Miért lett ez 2026-ban külön kategória?
Ha még nem tiszta, mitől lesz egy program agent és nem chatablak, azt a mit tesz egy agent című alapozó írás foglalja össze. Két éve a „helyi AI" annyit jelentett, hogy chatelsz egy kisebb modell el a saját gépeden. 2026-ban a modellkínálatban megjelent egy új megfogalmazás: „mindig futó helyi agentekhez" épített modellek — kifejezetten eszközhasználatra, hosszú feladatokra és hibából való visszatérésre hangolva, fogyasztói hardveren.
A nagyságrendek, amikkel számolni kell:
| Kategória | Letöltési méret | Kontextusablak |
|---|---|---|
| Kicsi (4 milliárd paraméter körül) | ~2,5 GB | akár 256 ezer token |
| Közepes (8–14 milliárd) | 5–9 GB | 40 ezer token körül |
| Agentre szánt, nagyobb (27–33 milliárd) | 18–25 GB | 128 ezer – 1 millió token |
| Ugyanez nagyobb pontossággal | 36–67 GB | — |
A letöltési méret nem egyenlő a memóriaigénnyel. Az egyik agentre szánt modellnél a gyártó külön kiírja: legalább 36 GB memória kell hozzá a szokásos asztali gépen, holott a letöltése 20 GB (a fenti táblázat 36–67 GB-os sora ezzel szemben nagyobb pontosságú változatok letöltési mérete). Ez a leggyakoribb csalódás forrása.
A csapda, amibe szinte mindenki belesétál
Ez a cikk egyetlen legpraktikusabb ténye, és önmagában megéri elolvasni.
Az elterjedt helyi modellfuttatók alapértelmezett kontextusablaka 4 096 token.
Letöltöd a modellt, aminek a leírásában 256 ezer tokenes kontextus szerepel — és négyezer-kilencvenhaton fut, hacsak nem állítod át kézzel egy környezeti változóval.
Chatelésre ez észrevehetetlen. Agentfeladatra halálos: egyetlen hosszabb fájl vagy néhány eszközhívás elfogyasztja, és onnantól az agent elfelejti, mit csinált három lépéssel korábban. A tünet nem hibaüzenet, hanem butaság — és az ember a modellt hibáztatja, nem a beállítást. Arról, hogy mit jelent pontosan a kontextusablak, a token és a context window című írás szól.
Mennyivel gyengébb a helyi modell? — mérve
Itt őszintének kell lenni, mert a különbség nem apró.
Egy független, egyetemi függvényhívási mérésből (2026 áprilisi állapot):
| A legjobb zárt, élvonalbeli | A legjobb laptopméretű (≤8 milliárd paraméter) | Rés | |
|---|---|---|---|
| Összesített | 77,5% | 42,6% | ~35 pont |
| Több körös feladat | 68,4% | 41,8% | ~27 pont |
És a legfontosabb részlet: a kisebb modelleknél a több körös feladat egyszerűen összeomlik.
| Modellméret | Több körös eredmény |
|---|---|
| 12 milliárd paraméter | 5,75% |
| 3 milliárd | 4,0% |
| 1 milliárd | 0,0% |
Ez a cikk legfontosabb mérése. Az egy hívásos eszközhasználatot — „nézd meg az időjárást" — a kis modellek is tudják valamennyire. A több körös, állapotot vivő agentfeladat az, ahol a helyi modell padlót fog. És ez nem tíz-húsz százalék különbség, hanem nagyságrend.
Egy fontos ellenpont viszont kell ide. Ugyanabban a mérésben egy nyílt súlyú, megengedő licencű modell a több körös kategóriában gyakorlatilag beérte az élvonalbeli zárt modellt (68,0% a 68,4% ellenében), töredék költséggel.
De: a nyílt súly nem azonos a laptopon futtathatóval. Az a modell jóval nagyobb annál, mint amit egy noteszgép elbír. A nyílt súlyok jelentőségéről a nyílt súlyok témájú poszt szól bővebben — az viszont más kérdés, mint hogy a te gépeden elfér-e.
