 5.3 Flash er dækket indtil videre
Et vigtigt forbehold, som let overses i overskrifterne, er at end-to-end-krypteringen kun gælder, når Leo kører på modellen GLM 5.3 Flash. Det er en open-weight-model, hvilket i sig selv er relevant: fordi modellens vægte er offentligt tilgængelige, kan uafhængige parter i teorien kontrollere, at det faktisk er den model, der køres inde i enklaven, og ikke en anden, lukket variant.
Det betyder samtidig, at hvis du som Leo-bruger vælger en anden model i assistenten, falder du tilbage til den almindelige, ikke-krypterede behandling. Brave har ikke på nuværende tidspunkt oplyst en tidsplan for, hvornår eller om flere modeller vil blive dækket af samme arkitektur. Tilgængelighed er heller ikke det samme som udbredt brug: Brave har ikke offentliggjort opdaterede 2026-tal for, hvor mange der faktisk bruger Leo, eller hvor stor en andel af samtalerne der kører på GLM 5.3 Flash. Funktionen findes, men hvor mange der reelt benytter den, er ikke dokumenteret i det tilgængelige materiale.
Fra fingeraftryksbeskyttelse til TEE: Braves privatlivshistorie
Brave har siden lanceringen positioneret sig som den browser, der tager privatliv mest alvorligt blandt de store, Chromium-baserede alternativer. Det er ikke første gang, selskabet bruger en teknisk, verificerbar tilgang frem for løse løfter. De to centrale punkter i den nyeste udvikling er dateret præcist: i november 2025 kom det første skridt med fortrolig AI-behandling via NEAR AI’s Nvidia-baserede enklaver, og i oktober 2026 fulgte den fulde end-to-end-kryptering af selve Leo-samtalen, komplet med Oblivious HTTP og attestering.
Det er en logisk forlængelse af en strategi, hvor Brave gentagne gange har forsøgt at gøre privatlivsbeskyttelse til noget, man kan teste og måle, snarere end noget, man blot skal tro på. AI-chat har indtil nu været det svageste led i den fortælling, fordi en samtale med en AI-assistent per definition kræver, at noget, et sted, forstår indholdet for at kunne svare. Oktober 2026-funktionen er Braves forsøg på at indsnævre, hvor det “noget” befinder sig, til et teknisk kontrollerbart minimum.
Sådan skiller Brave sig ud fra ChatGPT, Gemini og Copilot
Den britiske teknologipublikation The Register pegede i sin dækning af nyheden på en grundlæggende pointe: AI-udbydere har normalt brug for at kunne læse en prompt et sted i deres behandlingskæde for overhovedet at kunne generere et svar. Det er netop den antagelse, Braves arkitektur udfordrer, ved at flytte det sted, hvor klartekst findes, ind i en hardware-attesteret enklave, som hverken Brave eller NEAR AI selv har adgang til.
Det tilgængelige materiale giver ikke belæg for at sige, at ChatGPT, Google Gemini eller Microsoft Copilot har offentliggjort en sammenlignelig kombination af klient-side kryptering, IP-adskillelse via en protokol som Oblivious HTTP og en attesteret enklave, som brugeren selv kan verificere. Det er en vigtig nuance: det betyder ikke nødvendigvis, at disse tjenester er usikre eller uansvarlige med brugerdata, men at de, ifølge den dækning der er tilgængelig om Braves lancering, ikke har en offentligt dokumenteret arkitektur med samme tekniske egenskaber. Hver af de store udbydere har forskellige vilkår for forbrugerkonti, virksomhedskonti og API-adgang, og de varierer indbyrdes, hvilket gør en fuldstændig sammenligning vanskelig uden at gennemgå hver enkelt tjenestes aktuelle politikker separat.
Det, der derimod er veldokumenteret, er at sikkerhedsproblemer med adgangskoder og adgangsnøgler, passkeys, i browserens egne komponenter fortsætter med at dukke op. En rapport omtalt af Ground News beskriver, hvordan sikkerhedsproblemer i en adgangskodeadministrator kan åbne for kontoovertagelse via malware. Den type sårbarheder ligger i en helt anden del af en browsers sikkerhedsmodel end AI-chat, men den understreger, hvorfor hardware-baseret isolation som TEE’er vinder terræn: softwarebaserede beskyttelseslag kan fejle, og en angriber, der først er inde i systemet, kan udnytte det.
