Venice Token expõe o que o ChatGPT esconde sobre os seus prompts

Sempre que você digita um prompt em uma IA centralizada, esse texto viaja até um servidor, é processado — e registrado em log.

A empresa que controla esse servidor pode ler tudo. Pode armazenar, usar esse material para treinar modelos futuros e entregá-lo a reguladores se for obrigada.

A maioria das pessoas aceita essa troca sem pensar duas vezes.

Mas um grupo crescente de projetos em blockchain — com a Venice hoje na linha de frente — está criando algo diferente: uma arquitetura em que nem o operador da rede nem qualquer outro participante consegue ver o que você perguntou.

Para entender como isso funciona na prática, é preciso separar dois problemas. Primeiro, para onde seus dados vão quando você consulta uma IA. Segundo, quais ferramentas criptográficas conseguem impedir vazamentos desses dados.

As respostas são mais concretas do que parecem.

Resumo rápido

Provedores de IA centralizada como a OpenAI registram prompts de usuários por padrão, dando à empresa visibilidade total sobre suas consultas.

Inferência privada de IA on-chain encaminha requisições por uma rede descentralizada de nós e usa hardware de computação confidencial para processar dados sem expô-los, nem mesmo ao operador do nó.

Venice Token (VVV) é hoje a implementação mais observada desse modelo, rodando inferência na Base com foco em privacidade já na camada de aplicação.

Os principais trade-offs são velocidade, custo e tamanho de modelo: hoje, inferência privada é mais lenta e mais cara que uma chamada de API tradicional.

Essa arquitetura é crucial para consultas médicas, jurídicas, financeiras e empresariais em que a confidencialidade do prompt é inegociável.

Por que a “inferência” é o gargalo da privacidade

Modelos de inteligência artificial têm duas fases de vida. A primeira é o treinamento, quando o modelo aprende a partir de um grande conjunto de dados. A segunda é a inferência, quando o modelo já treinado recebe uma nova entrada — a sua pergunta — e produz uma resposta. É o que acontece toda vez que você usa ChatGPT, Claude ou Gemini.

É na inferência que a privacidade desmorona. No treinamento, seus dados nem entram na equação. Já na inferência, o seu prompt precisa estar visível para o sistema no momento do cálculo. Não dá para perguntar algo a um modelo dentro de uma caixa-preta sem que o modelo leia a pergunta de alguma forma.

Em sistemas centralizados, resolver essa limitação não é prioridade.

As políticas de uso da OpenAI permitem que a empresa use entradas de API para monitoria de segurança e, salvo exceções empresariais específicas, também para melhorar modelos. A esmagadora maioria dos usuários finais não opta por sair desse regime. O resultado é um volume gigantesco de pensamento humano sensível armazenado em bases de dados corporativas.

O problema de privacidade na inferência de IA não é hipotético; é o padrão de funcionamento de todas as grandes plataformas centralizadas hoje.

A inferência descentralizada inverte essa lógica. Em vez de confiar em um servidor central, a questão passa a ser: é possível garantir que nenhum nó de uma rede distribuída consiga ler o seu prompt, mesmo rodando o modelo que responde à sua pergunta?

Como funciona o registro de dados na IA centralizada

Quando você envia um prompt para a API de uma IA centralizada, a requisição viaja via HTTPS até a infraestrutura do provedor. Essa criptografia protege os dados em trânsito, impedindo que terceiros na rede capturem o conteúdo. Mas, assim que chega ao servidor, a camada HTTPS é removida.

O software do provedor vê o texto em claro. A partir daí, é o provedor que decide o que fazer com esse conteúdo.

Muitos serviços corporativos oferecem modos de retenção zero, em que os prompts não são armazenados após o fim da sessão. O Microsoft Azure OpenAI Service, por exemplo, permite que clientes empresariais configurem endpoints em que as entradas não são gravadas em disco.

Mas esse tipo de configuração exige contrato corporativo e ajuste ativo. Para o usuário comum, o padrão é retenção.