(A hivatkozott mérés utolsó frissítése 2026 áprilisi, tehát a legfrissebb modelleket nem tartalmazza. A rés iránya valószínűleg tartós, a pontos értéke nem.)
Amit alapból elér — és ez a lényeg
A legelterjedtebb nyílt, helyben futó személyes agent dokumentációja szokatlanul egyenes. Három mondat belőle, amit érdemes szó szerint elolvasni:
- „A sandbox alapértelmezésben ki van kapcsolva."
- „Az eszközök a gazdagépen futnak a fő munkamenetnél, hacsak be nem állítod a sandboxot."
- És bekapcsolva sem tökéletes: „nem tökéletes biztonsági határ, de érdemben korlátozza a fájlrendszer- és folyamathozzáférést."
Mit jelent ez konkrétan? A képességlista a gyártó saját leírásából: levelezés, naptár, webböngészés, fájlműveletek, shell-parancsok futtatása, és tartós memória a beszélgetések között.
Vagyis alapbeállításon egy program, ami parancsokat futtat a gépeden, olvassa a leveleidet, és emlékszik. Ezek külön-külön hasznos képességek. Együtt, sandboxnélkül, az internetről érkező szöveget olvasva viszont ez a legkockázatosabb felállás, amit otthon üzembe lehet helyezni.
A mondat, amit mindenkinek el kellene olvasnia
A biztonsági szabályzat felsorolja, mi nem számít bejelenthető sebezhetőségnek. Ez a rész őszintébb, mint bármelyik marketinganyag:
NEM MINŐSÜL BIZTONSÁGI HIBÁNAK
- prompt injection, ha nem kerül meg szabályzatot,
hitelesítést, jóváhagyást, sandboxot vagy
eszközhatárt;
- ha egy megbízható üzemeltető szándékos helyi
funkciót használ - például helyi shell-hozzáférést
vagy szkriptfuttatást;
- egy rosszindulatú bővítmény, miután egy megbízható
üzemeltető telepítette vagy engedélyezte.
És a keretező mondat:
"Aki működtetni tud egy agentet, azzal bármit
megcsináltathat, amit az az agent meg tud csinálni."
Magyarra fordítva: ha a személyes agented shellhez fér hozzá, akkor a prompt injection nem sebezhetőség, hanem a rendszer működése. Nem lesz rá javítás, mert nincs mit javítani — a képességet te adtad neki.
Ez nem vád a fejlesztők felé; épp ellenkezőleg, ez a helyes és őszinte keretezés. De azt jelenti, hogy a biztonságot neked kell megépítened, nem a szoftvertől várnod. A támadás mechanikájáról a prompt injection alapjai című bevezető szól, a jogosultságok szűkítéséről pedig a legkevesebb jogot kapó agent témájú poszt.
A dokumentált kockázatok
A gyártó saját kockázatlistája, mert ez tételesebb, mint amit kívülről össze lehetne szedni:
| Terület | Kockázat |
|---|---|
| Hálózat | hitelesítés nélkül kitett port; helyi hálózati felderíthetőség; titkosítatlan vezérlőfelület |
| Prompt injection | nem megbízható tartalom jut a modellhez; a gondolatmenet csoportos használatnál kiszivárogtathatja a kontextust |
| Böngészővezérlés | valódi böngésző → a belső hálózatod is elérhetővé válhat |
| Fájlok és titkok | a munkakönyvtár beállítófájljai rossz jogosultsággal; a naplók és átiratok érzékeny adatot tartalmazhatnak |
| Eszközjogosultságok | kódfuttatás; bővítmények engedélyezése; a delegálás alapból korlát nélkül |
Ami viszont alapból jól van beállítva: a fő folyamat csak a gép saját hálózati címére köt (tehát kívülről nem érhető el), és a legtöbb üzenetcsatorna párosítókódot kér ismeretlen küldőtől. De a konténeres telepítés alapból kifelé nyit — és pont ez az a lépés, amit egy „saját agentet építek" hétvégén mindenki megtesz, hogy elérje a másik gépéről.
