O cofundador do Ethereum, Vitalik Buterin, desenvolveu um sistema de privacidade de código aberto para agentes de IA que combina roteamento Tor, pagamentos anônimos e prompts processados localmente para reduzir a exposição de informações do usuário ao acessar modelos de linguagem de grande porte.
Resumo
- Vitalik Buterin desenvolveu um sistema de privacidade de IA de código aberto que combina roteamento Tor, pagamentos zkAPI e reescrita local de prompts.
- Cada conversa de IA usa um circuito Tor separado, com tráfego de cobertura aleatório adicionado para tornar as solicitações mais difíceis de rastrear.
- O sistema funciona através de uma interface compatível com OpenAI e usa restrições de sandbox para rotear a atividade de rede através do Tor.
- Buterin disse que a configuração estava se tornando utilizável, mas reconheceu tempos de resposta mais lentos e fraquezas contra análise de tráfego coordenada.
- Ele espera custos mais baratos de depósito e saque de zkAPI na mainnet do Ethereum, embora nenhuma data de implantação tenha sido confirmada.
Em uma postagem no X, Buterin disse que construiu um “modo paranoico” para seu harness de agente de IA, pi, usando zkAPI, tráfego de cobertura aleatório e um modelo de linguagem local para reescrever solicitações antes que elas cheguem a um provedor de IA externo.
A configuração funciona através de um daemon compatível com a API da OpenAI, permitindo que os recursos de privacidade operem como uma camada separada entre o agente e o serviço de modelo de linguagem.
Buterin publicou o código relevante no GitHub, embora tenha reconhecido que o sistema introduz atrasos substanciais e permanece vulnerável a certas formas de análise de tráfego.
O sistema de privacidade de IA de Vitalik Buterin usa circuitos Tor separados
De acordo com a descrição técnica de Buterin, cada conversa de IA recebe um circuito Tor separado, enquanto as solicitações são misturadas com tráfego de cobertura aleatório para tornar a atividade de rede mais difícil de distinguir.
O Tor roteia o tráfego da internet através de múltiplos relays para ocultar a origem de uma conexão. Na implementação de Buterin, os circuitos separados fornecem isolamento de rede entre as conversas.
O tráfego de cobertura adicional tem como objetivo tornar mais difícil para um observador identificar solicitações reais de IA com base em padrões de comunicação.
A privacidade de pagamento é tratada através do zkAPI, que, segundo Buterin, impede que os usuários exponham suas identidades através de informações de pagamento ao acessar serviços de IA.
O sistema inclui um mecanismo local de reescrita de prompts. Antes que uma solicitação chegue ao modelo de linguagem externo, outro modelo em execução no dispositivo do usuário processa o texto original.
Buterin descreveu o recurso como um arranjo traga-seu-próprio-modelo-local, permitindo que os usuários selecionem o modelo responsável por reescrever seus prompts.
Sua própria configuração usa qwen3.8-flash-next, de acordo com a postagem.
A reescrita local fornece uma camada separada de proteção em relação aos componentes de roteamento de rede e pagamento. No entanto, Buterin não afirmou que os prompts reescritos eliminam toda possibilidade de identificar um usuário através das informações que ele envia.
A implementação reúne essas funções dentro de um daemon que suporta a interface da API da OpenAI, permitindo que o agente envie solicitações através do wrapper de privacidade.
Restrições de sandbox adicionam outra camada de isolamento
Além do roteamento de rede e do processamento de prompts, Buterin colocou o harness de agente pi dentro de um sandbox bubblewrap, ou bwrap.
Bubblewrap é um utilitário de sandbox do Linux que pode restringir o acesso de um programa a partes de seu ambiente operacional.
Buterin disse que estava experimentando a tecnologia MicroVM como outra opção de isolamento, embora a postagem não estabeleça que a configuração do MicroVM tenha se tornado parte da implementação final.
O agente em sandbox é envolvido pelo torsocks, um utilitário que direciona conexões de rede compatíveis através do Tor.
De acordo com Buterin, o arranjo tem como objetivo garantir que a atividade de rede do agente passe pelo Tor em vez de fazer conexões diretas.
O design técnico, portanto, aborda várias fontes separadas de possível exposição de informações, incluindo conexões de rede, registros de pagamento, conteúdos de prompts e o ambiente no qual o agente de IA opera.
Buterin demonstrou o arranjo usando uma tarefa de pesquisa simples e disse que o software estava se tornando utilizável para trabalho prático.
“Está ficando bastante utilizável!”, ele escreveu, embora reconhecendo que os usuários ainda enfrentam uma latência considerável.
Ele destacou o início de uma nova conversa como uma parte particularmente lenta do processo.