Tabel: AI-chat-privatliv i browserne lige nu
Nedenstående tabel samler de arkitektoniske egenskaber, som er offentligt dokumenteret for Braves Leo-funktion, sat op mod, hvad der er dokumenteret som standard i branchen generelt, ifølge den tilgængelige dækning af lanceringen.
| Funktion | Brave Leo (GLM 5.3 Flash) | Standard AI-chat-arkitektur i branchen |
|---|---|---|
| Kryptering af prompt på enheden før afsendelse | Ja | Ikke dokumenteret som standard |
| IP-adskillelse via Oblivious HTTP | Ja | Ikke dokumenteret som standard |
| Hardware-attesteret enklave (TEE) | Ja, Intel TDX + Nvidia Confidential Computing | Ikke omtalt i undersøgt dækning |
| Brugeren kan selv verificere model og kode | Ja, via attestering | Nej, kun via privatlivspolitik |
| Dækning af modeller | Kun GLM 5.3 Flash indtil videre | Varierer efter udbyder |
| Udrulning | Nightly, Beta og Release-kanaler | Ikke relevant |
Trin for trin: krypteringsflowet i Leo
For at gøre det konkret, hvem der rent faktisk kan se hvad på hvert trin i processen, viser tabellen herunder de syv trin i krypteringsflowet, som de er beskrevet i Braves og NEAR AI’s egen dokumentation.
| Trin | Hvad sker der | Hvem kan se indholdet |
|---|---|---|
| 1 | Leo krypterer prompten lokalt i browseren | Kun brugeren |
| 2 | Den krypterede forespørgsel sendes via Braves AI-relæ | Brave ser kun krypteret tekst |
| 3 | Oblivious HTTP fjerner brugerens IP-adresse | NEAR AI ser ikke afsenderens IP |
| 4 | Data krypteres til en nøgle bundet til enklaven | Kun den attesterede TEE har nøglen |
| 5 | TEE’en dekrypterer og kører AI-inferens | Kun enklaven ser klartekst |
| 6 | Svaret krypteres igen inde i enklaven | Hverken Brave eller NEAR AI |
| 7 | Browseren dekrypterer svaret til brugeren | Kun brugeren |
Hvad eksperterne og virksomhederne siger om TEE-tilgangen
Brave formulerede selv kernen i annonceringen direkte i et opslag, der blev linket fra selskabets blog: “Leo, the AI assistant in Brave, now offers end-to-end encrypted chat with GLM 5.3 Flash! Your browser encrypts each prompt before it leaves your device, so only an attested Trusted Execution Environment (TEE) can decrypt it”, skrev selskabet i sin officielle annoncering.
“Your browser encrypts each prompt on your device, before leaving your device, such that only an attested Trusted Execution Environment (TEE) can decrypt your prompts and run confidential LLM inference on it.”
Brave, i det officielle blogindlæg om funktionen
Brave sætter selv ambitionsniveauet direkte i ord med en kort, markant formulering af, hvad det skal betyde for den almindelige bruger: “It’s industry-leading privacy you can verify,” skriver selskabet i sin annoncering, med henvisning til, at påstanden ikke blot skal tages for gode varer, men kan efterprøves teknisk via attestering.
“A Trusted Execution Environment is a hardware-isolated region of a CPU/GPU where code and data are encrypted even while running.”
NEAR AI, teknisk forklaring på near.ai
NEAR AI uddyber selv, hvad den praktiske konsekvens er for brugeren: “It means your prompts and the model can be processed without the host machine, the operator, or NEAR AI ever being able to read them,” skriver virksomheden om sin egen infrastruktur. Det er en vidtgående påstand, og den hviler på, at attesteringsmekanismen rent faktisk fungerer som beskrevet, hver gang en samtale startes.
Kritik og ubesvarede spørgsmål
Selv med en teknisk ambitiøs arkitektur er der en række punkter, som den tilgængelige dokumentation ikke besvarer. Det mest grundlæggende er, at “end-to-end-kryptering” her har en særlig betydning. Modellen skal nødvendigvis dekryptere prompten for at kunne svare på den. Påstanden er derfor ikke, at inferensen sker på krypteret data uden nogensinde at blive dekrypteret, men at den læsbare tekst er begrænset til det attesterede, hardware-isolerede miljø, og ikke tilgængelig for Brave, NEAR AI eller nogen anden operatør udenfor enklaven.