Hogy ez nem elméleti: egy 2024-es sérülékenység az egyik elterjedt helyi modellfuttatóban távoli kódfuttatást tett lehetővé, és a bejelentéskor több mint ezer kitett példány volt elérhető az interneten. Súlyosbító körülményként a kutatók külön kiemelték, hogy a konténeres telepítés rendszergazdai jogokkal fut és minden hálózati felületen figyel. A fejlesztők négy óra alatt javították — a kitett példányok viszont hetekig ott maradtak.
(Ez 2024-es eset. 2025–2026-ból nyilvánosan dokumentált, helyi agent okozta adatvesztést nem sikerült megerősítenem — ami nem bizonyíték arra, hogy nem történt.)
Van-e adatvédelmi előny?
Ez a leggyakoribb ok, amiért valaki helyi agentbe kezd. A válasz: igen, de nem ott, ahol a legtöbben gondolják.
Ahol valóban igaz:
- Az állapot, a memória és a hitelesítő adatok a te hardvereden maradnak.
- A jó megoldások alapból nem küldenek telemetriát — a napi verzióellenőrzésen túl semmit, és az is kikapcsolható.
- Nincs szolgáltatói adatmegőrzés, mert nincs szolgáltató.
Van egy erős érv is emellett, ami ritkán kerül elő: a menedzselt, felhős agentszolgáltatásoknál a szolgáltató maga írja ki, hogy az állapottartó működés miatt az adott szolgáltatás nem alkalmas nulla adatmegőrzésre és bizonyos egészségügyi adatvédelmi szerződésekre. Aki adatvédelmi okból megy helyibe, annak ez a legjobb érve.
Ahol viszont NEM igaz — és ezt ki kell mondani:
1. A képernyőkép elhagyja a gépet. Egy bírósági ténymegállapítás szó szerint rögzítette egy böngészőagentről: a program képernyőképeket készít a böngészőről, elküldi azokat a felhasználó gépéről a szolgáltató szervereire, és onnan kapja az utasítást, hogyan navigáljon tovább. A „helyben futó" nem jelenti, hogy a tartalom helyben marad.
2. A helyi keret gyakran felhős modellt hív. A helyi futtatókörnyezet és a helyi modell két különböző dolog. Attól, hogy az agent a gépeden fut, a gondolkodás mehet a felhőbe — és vele az adat is.
3. A bővítmények. A bővítménypiac külön világ, és — ahogy fentebb szerepelt — a rosszindulatú bővítmény telepítés után nem számít biztonsági hibának. Amit telepítesz, azért te felelsz.
4. A naplók a te gépeden vannak — de ott vannak. Ha bekapcsolod a részletes naplózást, a promptok, az eszközbemenetek, sőt a teljes kérések is lemezre kerülnek. Ugyanaz a kockázat, csak a te oldaladon, gyakran titkosítatlanul. Az adattárolás helyének kérdéséről az EU-s adattárolás témájú poszt szól részletesebben.
Mit állíts be, mielőtt elindítod?
Tíz pont, mindegyik elsődleges dokumentációból vagy dokumentált incidensből következik — nem vélekedés:
1. KAPCSOLD BE A SANDBOXOT
Alapból ki van kapcsolva. Nem tökéletes határ,
de érdemben korlátoz.
2. ÁLLÍTSD ÁT A KONTEXTUSABLAKOT
Az alapérték 4096 token. Agentfeladatra kevés.
3. NE KÖSD KI HÁLÓZATRA HITELESÍTÉS NÉLKÜL
A konténeres telepítés alapból kifelé nyit.
Ennyi példány volt így kitéve: ezernél több.