A publicação não forneceu resultados de benchmark, tempos médios de resposta ou uma comparação com uma versão desprotegida do mesmo agente.
A proteção do Tor permanece vulnerável à análise de tráfego coordenada
Apesar das medidas adicionais de privacidade, Buterin reconheceu que o Tor não era uma rede ideal para o sistema que ele havia desenvolvido.
Ele disse que o tráfego de cobertura aleatório oferecia proteção razoável contra observadores passivos, mas identificou uma ameaça mais difícil envolvendo a cooperação entre um provedor de IA e um relay de guarda do Tor.
Um relay de guarda é o primeiro relay usado por um cliente Tor para entrar na rede.
No cenário descrito por Buterin, um provedor de IA trabalhando com a guarda poderia manipular ativamente o timing de requisições e respostas para identificar padrões no tráfego.
Tal coordenação tornaria o tráfego de cobertura aleatório substancialmente menos eficaz, segundo sua avaliação.
Buterin argumentou que esse tipo de aplicação se beneficiaria de uma mixnet especializada, uma rede de privacidade projetada para dificultar a conexão entre comunicações de entrada e saída por meio de análise de tráfego.
Sua abordagem proposta envolveria um requisito de largura de banda maior e tráfego de cobertura constante incorporado diretamente na rede.
Tráfego de cobertura constante significaria gerar atividade de rede adicional mesmo quando os usuários não estivessem fazendo requisições genuínas, em vez de depender apenas de tráfego inserido aleatoriamente.
Buterin não anunciou uma implementação funcional de mixnet nem forneceu um cronograma para desenvolver uma.
Seus comentários descreveram a rede como uma potencial melhoria técnica em relação ao arranjo atual do Tor, que ele caracterizou como uma solução imperfeita para proteger interações de IA.
Espera-se que os custos de pagamento da zkAPI caiam no Ethereum
Buterin encerrou sua atualização com um desenvolvimento separado referente ao custo de uso da zkAPI.
Ele disse que custos de gas significativamente mais baratos para depósitos e saques da zkAPI estavam chegando à mainnet do Ethereum em breve.
A declaração não especificou a redução esperada nos custos de transação, o mecanismo responsável pela economia ou uma data de implantação.
Depósitos e saques são separados das funções de privacidade de rede no wrapper do agente, que usa zkAPI para abordar a possibilidade de exposição de identidade por meio de pagamentos.
A publicação de Buterin não identificou quais provedores externos de modelos de linguagem foram usados em sua demonstração nem divulgou o custo total de executar as ferramentas de privacidade combinadas.
As mudanças anunciadas nos custos de gas permanecem pendentes, sem data confirmada de ativação na mainnet fornecida na publicação.
Trabalho anterior com zkAPI fornece contexto para o mais recente experimento de Buterin
A mais recente implementação segue um lançamento de 1º de outubro pela Ethereum Foundation e o Open Anonymity Project, que introduziu a zkAPI como um sistema de pagamento para serviços medidos.
De acordo com o anúncio técnico da Fundação, os usuários depositam fundos em um cofre Ethereum e autorizam o uso posterior da API por meio de provas de conhecimento zero.
O sistema pode emitir credenciais de API de curta duração com limites de gastos, permitindo que uma única autorização cubra múltiplas requisições durante uma sessão.
A autorização de pagamento e a entrega imediata são tratadas separadamente. O serviço de pagamento verifica os direitos de gasto sem receber a conversa, enquanto o provedor do modelo processa o prompt sem receber a identidade de financiamento do usuário.
A Fundação reconheceu que o mecanismo de pagamento não oculta de forma independente os endereços IP ou as informações contidas nos prompts. Essas limitações foram examinadas em uma análise da privacidade do zkAPI em 2 de outubro.
Em 4 de outubro, Buterin testou uma configuração de três camadas usando informações pessoais de saúde e viagem para gerar recomendações de dieta e exercícios.
Como o crypto.news relatou anteriormente, o experimento anterior usou um modelo Qwen local para decidir quais informações deveriam ser compartilhadas com serviços de IA remotos. Buterin relatou velocidades de processamento de aproximadamente 20 a 30 tokens por segundo e disse que velocidades superiores a 100 tokens por segundo seriam preferíveis.
O trabalho da Ethereum em agentes autônomos inclui a infraestrutura de identidade ERC-8004, que estava programada para um lançamento na mainnet em janeiro de 2026. O padrão fornece registros para identidade e reputação de agentes, uma função separada da autorização de pagamento privada tratada pelo zkAPI.
A postagem mais recente de Buterin descreve controles adicionais em torno do arranjo de privacidade anterior, incluindo circuitos Tor específicos para conversas, tráfego de cobertura aleatório e restrições de sandbox.