O registro ocorre em várias camadas. Logs de aplicação capturam a requisição bruta. A infraestrutura que serve o modelo pode armazenar prompts em cache para otimização de desempenho. Filtros de segurança vasculham o conteúdo antes e depois da geração da resposta. Cada camada é um sistema em que seus dados existem em forma legível. Mesmo com políticas rígidas de exclusão, esses dados passaram por sistemas que podem, em tese, ser auditados, invadidos ou alvo de intimações no momento do processamento.

O incentivo comercial reforça isso. Um modelo treinado em consultas reais de usuários tende a ser melhor. Empresas que coletam prompts têm uma vantagem estrutural para aprimorar produtos. Isso cria uma tensão permanente entre privacidade do usuário e otimização de negócios que, por desenho, provedores centralizados não conseguem eliminar.

As duas ferramentas criptográficas que viabilizam inferência privada

Duas técnicas principais permitem rodar inferência sem expor os dados de entrada para quem computa. Elas não são excludentes — implementações reais costumam combinar ambas.

Trusted Execution Environments (TEEs) são enclaves seguros em nível de hardware, embutidos em processadores modernos. Os exemplos mais difundidos são o SGX da Intel e o SEV-SNP da AMD. Um TEE cria uma região de memória isolada que o sistema operacional hospedeiro, o operador do nó e até o próprio fabricante do chip não conseguem ler. O código rodando nesse enclave é atestado criptograficamente: uma parte remota pode verificar que um programa específico, sem modificações, está em execução dentro de um enclave genuíno. Seu prompt entra criptografado, o modelo roda dentro do enclave, e a saída sai criptografada. O dono da máquina física não vê nada.

Criptografia totalmente homomórfica (FHE) segue outra via. A FHE permite executar operações matemáticas sobre dados criptografados sem nunca precisar decriptá-los. O modelo trabalha sobre o texto cifrado e produz uma saída igualmente cifrada, que só o solicitante original consegue decifrar. Conceitualmente é elegante, mas operacionalmente é pesado. Rodar um modelo de linguagem grande sob FHE é hoje várias ordens de magnitude mais lento do que a inferência tradicional. Implementações práticas usam FHE para modelos menores ou partes específicas do cálculo, não para uma resposta completa de LLM.

TEEs viabilizam inferência privada hoje, com desempenho próximo ao normal. FHE oferece garantias teóricas mais fortes, mas continua lenta demais para a maioria dos usos com LLMs, ao menos até meados de 2026.

Uma terceira técnica emergente é a computação multipartidária segura (MPC), em que os pesos do modelo e a entrada do usuário são divididos entre vários participantes, que colaboram para gerar a saída sem que nenhum deles veja o quadro completo. A MPC é flexível, mas adiciona forte sobrecarga de coordenação.

Como a Venice constrói inferência privada em blockchain

A Venice roda na blockchain Base, uma rede de segunda camada de Ethereum (ETH) Layer 2. A arquitetura da Venice separa três funções que, em provedores centralizados, vêm empacotadas juntas: hospedagem do modelo, computação de inferência e liquidação de pagamentos.

Operadores de nós na rede Venice contribuem com poder computacional de GPU.

Eles baixam pesos de modelos open source — como Llama, Mistral e outros — e atendem às requisições de inferência a partir desses pesos. Como os modelos são abertos, não há segredo proprietário a proteger. O desafio de privacidade se restringe a entrada e saída do usuário.

A Venice usa isolamento baseado em TEE nos nós participantes. Quando um usuário envia uma pergunta pela interface da Venice, a requisição é encaminhada para um nó cujo ambiente TEE faz o processamento. O sistema hospedeiro do operador não consegue inspecionar o conteúdo do enclave. Provas de atestação permitem ao cliente verificar que o software de inferência correto e não modificado está rodando antes de enviar o prompt.

O Venice Token (VVV) é o ativo utilitário da rede. Dá acesso à capacidade de inferência, com stakers recebendo prioridade de throughput. O token cria uma camada econômica sobre a infraestrutura de privacidade: provedores de computação ganham taxas, e usuários gastam ou fazem stake de VVV para acessar inferência privada. A privacidade deixa de ser apenas discurso de marketing: a arquitetura em TEE a impõe no nível de hardware, independentemente da vontade da empresa Venice ou de seus operadores.