Dernæst er der en række tekniske detaljer, som det offentliggjorte materiale ikke specificerer: hvordan nøglerne genereres, om de er ensartede, per session eller per enhed, om der roteres løbende, og hvad der sker, hvis en enklave mod forventning skulle blive kompromitteret. Oblivious HTTP beskrives som noget, der skjuler brugerens IP-adresse fra NEAR AI, men kilderne siger ikke noget om, hvorvidt tidspunkt, forespørgselsstørrelse, kontostatus, valg af model eller anden metadata også er skjult. Det er en vigtig nuance, fordi metadata i mange sikkerhedsanalyser kan afsløre næsten lige så meget som selve indholdet.
Endelig er tilgængelighed ikke det samme som uafhængig verifikation. Den dækning, der er tilgængelig om lanceringen, citerer ikke en uafhængig, tredjeparts sikkerhedsrevision, der bekræfter hele implementeringen ende til ende. Braves og NEAR AI’s egne beskrivelser af arkitekturen er detaljerede, men en ekstern revision af den faktiske kode, der kører i enklaverne, er endnu ikke en del af det offentliggjorte materiale.
Markedets betydning: hvad det ændrer for virksomheder og brugere
For almindelige brugere er den mest konkrete konsekvens, at der nu findes et offentligt, teknisk testbart alternativ til at stole blindt på en chatbots privatlivspolitik. Selv med de forbehold, der er nævnt ovenfor, flytter attestering en del af ansvaret fra juridisk tillid til kryptografisk bevis, hvilket er en retning, flere sikkerhedsbevidste brugere og organisationer sandsynligvis vil efterspørge hos andre udbydere.
For virksomheder, der arbejder med fortrolige eller regulerede data, herunder revisions-, advokat- og sundhedsbranchen, kan en verificerbar enklavearkitektur gøre det nemmere at argumentere for, at AI-værktøjer kan bruges uden at bryde fortrolighedspligter, forudsat at den tekniske dokumentation holder til nærmere efterprøvning. Det er dog værd at understrege, at funktionen i sin nuværende form kun dækker én specifik, open-weight-model, hvilket begrænser, hvor bredt den kan bruges i praksis lige nu.
For konkurrenterne lægger lanceringen pres på en branche, hvor privatlivsløfter traditionelt har været formuleret som juridisk sprog frem for teknisk verificerbare egenskaber. Hvis Braves tilgang får fodfæste, er det sandsynligt, at spørgsmålet om, hvorvidt man kan bevise det og ikke blot love det, bliver stillet højere og oftere til de store AI-udbydere.
Betydning for danske og nordiske brugere
I en dansk og nordisk kontekst er sagen interessant, fordi GDPR allerede stiller krav om “privacy by design”, altså at databeskyttelse skal være indbygget i et systems arkitektur fra starten og ikke tilføjet bagefter. En arkitektur, hvor hverken browserudbyderen eller AI-infrastrukturudbyderen teknisk set kan læse indholdet af en samtale, passer umiddelbart godt til den ånd, selv om det stadig kræver en juridisk vurdering af, om attestering og TEE-baseret behandling opfylder de konkrete krav til databehandleraftaler og tredjelandsoverførsler, som gælder for virksomheder i EU.
Det er også værd at bemærke, at nordiske brugere generelt har vist en forholdsvis høj interesse for privatlivsfokuserede alternativer til de store amerikanske teknologiplatforme, hvad enten det handler om browservalg, søgemaskiner eller krypteret kommunikation. En funktion som denne, der kombinerer en allerede udbredt browser med en teknisk verificerbar privatlivsarkitektur til AI-chat, rammer præcis det segment af brugere, der allerede aktivt vælger værktøjer fra efter, hvordan data behandles, og ikke kun efter pris eller funktionalitet.
Fremtiden: fem forudsigelser
- Flere modeller får samme beskyttelse. Det er sandsynligt, at Brave udvider end-to-end-krypteringen til flere modeller i Leo i løbet af 2026 og 2027, i takt med at flere open-weight-modeller bliver tilgængelige til fortrolig inferens.
