Venice Token expõe o que o ChatGPT esconde sobre os seus prompts

Sempre que escreve um prompt numa IA centralizada, esse texto viaja até a um servidor, é processado — e registado.

A empresa que opera esse servidor pode lê‑lo. Pode armazená‑lo, usá‑lo para treinar modelos futuros e entregá‑lo a reguladores se for intimada.

A maioria das pessoas aceita esta troca sem refletir muito.

Mas um grupo crescente de projetos em blockchain — com a Venice à cabeça neste momento — está a construir algo diferente: uma arquitetura em que nem o operador da rede, nem qualquer outro interveniente consegue ver o que perguntou.

Perceber como isso funciona implica destrinçar dois problemas distintos. Primeiro, para onde vai a sua informação quando consulta uma IA. Segundo, que ferramentas criptográficas conseguem impedir que esses dados se derramem pelo caminho.

As respostas são mais concretas do que parece.

Resumo rápido

Fornecedores centralizados como a OpenAI registam por defeito os prompts dos utilizadores, dando à empresa visibilidade total sobre as suas perguntas.

Inferência de IA privada on-chain encaminha pedidos por redes de nós descentralizados e usa hardware de computação confidencial para processar dados sem os expor, nem sequer ao operador do nó.

Venice Token (VVV) é hoje a implementação mais acompanhada deste modelo, executando inferência na Base com uma arquitetura que prioriza privacidade na camada de aplicação.

As principais concessões estão em velocidade, custo e dimensão do modelo: a inferência privada é hoje mais lenta e mais cara do que uma chamada API convencional.

Esta arquitetura é especialmente relevante para consultas médicas, jurídicas, financeiras e empresariais, em que a confidencialidade do prompt é inegociável.

O que é “inferência” — e porque é aqui que a privacidade quebra

Modelos de inteligência artificial vivem duas fases. A primeira é o treino, quando o modelo aprende a partir de um volume massivo de dados. A segunda é a inferência, quando o modelo já treinado recebe um novo input — a sua pergunta — e produz uma resposta. Toda a vez que usa o ChatGPT, Claude ou Gemini, está a acionar inferência.

É na inferência que a privacidade cede. No treino, os seus dados não entram em jogo. Mas na inferência, o seu prompt tem de ser visível para o sistema que o processa, pelo menos no instante do cálculo. Não é possível perguntar algo a um modelo dentro de uma caixa fechada sem que o modelo, de algum modo, leia a pergunta.

Em sistemas centralizados, resolver esse constrangimento não é prioridade.

As políticas de utilização da OpenAI permitem à empresa usar inputs da API para monitorização de segurança e, salvo opt‑out explícito através de contratos empresariais, para melhoria de modelos. A esmagadora maioria dos utilizadores de consumo nunca faz opt‑out. O resultado é uma massa gigantesca de pensamento sensível armazenada em bases de dados corporativas.

O problema de privacidade na inferência de IA não é teórico; é o estado padrão de todas as grandes plataformas centralizadas de IA hoje.

A inferência descentralizada inverte o pressuposto. Em vez de confiar num servidor central, a questão passa a ser se é possível tornar qualquer nó de uma rede distribuída incapaz de ler o seu prompt, mesmo enquanto executa o modelo que lhe responde.

Como funciona, na prática, o registo de dados pelas IAs centralizadas

Quando envia um prompt para a API de uma IA centralizada, o pedido viaja por HTTPS até à infraestrutura do fornecedor. Essa encriptação protege os dados em trânsito, impedindo que terceiros na rede os intercetem. Mas, chegando ao servidor, a camada HTTPS é retirada.

O software do fornecedor passa a ver o texto em claro. A partir daí, é a empresa que decide o destino desse conteúdo.

Muitos fornecedores empresariais oferecem modos de não retenção, em que os prompts não são armazenados após a sessão. O Microsoft Azure OpenAI Service, por exemplo, permite a clientes corporate configurarem endpoints onde os inputs não são registados em disco.

Mas estas opções exigem contrato empresarial pago e configuração ativa. No consumo de retalho, a regra é guardar.