Esse guarda-chuva é conhecido como inferência de IA descentralizada, e a Venice é um entre vários projetos nessa direção. Gensyn, io.net e Akash Network também exploram computação distribuída de GPU, com graus diversos de garantia de privacidade. O diferencial da Venice é tratar a proteção do prompt como restrição central de projeto, não como extra opcional.

O que o operador do nó vê — e o que não vê

Vale ser preciso, porque “privado” pode soar enganoso. Em uma arquitetura com TEE como a da Venice, a visibilidade do operador do nó é rigidamente limitada pela barreira de hardware.

O que o operador não vê: o texto em claro do seu prompt, os cálculos intermediários do modelo, a resposta em claro antes de ser criptografada para envio.

O que o operador vê: que sua máquina está processando uma requisição (um job chegou), o tamanho da entrada e da saída em bytes, o momento da transação e o endereço de carteira ou identificador vinculado à requisição, caso não haja camadas adicionais de anonimização.

Isso significa que o sistema é desenhado para manter o conteúdo da conversa blindado, mesmo que a atividade de uso — como qualquer sistema on-chain — continue visível em nível de metadados. Privacidade máxima no nível do conteúdo: ninguém consegue ler o que você perguntou ou o que o modelo respondeu. Já no nível de metadados, o sigilo não é absoluto. Um operador pode ver que o endereço X enviou um prompt de 340 tokens às 14h22 UTC e recebeu uma resposta de 1.200 tokens. Ao longo do tempo, a análise desses padrões pode permitir inferir aspectos sensíveis do uso, mesmo sem acesso ao conteúdo em si.

Para a esmagadora maioria dos casos de uso prático — um escritório de advocacia tratando de assuntos sigilosos de clientes, um médico checando diagnósticos diferenciais, uma empresa analisando dados financeiros proprietários — a privacidade de conteúdo é o ponto crítico. Vazamentos de metadados são uma preocupação secundária, que pode ser mitigada por ferramentas adicionais na camada de rede, como VPNs ou esquemas de identidade com prova de conhecimento zero.

Sistemas baseados em TEE garantem privacidade de conteúdo por imposição de hardware. Privacidade de metadados exige camadas extras de anonimização na aplicação, que as implementações atuais ainda deixam a cargo do usuário.

Os Verdadeiros Trade-offs Em Velocidade, Custo E Tamanho De Modelo

Inferência privada tem preço. O overhead vem de diversas fontes, e entender essas fricções ajuda a avaliar se o custo-benefício faz sentido para o seu caso de uso.

Velocidade. Enclaves TEE introduzem overhead de isolamento de memória. Paginação de memória criptografada e handshakes de atestação adicionam latência em relação a uma GPU bare metal rodando um servidor de inferência convencional.

Na prática, inferência em TEE em um servidor moderno AMD EPYC com SEV-SNP roda tipicamente entre 10% e 30% mais lenta do que a inferência sem TEE em hardware equivalente, segundo benchmarks publicados pela equipe SUAVE da Flashbots e pela documentação para desenvolvedores da AMD. É uma diferença relevante, mas não impeditiva, para a maioria das aplicações conversacionais.

Custo. Redes descentralizadas de computação ainda não conseguem replicar a economia de escala dos grandes clusters de GPU dos hyperscalers. Amazon, Google e Microsoft operam em um nível que empurra o custo marginal de inferência para frações de centavo por mil tokens. Redes descentralizadas não têm a mesma densidade de utilização. A Venice e projetos semelhantes costumam cobrar um prêmio em relação às APIs centralizadas. Esse ágio é, na prática, o custo explícito da privacidade.

Tamanho de modelo. Enclaves TEE contam com memória protegida limitada. Carregar integralmente um modelo de 70 bilhões de parâmetros dentro do enclave simplesmente não é viável, hoje, na maior parte do hardware disponível.