- Konkurrenterne bliver mere tekniske i deres privatlivskommunikation. I takt med at attestering og TEE-baseret AI-behandling bliver et konkurrenceparameter, vil ChatGPT, Gemini og Copilot sandsynligvis blive presset til at forklare deres egen databehandling i mere teknisk, verificerbart sprog, frem for alene juridisk sprog.
- Uafhængige revisioner bliver et krav. Jo mere udbredt funktionen bliver, desto mere vil sikkerhedsforskere og virksomhedskunder efterspørge en uafhængig, tredjeparts revision af den faktiske kode, der kører inde i NEAR AI’s enklaver.
- Oblivious HTTP og attestering spreder sig til andre dele af browseren. Den samme grundteknologi kan i princippet bruges til andre browserfunktioner end AI-chat, hvor Brave allerede har en historik med at eksperimentere med netværksniveau-privatliv.
- Regulatorer begynder at kigge på confidential computing som en GDPR-mekanisme. Det er en rimelig forventning, at europæiske tilsynsmyndigheder i stigende grad vil forholde sig til, om hardware-baseret fortrolig databehandling kan tælle som en gyldig teknisk og organisatorisk sikkerhedsforanstaltning i databeskyttelsesvurderinger.
Ofte stillede spørgsmål
Hvad er Brave Leo?
Leo er navnet på den AI-assistent, der er indbygget i Brave-browseren. Den kan bruges til at opsummere sider, besvare spørgsmål og føre almindelige chatsamtaler direkte i browseren, uden at man behøver åbne en separat app eller fane.
Hvornår blev end-to-end-krypteringen i Leo annonceret?
Brave annoncerede funktionen 15. oktober 2026, og selskabets blogindlæg om den blev opdateret 16. oktober samme år. NEAR AI offentliggjorde sin egen version af nyheden samme dag som opdateringen.
Hvilken AI-model er omfattet af krypteringen?
Indtil videre gælder end-to-end-krypteringen kun, når Leo kører på modellen GLM 5.3 Flash, som er en open-weight-model. Vælger man en anden model i Leo, foregår behandlingen ikke gennem den samme krypterede enklave-arkitektur.
Hvordan fungerer en Trusted Execution Environment (TEE)?
En TEE er et hardware-isoleret område af en processor eller grafikkort, hvor kode og data forbliver krypteret, selv mens de bliver behandlet. I Leos tilfælde er TEE’en bygget på Intels TDX-teknologi og Nvidias Confidential Computing-platform, og den kører hos NEAR AI.
Kan Brave eller NEAR AI læse mine beskeder?
Ifølge Braves og NEAR AI’s egne beskrivelser er svaret nej: prompten krypteres i browseren, sendes via en IP-skjulende protokol, og kan kun dekrypteres inde i den attesterede enklave. Hverken Brave eller NEAR AI har, ifølge den offentliggjorte dokumentation, adgang til en læsbar version af samtalen.
Er ChatGPT, Gemini og Copilot lige så krypterede?
Det tilgængelige materiale giver ikke belæg for, at disse tjenester har offentliggjort en sammenlignelig arkitektur med klient-side kryptering, IP-adskillelse og en brugerverificerbar, attesteret enklave. Det betyder ikke automatisk, at de er mindre sikre, men at de ikke har samme offentligt dokumenterede, tekniske privatlivsbevis som Braves Leo-funktion.
Hvad er Oblivious HTTP, og hvorfor er det relevant her?
Oblivious HTTP er en protokol, der adskiller en brugers identitet, herunder IP-adressen, fra selve indholdet af en forespørgsel. I Leos arkitektur bruges det til at sikre, at NEAR AI kan behandle en krypteret prompt uden at kunne se, hvem afsenderen er.
Hvad er de største begrænsninger ved funktionen lige nu?
De vigtigste begrænsninger er, at kun en enkelt model er dækket, at der ikke er offentliggjort detaljer om nøglehåndtering, rotation eller beredskab ved kompromitterede enklaver, at metadata som tidspunkt og forespørgselsstørrelse ikke nødvendigvis er skjult, og at der endnu ikke findes en offentliggjort, uafhængig tredjeparts revision af den fulde implementering.