私たちも読めないAIチャット「Brianni」を構築しました——嘘をついていないことを証明する方法

Brianniは、GPT、Claude、Geminiを一つのアプリに統合したAIチャットサービスです。その中核的な主張は、オペレーター（運営者）でさえユーザーの会話を読むことができないという点にあります。他の多くの企業が「プライバシーを重視しています」と約束するだけであるのに対し、Brianniは検証可能なアーキテクチャを採用し、ユーザーが運営者の言葉を信じる必要なく、技術的に確認できるようにしています。

システムの鍵は、暗号鍵を完全にユーザーが管理することです。登録時にユーザーのデバイスで24語のリカバリーフレーズが生成され、すべてのチャット暗号鍵はこれから派生します。サーバーは暗号文のみを保存し、復号するための鍵を持ちません。万一データベースが漏洩しても、攻撃者は無意味なバイナリしか入手できません。

会話の平文は、セッション中にのみAWS Nitro Enclave内で一時的に存在します。これはハードウェア分離された環境であり、インタラクティブなアクセスはできず、ホストマシンでさえも入れません。EnclaveがAIモデルにリクエストを送り、応答をユーザーの鍵で再暗号化した後、メモリをゼロクリアします。APIキーもEnclave内にのみ存在し、設定バリデーターがホストへの配置を拒否します。

ユーザーのデバイスは、各セッションの前にEnclaveの真正性を検証します。クライアントがランダムなnonceを生成しアテステーションを要求すると、EnclaveはAWSハードウェアによって署名されたアテステーションドキュメントを返します。これにはコードの測定値（PCR0）、nonce、タイムスタンプが含まれます。クライアントは署名チェーンを検証し、PCR0をクライアントに固定された値と比較します。一致しない場合、セッションは即座に終了し、フォールバックや警告付きの再試行は行われません。

PCR0はEnclaveイメージの暗号指紋であり、コードの1バイトでも変更すれば値が変わります。現在固定されている測定値は79dd3fefb84afcdbbbc5c5c02635e9513fafd562eacc7df8c3215b25ad26db60a635cfec792d65bddbe8766bed58d6bbです。BrianniのEnclaveコードはオープンソースであり、再現可能なビルドに対応しています。同じツールチェーンを使えば誰でもバイト単位で同一のイメージを生成でき、したがって同一のPCR0が得られます。これにより、ユーザーはサーバーサイドで実際に実行されているコードが公開ソースと一致するかを独立して検証できます。

再現可能なビルドにはNitro対応のx86_64 EC2インスタンスが必要ですが、スポットインスタンスを使えば低コストで実行できます。ユーザーはリポジトリをクローンし、ビルドスクリプトを実行して、出力されたPCR0が宣言された値と一致するか比較するだけです。異なる場合、再現性のバグ（作者はいくつか修正済み）か、運営者が嘘をついているかのどちらかです。いずれにせよ、ユーザーは重要な発見をしたことになります。

なお、一部の設定ドキュメント（プロバイダー/モデルレジストリ、エージェントスキルプロンプトなど）はイメージに組み込まれていませんが、オフライン署名とバージョン管理によって改ざんを防止しています。これらのドキュメントの署名はEnclave内で検証され、その公開鍵は測定されたイメージに組み込まれています。

Brianniでは、運営者が見ることができるデータとできないデータを明確に公開しています。メールアドレス、支払い状況、利用時間などのメタデータは見えますが、会話の平文、保存されたプロンプト、復元フレーズ、チャット鍵は見えません。製品自体にはアナリティクス、トラッカー、フィンガープリンティングは一切含まれておらず、CIゲートがビルドごとにチェックしてトラッカーを検出するとビルドを失敗させます。

このサービスはサブスクリプション方式で収益を得ており、無料トライアル、Pro（月額19.99ドル）、Max（月額99ドル）のプランがあります。広告はなく、データの収益化もありません——たとえ望んでも、アーキテクチャ上不可能です。

要するに、Brianniは技術によって信頼の必要性を減らすことを目指しています。ユーザーはコードを検証し、Enclaveを再構築し、測定値を比較することで、運営者が嘘をついていないかを確認できます。この検証可能なプライバシー保護のモデルは、AIチャットの分野に新たな基準を打ち立てるものです。