Venice Tokenが暴く、ChatGPTが秘匿する「あなたのプロンプト」の正体

中央集権型AIにプロンプトを打ち込むたび、そのテキストはサーバーへ送られ、処理され、そして記録される。

サーバーを運営する企業は、その内容を読める。保存もできるし、将来のモデル学習に利用もできる。必要とあれば、当局に提出することもある。

こうした「利便性と引き換えのデータ提供」は、多くのユーザーにとってすでに自明の前提になっている。

しかし、ブロックチェーンを活用する一群のプロジェクト――なかでも現在もっとも注目を集めているのがVeniceだが――は、異なるアーキテクチャを構築している。そこでは、ネットワーク運営者を含むいかなる第三者も、ユーザーが「何を質問したのか」を読み取れないことを前提に設計されている。

それがどのように実現されているかを理解するには、2つの問題を切り分ける必要がある。第1に、AIに問い合わせたとき、データはどこへ行くのか。第2に、そのデータ流出を暗号技術でどう防ぐのか、である。

答えは、想像以上に具体的だ。

TL;DR

OpenAIのような中央集権型AIプロバイダーは、ユーザープロンプトを原則ログとして保存し、利用状況をほぼ完全に把握できる。

オンチェーン・プライベートAI推論は、分散ノードネットワーク経由でリクエストを処理し、コンフィデンシャルコンピューティングを用いて、ノード運営者にも平文を見せずに計算を実行する。

Venice Token（VVV）はこのモデルの代表例であり、Base上でアプリケーション層から「プライバシー・ファースト」設計を徹底した推論基盤を構築している。

速度・コスト・モデル規模が主なトレードオフであり、現状ではプライベート推論は通常のAPIコールより遅く高コストになりがちだ。

このアーキテクチャが真価を発揮するのは、医療・法務・金融・事業戦略など、プロンプトの秘匿性が必須条件となる領域だ。

「推論」とは何か——そして、なぜそこがプライバシーのボトルネックになるのか

AIモデルのライフサイクルは大きく2段階ある。1つ目は、大量データからパターンを学習するトレーニング（学習）。2つ目が、学習済みモデルにユーザーの質問を入力し、回答を生成する**インファレンス（推論）**だ。ChatGPTやClaude、Geminiを使うたびに起きているのは、この推論フェーズである。

プライバシーが崩れるのは、この推論段階だ。トレーニングでは、通常あなたの個別データは直接関与しない。だが推論では、少なくとも計算している瞬間には、あなたのプロンプトがシステムから「読める」状態でなければならない。「中身を一切見ずに」質問に答えることは、原理的にできない。

中央集権型システムでは、この制約に真正面から取り組む優先度は高くない。

OpenAIのusage policies（利用ポリシー）は、API入力を安全監視のために利用できるとし、さらにエンタープライズ契約で明示的にオプトアウトしない限り、モデル改善目的でも使う可能性を認めている。一般消費者向けユーザーの多くはオプトアウトしない。その結果、人間のセンシティブな思考プロセスが、巨大企業のデータベースに蓄積され続けている。

AI推論におけるプライバシー問題は「仮の懸念」ではなく、主要な中央集権型AIプラットフォームすべての「デフォルト状態」である。

分散型AI推論は、この前提を反転させる。中央サーバーを信頼することを前提とする代わりに、「分散ネットワーク上のどのノードであっても、モデルを実行しながらユーザーのプロンプトを読めないようにできるか」が問いになる。

中央集権型AIのログ取得は、実際にはどう動いているのか

中央集権型AIのAPIにプロンプトを送ると、そのリクエストはHTTPS経由でプロバイダーのインフラに到達する。この暗号化により、通信経路上の第三者による盗聴は防がれる。だが、サーバーに到達した瞬間にHTTPSの暗号化層は剥がされる。

すると、プロバイダー側のソフトウェアからはプロンプトが「平文」で見える。その瞬間以降、そのテキストに何が起きるかは、すべてプロバイダーの裁量だ。

多くのエンタープライズ向けサービスは、セッション終了後にプロンプトを保存しないゼロリテンションモードを用意している。たとえばMicrosoft Azure OpenAI Serviceでは、入力をディスクに保存しないエンドポイントを設定することができる。