Implementações reais acabam seguindo três caminhos: usar modelos menores (7B a 13B parâmetros); adotar um desenho híbrido, em que as camadas sensíveis de entrada e saída rodam dentro do TEE enquanto as multiplicações de matrizes, consideradas menos sensíveis, ficam em memória não protegida; ou criptografar os pesos do modelo em vez de fazer o carregamento completo no enclave. Isso importa porque os modelos de fronteira mais potentes, da classe GPT-4, com centenas de bilhões de parâmetros, ainda não conseguem rodar de forma totalmente privada dentro das limitações atuais de TEE.

Em termos francos, a inferência privada hoje oferece forte proteção de privacidade com modelos abertos de 7B a 13B parâmetros, a um custo de 2x a 5x o das APIs centralizadas. Se o seu caso de uso se encaixa nesse intervalo, a arquitetura já é viável em produção.

Quem Realmente Precisa De Inferência De IA Privada On-Chain

Nem todo usuário de IA precisa desse nível de blindagem. Mas alguns perfis lidam com riscos imediatos e concretos de registro de prompts que a inferência privada resolve de forma direta.

Profissionais jurídicos e de compliance usam IA rotineiramente para análise de documentos, revisão contratual e pesquisa de precedentes. Enviar comunicações com clientes para um provedor centralizado que registra entradas cria potencial quebra de sigilo advogado-cliente e pode violar regras éticas de ordens de advogados em vários estados norte-americanos. A inferência privada elimina o problema do log mantido por um terceiro.

Profissionais de saúde e pesquisadores operam sob o guarda-chuva da HIPAA, que restringe onde informações médicas protegidas podem ser transmitidas e armazenadas. Usar um ChatGPT padrão para documentação clínica abre uma frente de risco regulatório. Um sistema de inferência baseado em TEE que comprove, de forma verificável, que jamais armazena dados de pacientes representa um perfil de risco completamente distinto.

Analistas financeiros e traders que lidam com informações relevantes não públicas não podem, por lei, inserir esses dados em sistemas que possam registrá-los, expô-los em descoberta judicial ou vazá-los. A inferência privada permite usar ferramentas de IA sobre dados sensíveis de operações sem criar um rastro documental regulatório.

Indivíduos em ambientes de alta vigilância — jornalistas, ativistas, dissidentes — podem precisar de apoio de IA para pesquisas delicadas sem deixar um registro do que foi consultado. Ferramentas padrão viram um passivo. Inferência privada não.

Empresas que protegem segredos industriais podem rodar consultas de P&D, análises competitivas e pesquisas envolvendo fórmulas proprietárias em IA sem o risco de que esse material seja armazenado em servidores de terceiros passíveis de invasão, intimação judicial ou raspagem de dados.

Para o usuário casual — redigir e-mails, gerar conteúdo criativo, tirar dúvidas triviais — o overhead da inferência privada provavelmente não compensa o prêmio de preço. A arquitetura tende a “descer” para esse público à medida que os custos caem, mas o benefício imediato é mais nítido nos casos de uso de alto risco descritos acima.

Considerações Finais

Inferência privada de IA on-chain está resolvendo um problema que a maior parte das pessoas nem sabia que tinha.

Provedores centralizados de IA registram prompts por padrão. Isso dá a corporações — e, potencialmente, a governos — visibilidade sobre alguns dos pensamentos mais sensíveis que seus usuários produzem.

A saída não é abandonar a IA, e sim mudar onde a inferência acontece.

Ambientes de Execução Confiável (TEEs) já permitem, hoje, que um operador de nó descentralizado rode um modelo de linguagem sobre o seu prompt sem nunca conseguir ler esse conteúdo.

O hardware impõe a garantia de privacidade em um nível que nenhuma política de uso ou termo de serviço consegue igualar.

O Venice Token é a implementação mais visível dessa arquitetura no momento. Mas ele é apenas o caso mais óbvio de um padrão de design mais amplo — um modelo que tende a se espalhar por todo o segmento de IA descentralizada à medida que o custo de computação em GPU cai e o hardware de TEE evolui.

Leia a seguir: Último Jogo De Wawrinka No Saibro Acontece Em Meio A Boom De Mercado De Previsão Com 3M De Usuários