O registo ocorre em múltiplas camadas. Logs de aplicação captam o pedido bruto. A infraestrutura que serve o modelo pode colocar prompts em cache por razões de performance. Filtros de segurança analisam o conteúdo antes e depois da geração. Cada camada é um sistema onde os seus dados existem em formato legível. Mesmo com políticas rígidas de eliminação, esses dados existiram num ponto em sistemas que podem, em teoria, ser auditados, violados ou alvo de intimação judicial no momento do processamento.

O incentivo comercial reforça o problema. Um modelo treinado com consultas reais dos utilizadores é um modelo melhor. Empresas que recolhem dados de prompts têm uma vantagem estrutural na melhoria dos seus produtos. Isto cria uma tensão permanente entre privacidade do utilizador e otimização de negócio que os fornecedores centralizados, por desenho, não conseguem eliminar.

As duas ferramentas criptográficas que viabilizam inferência privada

Duas técnicas principais permitem executar inferência sem expor os dados de entrada à entidade que computa. Não são excludentes e implementações reais costumam combiná‑las.

Trusted Execution Environments (TEEs) são enclaves seguros a nível de hardware nos processadores modernos. SGX, da Intel, e SEV‑SNP, da AMD, são os exemplos mais difundidos. Um TEE cria uma região de memória isolada que nem o sistema operativo, nem o operador do nó, nem o próprio fabricante do chip conseguem ler. O código que corre dentro do TEE é atestado: uma parte remota pode verificar, criptograficamente, que um programa específico e não adulterado está a ser executado num enclave genuíno. O seu prompt entra no enclave encriptado, o modelo corre lá dentro, e o output sai novamente encriptado. O operador do nó, dono da máquina física, não vê nada.

Fully Homomorphic Encryption (FHE) segue outra via. A FHE permite fazer cálculos matemáticos sobre dados encriptados sem nunca os desencriptar. O modelo opera sobre texto cifrado e gera um resultado igualmente cifrado, que só o requerente original consegue desencriptar. Do ponto de vista teórico, é elegante; do ponto de vista prático, é brutal em termos computacionais. Executar uma passagem de inferência de um grande modelo de linguagem sob FHE é hoje ordens de grandeza mais lento do que a inferência normal. As implementações atuais usam FHE para modelos menores ou para sub‑cálculos específicos, e não para respostas completas de LLM.

TEEs permitem inferência privada hoje, com velocidades próximas do normal. FHE oferece garantias teóricas superiores, mas continua demasiado lenta para a maioria dos casos de uso de LLM no mundo real em meados de 2026.

Uma terceira técnica emergente é a computação multipartidária segura (MPC), em que os pesos do modelo e o input do utilizador são repartidos por várias partes que colaboram no cálculo sem que nenhum interveniente veja o quadro completo. A MPC é flexível, mas introduz custos significativos de coordenação.

Como a Venice constrói inferência privada em blockchain

A Venice opera sobre a blockchain Base, uma rede de segunda camada (Layer 2](https://yellow.com/learn/layer-2-blockchain-explained)) de Ethereum (ETH). A arquitetura da Venice separa três funções que, nos fornecedores centralizados, vêm empacotadas: alojamento do modelo, computação de inferência e liquidação de pagamentos.

Operadores de nós na rede Venice fornecem poder de computação em GPU.

Eles descarregam pesos de modelos open source — Llama, Mistral e outros modelos abertos — e servem pedidos de inferência com base nesses pesos. Como os modelos são abertos, não há propriedade intelectual de modelo a proteger. O desafio de privacidade incide exclusivamente sobre o input e o output do utilizador.

A Venice recorre a isolamento via TEE nos nós participantes. Quando um utilizador envia uma questão pela interface da Venice, o pedido é encaminhado para um nó cujo ambiente TEE o processa. O sistema anfitrião do operador não consegue inspecionar o conteúdo do enclave. Provas de atestação permitem ao cliente verificar que o software de inferência correto e intacto está a correr antes de submeter o prompt.