しかし、こうした設定には有償のエンタープライズ契約と明示的な設定が必要となる。一般ユーザーのデフォルトは「保存」だ。

ログは複数レイヤーで生成される。アプリケーションログは生のリクエストを記録し、モデル配信基盤はパフォーマンス向上のためプロンプトをキャッシュする場合がある。安全性チェック機構は、生成前後のコンテンツをスキャンする。それぞれのレイヤーで、あなたのデータは「読める形」で存在する。厳格な削除ポリシーがあったとしても、処理の瞬間には監査・侵害・召喚の対象となりうるシステム上に存在していた、という事実は変わらない。

商業的なインセンティブも、ログ取得を後押しする。ユーザーの実データで再学習したモデルは、そうでないモデルより高性能になりやすい。プロンプトデータを蓄積できる企業は、プロダクト改善で構造的な優位性を持つ。結果として、ユーザープライバシーと事業最適化は制度設計上の根本的な緊張関係にあり、中央集権型プロバイダーはその矛盾を完全には解消できない。

プライベート推論を可能にする2つの暗号技術

計算を担う側に入力データを見せずに推論を行うには、主に2つの技術が鍵になる。両者は排他的ではなく、実システムでは組み合わせて使われることも多い。

Trusted Execution Environment（TEE、信頼実行環境）は、近年のプロセッサが備えるハードウェアレベルの「安全な囲い込み領域」だ。代表例がIntelのSGXとAMDのSEV-SNPである。TEEは、OSやノード運営者、さらにはチップメーカーからさえも内容を読み取れない隔離メモリ領域を形成する。TEE内で動作するコードは「アテステーション」と呼ばれる仕組みによって、本物のエンクレーブ上で改ざんされていないプログラムが動いていることを、リモートから暗号学的に検証できる。ユーザーのプロンプトは暗号化されたままエンクレーブに入り、モデルはエンクレーブ内で動き、出力も暗号化されたまま外へ出る。物理マシンを所有するノード運営者は、その中身を一切見られない。

**完全準同型暗号（FHE、Fully Homomorphic Encryption）**は、まったく別のアプローチだ。FHEでは、データを復号せずに暗号文のまま計算を行うことができる。モデルは暗号文に対して演算を行い、暗号化された出力を返す。その出力を復号できるのは、元の依頼者のみだ。理論的には非常に洗練された仕組みだが、計算コストは桁違いに重い。大規模言語モデルをFHEのもとでフル推論するには、現行の通常推論と比べて何桁も遅くなる。現実的な利用では、小型モデルや特定のサブタスクでの利用が中心だ。

TEEは、現時点でも通常に近い速度で実用的なプライベート推論を提供できる。一方、FHEは理論的保証は強固だが、2026年半ば時点では多くのLLM用途に対して依然として非現実的なほど遅い。

3つ目の新興技術として**秘密分散型マルチパーティ計算（MPC）**がある。ここでは、モデルの重みとユーザー入力を複数の当事者間で分散させ、誰も全体像を把握できないまま協調計算を行う。柔軟性は高いが、調整コストとネットワークオーバーヘッドは無視できない。

Veniceはどうやってブロックチェーン上にプライベート推論を構築しているのか

Veniceは、Ethereum（(ETH)）のLayer 2であるBase上に構築されたプロジェクトだ。Veniceのアーキテクチャは、中央集権型プロバイダーが一体として抱え込んでいる「モデルホスティング」「推論計算」「決済」という3つの機能を明確に切り分けている。

Veniceネットワークのノード運営者は、GPU計算リソースを提供する。

彼らはオープンソースのモデル重み――LlamaやMistralなど――をダウンロードし、その重みからの推論リクエストに応じる。モデルそのものがオープンソースである以上、守るべきは専有モデルではない。プライバシーの焦点は、あくまでユーザーの入力と出力だ。

Veniceは、参加ノード上でTEEベースの隔離環境を用いる。ユーザーがVeniceのインターフェースから問い合わせを送ると、そのリクエストはTEEを備えたノードへルーティングされ、エンクレーブ内で処理される。ノード運営者のホストシステムは、エンクレーブの内容にアクセスできない。クライアント側は、アテステーション証明により、想定どおりの推論ソフトウェアが改ざんなく稼働していることを検証してからプロンプトを送信する。

**Venice Token（VVV）**は、このネットワークのユーティリティトークンだ。保有者は推論リソースへのアクセス権を得られ、ステーキングを行ったユーザーは処理優先度の高いスループットを割り当てられる。トークンは、プライバシー基盤の上に経済レイヤーを形成する。計算リソースを提供する側は手数料を稼ぎ、ユーザー側はVVVを支払うかステークして、プライベート推論の処理能力にアクセスする。これは「プライバシー」を単なるマーケティングのスローガンとするのではなく、TEEアーキテクチャがハードウェアレベルで強制する点に特徴がある。Veniceやオペレーターの意向にかかわらず、構造的にプロンプトは読めない。