4. ENGEDÉLYEZETT DOMAINEK LISTÁJA
Korlátozd, hova mehet ki. Ez a legolcsóbb
védelem a kiszivárgás ellen.
5. NE ADD ODA A JELSZAVAIDAT
Külön fiók, külön böngészőprofil, minimális jog.
6. EMBERI JÓVÁHAGYÁS A KÖVETKEZMÉNYES LÉPÉSEKHEZ
Pénzügyi művelet, szerződéselfogadás, levélküldés.
7. DEDIKÁLT VIRTUÁLIS GÉP VAGY KONTÉNER
Ne a fő munkagépeden, a saját fájljaid mellett.
8. A KÉPERNYŐ TARTALMA NEM UTASÍTÁS
Amit az agent egy oldalon olvas, az adat.
Jogot nem adhat.
9. ALLOWLIST A KÜLDŐKRE
Ha üzenetből vezérelhető, csak ismert feladótól.
Aki üzenhet neki, az jóváhagyhat helyetted.
10. NÉZD MEG, MI KERÜL A NAPLÓBA ÉS A .ENV-BE
Fájljogosultság, és soha ne a munkakönyvtárban
tárold a kulcsokat.
A hetedik pont az, ami a legtöbbet hozza a legkevesebb munkáért. Ha az agent külön virtuális gépen fut, és csak azt látja, amit odateszel neki, akkor a maradék kilenc pont hibája is korlátozott kárt okoz.
Tipikus félreértések
- „Helyben fut, tehát privát." A képernyőképek, a felhős modellhívások és a bővítmények mind kijuttathatják az adatot. A helyi futtatás a tárolást teszi helyivé, nem feltétlenül a feldolgozást.
- „A kis modell is elég egy egyszerű agenthez." Egy hívásra igen. Több körös, állapotot vivő feladatra a mérésben 12 milliárd paraméternél és alatta 6% alá esett az eredmény.
- „Letöltöttem a 256 ezer tokenes modellt, tehát annyi a kontextusom." Az alapértelmezés 4 096 token. Kézzel kell átállítani.
- „A nyílt súlyú modell olcsóbb és majdnem olyan jó." Egyes nyílt modelleknél ez igaz — de azok jellemzően nem laptopméretűek. A nyílt súly és a helyben futtathatóság két külön dolog.
- „Ha lesz benne biztonsági rés, majd javítják." A helyi shell-hozzáférésen keresztüli prompt injectiont a fejlesztők kifejezetten nem tekintik biztonsági hibának. Nincs mit javítani rajta.
- „Csak én érem el, otthon van." Amíg át nem állítod, hogy a másik gépedről is elérd. A dokumentált incidensben pont ez volt a belépési pont.
Amit érdemes elvinni
A saját gépen futó agent valódi szabadságot ad: nincs előfizetés, nincs tartalmi korlát, az adat a te lemezeden marad. Cserébe a biztonsági határt neked kell megépítened, mert a szoftver kifejezetten nem ígéri, hogy megteszi helyetted.
Két szám, ami eldönti, érdemes-e: 27 százalékpont a rés a több körös agentfeladatokon az élvonalbeli zárt modellekhez képest, és 4 096 token az alapértelmezett kontextusablak, amit senki nem mond el. Az első miatt a helyi agent ma inkább jól körülhatárolt feladatokra jó, mint általános asszisztensnek; a második miatt sokan még ennyit sem tapasztalnak belőle.
És ha csak egyetlen dolgot állítasz be: tedd külön virtuális gépre. Ez az egy lépés a hibák többségének a következményét korlátozza — és nem igényel mást, csak fél óra türelmet. Hogy egy agent milyen tartós emlékeket gyűjt közben rólad, arról az agent memory témájú poszt szól. Hogy ez a határépítés hogyan néz ki egy valódi, saját fejlesztésű rendszerben, azt egy saját agent felépítésemutatja meg döntésről döntésre.