O Venice Token (VVV) é o ativo utilitário desta rede. Dá direito de acesso a capacidade de inferência, com stakers a receberem prioridade na alocação de throughput. O token cria uma camada económica sobre a infraestrutura de privacidade: provedores de computação ganham comissões, e utilizadores gastam ou fazem stake de VVV para aceder à capacidade de inferência privada. Isto vai além de “privacidade” como claim de marketing: a arquitetura TEE impõe essa proteção ao nível de hardware, independentemente da vontade da empresa Venice ou dos seus operadores.

A categoria mais ampla é frequentemente designada inferência de IA descentralizada, e a Venice é apenas um dos projetos a persegui‑la. Gensyn, io.net e Akash Network também atacam o problema da distribuição de GPU, com graus distintos de garantias de privacidade. A diferenciação da Venice está no compromisso explícito com a privacidade do prompt como restrição principal de design, e não como extra opcional.

O que o operador do nó vê — e o que nunca vê

Importa ser rigoroso, porque “privado” pode induzir em erro. Numa arquitetura à la Venice com TEE, a visibilidade do operador do nó é estritamente limitada pela fronteira do hardware.

O que o operador do nó não consegue ver: o texto em claro do seu prompt, os cálculos intermédios dentro do modelo, o texto em claro da resposta antes de ser encriptada para lhe ser devolvida.

O que o operador do nó consegue ver: o facto de a sua máquina estar a processar um pedido (chegou um job), a dimensão do pedido e da resposta em bytes, o timing da transação e o endereço de carteira ou identificador associado ao pedido, caso este não seja ainda mais anonimizado.

Isto significa que o sistema é, acima de tudo, concebido para tornar economicamente e tecnicamente inviável o acesso ao conteúdo sem sacrificar por completo a usabilidade — preenchendo um espaço que as plataformas convencionais de IA, por natureza, não conseguem ocupar. privado no sentido mais forte em termos de conteúdo – ninguém consegue ver o que foi perguntado nem o que o modelo respondeu. Já em metadata, o anonimato não é total. Um operador pode observar que o endereço X enviou um prompt de 340 tokens às 14h22 UTC e recebeu uma resposta de 1.200 tokens. A análise de padrões ao longo do tempo pode, em tese, permitir inferir aspetos sensíveis sobre o uso, mesmo sem acesso ao conteúdo.

Para a maioria das aplicações práticas — um escritório de advocacia tratando de assuntos confidenciais de clientes, um médico a consultar diagnósticos diferenciais, uma empresa a analisar dados financeiros proprietários — a privacidade de conteúdo é o requisito central. A fuga de metadata é uma preocupação secundária, que pode ser mitigada com ferramentas adicionais na camada de rede, como VPNs ou esquemas de identidade com provas de conhecimento zero.

Sistemas baseados em TEE oferecem privacidade de conteúdo por imposição de hardware. A privacidade de metadata exige camadas adicionais de anonimização na aplicação, algo que as implementações atuais deixam a cargo do utilizador.

Os Verdadeiros Trade-Offs Em Velocidade, Custo E Tamanho De Modelo

Inferência privada tem um preço. O overhead vem de várias fontes; entendê-las ajuda a avaliar se a troca compensa no seu caso de uso.

Velocidade. Enclaves TEE introduzem overhead de isolamento de memória. Paginação de memória encriptada e handshakes de atestação adicionam latência face a uma GPU bare-metal a correr um servidor de inferência convencional.

Na prática, inferência baseada em TEE numa máquina AMD EPYC moderna com SEV-SNP é tipicamente entre 10% e 30% mais lenta do que a inferência sem TEE em hardware equivalente, segundo benchmarks da equipa SUAVE da Flashbots e documentação para developers da AMD. É um impacto relevante, mas não proibitivo para a maioria das aplicações conversacionais.

Custo. Redes descentralizadas de computação ainda não conseguem replicar a economia de escala dos clusters GPU dos hyperscalers. Amazon, Google e Microsoft operam a uma escala que empurra o custo marginal de inferência para frações de cêntimo por mil tokens. As redes descentralizadas não têm essa densidade de utilização. A Venice e redes semelhantes tendem a cobrar um prémio face às APIs centralizadas. Esse prémio é, na prática, o custo explícito da privacidade.

Tamanho de modelo. Enclaves TEE dispõem de memória protegida limitada. Carregar um modelo de 70 mil milhões de parâmetros inteiramente dentro de um enclave seguro hoje não é viável na maior parte do hardware.