こうした取り組み全体は**分散型AI推論（decentralized AI inference）**と総称される領域に位置づけられ、Veniceはその中でも有力プロジェクトの1つだ。Gensyn、io.net、Akash Networkなども、分散型GPUコンピューティングに取り組んでおり、各プロジェクトごとにプライバシー保証の度合いは異なる。Veniceの差別化要因は、「プロンプトの機密性」をアーキテクチャ設計の中核に据え、他の要件をその制約の下で調整している点にある。

ノード運営者に「見えるもの」と「見えないもの」

「プライベート」という言葉は誤解を招きやすいため、Venice型TEEアーキテクチャでノード運営者に何が見えて、何が見えないのかを正確に整理しておく価値がある。

ノード運営者に見えないもの：プロンプトの平文、モデル内部の中間計算、クライアントに返送される前の出力の平文。

ノード運営者に見えるもの：自分のマシンがリクエストを処理しているという事実（ジョブの到着）、リクエストとレスポンスのおおよそのサイズ（バイト数）、トランザクションのタイムスタンプ、さらに匿名化されていなければ、支払いに使われたウォレットアドレスや識別子などのメタデータ。

つまり、この仕組みは… コンテンツそのものについては、ユーザーが入力した内容も、モデルから返された回答も、最強レベルの秘匿性が確保される。一方で、メタデータの意味での「完全な匿名性」が保証されるわけではない。オペレーターは、「アドレスXが14時22分UTCに340トークンのプロンプトを送り、1,200トークンのレスポンスを受け取った」といった事実は観測できる。個々のメッセージ内容が暗号化されていても、こうしたパターンを継続的に解析すれば、利用実態から一定のセンシティブな情報が推測される余地は残る。

もっとも、実務的な観点では、多くのユースケース──機密案件を扱う法律事務所、鑑別診断を参照する医師、非公開の財務データを分析する企業──にとって本質的に重要なのはコンテンツの秘匿性だ。メタデータ漏えいリスクは、VPN経由のルーティングやゼロ知識ベースのIDスキームなど、ネットワーク層の追加ツールである程度軽減可能な「二次的な課題」と位置づけられる。

TEEベースのシステムは、ハードウェアによってコンテンツの秘匿性を担保する。一方で、メタデータの秘匿にはアプリケーション層での匿名化が不可欠であり、現行実装ではその多くがユーザー側の工夫に委ねられている。

スピード、コスト、モデルサイズ──本当のトレードオフ

プライベート推論には「ただ乗り」はない。性能オーバーヘッドは複数の要因から生じており、その中身を理解することが、自社ユースケースにとって割に合うかどうかを見極める鍵になる。

スピード（速度）
TEEエンクレーブはメモリ分離のためのオーバーヘッドを必然的に伴う。暗号化メモリのページング処理や、アテステーション（真正性検証）のハンドシェイクは、素のGPU上で標準的な推論サーバーを動かす場合に比べ、レイテンシーを上乗せする。

実測ベースでは、最新世代のAMD「EPYC」＋SEV-SNP環境におけるTEEベース推論は、同等スペックの非TEE環境と比べて概ね1～3割程度の性能低下にとどまるとされる。これは、FlashbotsのSUAVEチームによるベンチマークやAMDの開発者向け資料から読み取れる水準であり、多くの対話型アプリケーションにとっては許容範囲内と言える。

コスト
分散型コンピュートネットワークは、現時点ではハイパースケーラーのGPUクラスターが持つ「単位コストの圧縮力」に追いついていない。Amazon、Google、Microsoftといったプレーヤーは超大規模なスケールでインフラを回し、トークン1,000個あたりの限界推論コストをセント未満にまで押し込んでいる。一方、分散ネットワーク側は同等の稼働率と利用密度を確保できておらず、Veniceのようなネットワークは、現状では大手クラウドAPIよりプレミアム価格で推論を提供するケースが一般的だ。このプレミアムこそが、「プライバシーの明示的なコスト」と位置づけられる。

モデルサイズ
TEEエンクレーブが保護できるメモリ容量には制約がある。700億パラメータ級の巨大モデルを、ウェイトごと丸ごとエンクレーブ内に読み込むことは、現行ハードウェアでは基本的に不可能だ。