Na prática, as implementações ou usam modelos menores (7B a 13B parâmetros), ou adotam uma arquitetura híbrida em que as camadas sensíveis de input-output correm dentro do TEE enquanto as multiplicações de matrizes não sensíveis correm em memória não protegida, ou ainda recorrem à encriptação dos pesos do modelo em vez de carregar tudo no enclave. Isto é relevante porque os modelos de fronteira mais potentes, da classe GPT‑4 com centenas de mil milhões de parâmetros, não podem hoje ser executados de forma plenamente privada sob as limitações atuais de TEE.

O resumo honesto é: inferência privada hoje oferece forte privacidade com modelos abertos de 7B a 13B parâmetros, a um custo 2 a 5 vezes superior às APIs centralizadas. Se o seu caso de uso cabe dentro destes limites, a arquitetura é plenamente utilizável em produção já hoje.

Quem Realmente Precisa De Inferência De IA Privada On-Chain

Nem todos os utilizadores de IA precisam deste nível de proteção. Mas alguns perfis enfrentam riscos reais e imediatos com o registo de prompts — riscos que a inferência privada endereça diretamente.

Profissionais jurídicos e de compliance usam IA rotineiramente para análise documental, revisão contratual e pesquisa de jurisprudência. Enviar comunicações de clientes para uma IA centralizada que regista inputs cria potenciais problemas de sigilo profissional e pode violar regras deontológicas de ordens de advogados em vários estados dos EUA. A inferência privada elimina o problema do logging por terceiros.

Profissionais de saúde e investigadores operam sob o regime HIPAA, que limita onde informação clínica protegida pode ser transmitida e armazenada. Usar o ChatGPT padrão para documentação clínica abre uma frente de risco regulatório. Um sistema de inferência baseado em TEE que comprove que nunca armazena dados de pacientes representa um perfil de risco categoricamente distinto.

Analistas financeiros e traders que trabalham com informação privilegiada e não pública não podem, por lei, injetar esses dados em sistemas onde possam ser registados, descobertos ou expostos. A inferência privada permite usar ferramentas de IA sobre dados sensíveis de operações sem criar um rasto regulatório.

Indivíduos em contextos de vigilância intensiva — jornalistas, ativistas, dissidentes — podem precisar de apoio de IA para pesquisas sensíveis sem deixar um registo do que procuraram. As ferramentas padrão são um passivo. A inferência privada não é.

Empresas que protegem segredos industriais podem submeter a IA a consultas de I&D, análises competitivas e fórmulas proprietárias sem o risco de essa informação ficar armazenada num servidor de terceiros, vulnerável a intrusões, intimações judiciais ou scraping.

Para utilizadores ocasionais — redigir emails, gerar conteúdo criativo, responder a curiosidades — o overhead da inferência privada provavelmente não justifica o prémio de custo. A arquitetura tenderá a democratizar-se à medida que os custos caírem, mas o valor imediato é mais claro nos casos de uso de alto risco descritos acima.

Considerações Finais

Inferência de IA privada on-chain está a resolver um problema que a maioria das pessoas nem sabia que tinha.

Provedores centralizados de IA registam prompts por defeito. Isso dá a empresas — e potencialmente a governos — visibilidade sobre alguns dos processos de pensamento mais sensíveis dos seus utilizadores.

A solução não é deixar de usar IA. É mudar onde a inferência acontece.

Trusted Execution Environments tornam possível, hoje, que um operador de nó descentralizado corra um modelo de linguagem sobre o seu prompt sem nunca conseguir lê-lo.

O hardware faz cumprir a garantia de privacidade a um nível que nenhuma política ou termos de serviço conseguem igualar.

O Venice Token é, neste momento, a implementação mais visível desta arquitetura. Mas é apenas a expressão mais avançada de um padrão de design mais amplo — que deverá espalhar-se pelo setor de IA descentralizada à medida que o custo de computação em GPU desce e o hardware TEE evolui.

Leia a seguir: Último Jogo De Wawrinka No Saibro Acontece Em Meio A Boom De Mercado De Previsões Com 3 Milhões De Utilizadores