実際の実装は、(1) 70～130億パラメータ級の比較的小型モデルを使う、(2) 入出力まわりなどセンシティブな層だけTEE内で処理し、大規模な行列演算は非保護メモリ側で走らせるハイブリッド方式を採用する、(3) モデルウェイトそのものを暗号化し、フルエンクレーブ常駐を避ける――といったいずれか（または組み合わせ）になる。その結果、数千億パラメータ級のフロンティアモデル、たとえばGPT-4クラスを「完全プライベート」に走らせることは、TEEの現行制約下ではほぼ不可能だ。

現実的なまとめとしては、「7～13Bクラスのオープンモデルであれば、中央集権型API比で2～5倍のコストを払う代わりに、非常に強力なプライバシーを得られる」という水準にあると言える。ユースケースがこの範囲に収まるのであれば、すでに本番導入が現実的なアーキテクチャだ。

だれが本当に「オンチェーン・プライベートAI推論」を必要としているのか

すべてのAIユーザーに、ここまでの防御レベルが必要なわけではない。それでも、プロンプトログの存在が即座に「実害」へつながり得るペルソナが、現実に存在する。そのニーズにピンポイントで応えるのがプライベート推論だ。

法務・コンプライアンス担当者
AIに投げる内容は、契約書レビュー、証拠文書の精査、判例リサーチなど、機密性の高い案件が中心になる。こうしたクライアントコミュニケーションをログを残す前提の中央集権型AIに渡せば、弁護士―依頼者間秘匿特権を侵害しかねず、一部の米州弁護士会の倫理規程に抵触するおそれもある。プライベート推論であれば、「第三者がログを保持する」という構造自体を排除できる。

医療関係者・研究者
彼らはHIPAAなどの法規制の下で、保護対象医療情報（PHI）をどこに送信し、どこに保存してよいか厳格に縛られている。標準的なChatGPTをそのまま診療記録作成に使えば、コンプライアンス上のリスクが発生する。患者データを「保存しない」ことをTEEレベルで証明できる推論システムは、リスクプロファイルが根本的に異なる。

金融アナリスト・トレーダー
未公表の重要事実（MNPI）を扱う彼らは、その情報がログとして残り、後から発見・漏えいされる可能性のあるシステムに投入することを、法的に許されていない。プライベート推論であれば、M&A案件や資本政策といったセンシティブなデータをAIにかけても、規制当局に残るような「証跡」を作らずに済む。

高監視環境下にいる個人──ジャーナリスト、活動家、反体制派など
センシティブなリサーチにAIの助けを借りたい一方、その検索内容がログとして残ること自体がリスクとなる。一般的なツールは、彼らにとって潜在的な負債だ。プライベート推論は、このジレンマを緩和する。

企業の機密情報（トレードシークレット）を守る経営層・R&D部門
研究開発クエリ、競合分析、独自アルゴリズムやレシピの検索などをAIにかけても、その内容が第三者サーバーに長期保存され、後にハッキングやサブポエナ（召喚状）、スクレイピングなどを通じて流出するリスクを最小化できる。

一方で、メールの下書き作成、クリエイティブ文書の生成、雑学の質問といった一般ユーザーのライトな使い方では、プライベート推論に伴うコストプレミアムを支払う合理性は薄い。将来的にコストが逓減すればマス層へも波及していくだろうが、現時点で最も分かりやすい価値提案は、こうした「高リスク案件」を抱えるユーザー層にある。

結論

オンチェーン・プライベートAI推論は、多くの人が「自分には関係ない」と考えていた領域に、新たな問題意識を突き付けつつある。

中央集権型AIプロバイダーは、デフォルトでプロンプトをログとして保存する。その結果、企業──ひいては政府──が、ユーザーの最もセンシティブな思考の一部をのぞき見るポジションを事実上手にしている。

解決策は「AIを使わないこと」ではない。「どこで推論を行うか」を変えることだ。

Trusted Execution Environment（TEE）を使えば、分散ネットワーク上のノードオペレーターが、ユーザーのプロンプトを「読むことなく」大規模言語モデルを実行することが、すでに技術的に可能になっている。

このプライバシー保証は、利用規約や社内ポリシーといったソフトな約束事ではなく、ハードウェアレベルで強制される。そこが決定的に違う。

Venice Tokenは、こうしたアーキテクチャの現在もっとも代表的な実装の一つだが、あくまで「一事例」にすぎない。GPUコストの低下とTEEハードウェアの進化が進めば、同様のデザインパターンは分散型AIセクター全体に広がっていくだろう。

次に読む: Wawrinka's Last Clay Match Arrives Inside A 3M-User Prediction Market Boom