Agenci na urządzeniu i dywidenda prywatności: dlaczego lokalne nie znaczy jeszcze prywatne

W Agenci na jednej stacji roboczej argumentowaliśmy, że założenie, jakoby zdolny agent kodujący potrzebował chmurowego API, po cichu się rozpada — modele open-weight stały się dość dobre i dość małe, by uruchomić agenta na poziomie zbliżonym do frontiera na pojedynczej stacji roboczej, gdzie „dane nigdy nie opuszczają budynku”. Tamten wpis był o tym, dlaczego praca na urządzeniu jest teraz realna. Ten jest o ostrzejszym pytaniu ukrytym w tym święcie: gdy uruchamiasz agenta lokalnie, czym dokładnie jest gwarancja prywatności — i przed kim ona chroni?

Argument za agentami na urządzeniu niemal zawsze ujmuje się jako dywidendę prywatności: trzymaj inference lokalnie, a twoje prompty, twoje pliki i twoje sekrety nigdy nie przejdą po kablu na cudzy serwer. To prawda i to ma znaczenie. Ale po cichu zrównuje to dwa różne twierdzenia. „Lokalne” znaczy, że bajty nie opuszczają maszyny. „Prywatne” znaczy, że żadna niezaufana strona nie może ich odczytać ani nimi manipulować. Na urządzeniu, które w pełni kontrolujesz, te dwa zlewają się w jedno. Na urządzeniu, które uruchamia inne oprogramowanie, trafia do klienta, stoi w oddziale terenowym albo jest obsługiwane przez kontraktora, rozchodzą się — a ta luka jest dokładnie tam, gdzie mieszka ciekawa praca 2026 roku.

Dywidenda, którą każdy zakłada — i luka pod nią

Zacznij od tego, co praca na urządzeniu realnie ci daje. Brak rachunku za token, działanie offline, brak logowania przez stronę trzecią i znacznie mniejsza powierzchnia dla najnudniejszej awarii prywatności ze wszystkich: danych siedzących w cudzej chmurze. Dla kliniki, banku albo urzędu obsługującego rejestry obywateli „model działa tutaj” to realna i prawnie znacząca poprawa względem „model działa w centrum danych, którego nie kontrolujemy”.

Ale zauważ model zagrożeń, który to ujęcie zakłada: chroni cię przed dostawcą chmury i przed siecią. Nie mówi nic o samym urządzeniu. A agenci czynią urządzenie celem znacznie bogatszym, niż kiedykolwiek był chatbot. Potok agentowy to plątanina ruchomych części — runtime orkiestrujący kroki, silnik inference trzymający weights modelu, system prompts, które mogą być własnościowe, wrażliwy stan runtime oraz narzędzia stron trzecich, które agent wywołuje. To, co najbardziej chcesz utrzymać w prywatności, jest teraz rozsiane po drzewie procesów na maszynie, która może uruchamiać niezaufane oprogramowanie — albo być kontrolowana przez użytkownika, który sam jest przeciwnikiem. Złośliwy użytkownik na własnym urządzeniu może odczytać pamięć innego procesu, wydobyć weights modelu albo podebrać system prompt. „Działa lokalnie” nie robi nic z żadną z tych rzeczy.

To jest ta luka. A powodem, dla którego warta jest całego wpisu, jest to, że jej naprawa to odrębny mechanizm — nie „wysyłaj mniej danych”, lecz „wykonuj poufnie”.

Mechanizm: poufne wykonanie na edge

Najczystsze sformułowanie tej naprawy w 2026 roku to AgenTEE: Confidential LLM Agent Execution on Edge Devices (arXiv 2604.18231). Jego przesłanka to dokładnie powyższa luka: agenci są coraz częściej uruchamiani na urządzeniach edge, by ciąć latencję i poprawić prywatność, ale „bezpieczne hostowanie tak złożonych potoków agentowych na urządzeniach edge pozostaje wyzwaniem”, bo te wdrożenia „muszą chronić aktywa własnościowe (np. system prompts i weights modelu) oraz wrażliwy stan runtime na heterogenicznych platformach, które są podatne na ataki programowe i potencjalnie kontrolowane przez złośliwych użytkowników”.

Mechanizm to ciekawa część. AgenTEE umieszcza runtime agenta, silnik inference i aplikacje stron trzecich w niezależnie atestowanych confidential virtual machines (cVM) i pośredniczy w ich interakcji przez „jawne, weryfikowalne kanały komunikacji”. Zbudowany jest na Arm’s Confidential Compute Architecture (CCA), rozszerzeniu sprzętowym, które pozwala urządzeniu wydzielić izolowane, szyfrowane regiony wykonania, których integralność da się kryptograficznie atestować — udowodnić zdalnej stronie — a nie jedynie zadeklarować. Rezultatem jest izolacja na poziomie systemu wrażliwych aktywów i stanu runtime nawet wtedy, gdy otaczający system operacyjny albo użytkownik są niezaufani.

Dwie rzeczy sprawiają, że to ma znaczenie wykraczające poza abstrakcję:

• Attestation zamienia założenie o zaufaniu w twierdzenie weryfikowalne. Bez niego „twoje dane zostały na urządzeniu i były obsłużone poprawnie” to coś, co bierzesz na wiarę. Ze sprzętową attestation to coś, co urządzenie potrafi udowodnić. To ten sam ruch, który podziwialiśmy w gospodarka agentów potrzebuje szyn: przestań wypłacać — albo ufać — na obietnicę, a zacznij ufać na kryptograficzny dowód. Confidential computing to ta zasada zastosowana tam, gdzie agent faktycznie działa.
• Overhead jest dość mały, by był realny. Zarzut wobec każdego schematu „opakuj to w enklawę” zawsze brzmi: wydajność. Ewaluacja AgenTEE raportuje, że system wielo-cVM „osiąga wydajność zbliżoną do natywnej przy mniej niż 5.15% overhead runtime w porównaniu z wielo-procesowymi wdrożeniami na zwykłym OS”. Podatek poniżej 6% za sprzętowo izolowane, atestowalne wykonanie agenta to różnica między badawczą ciekawostką a czymś, co faktycznie byś wdrożył.

To jest dywidenda prywatności ujęta precyzyjnie. To nie „dane zostały lokalnie”. To: wrażliwe części agenta działały w izolowanym regionie, którego zachowanie da się udowodnić, na urządzeniu, w które nikt inny — ani OS, ani użytkownik, ani współrezydentny proces — nie mógł zajrzeć.

Ochrona modelu, nie tylko danych

Jest na urządzeniu drugie aktywo, które naiwne ujęcie prywatności ignoruje całkowicie: sam model. Wyślij model open-weight albo dostrojony na maszynę użytkownika, a wręczyłeś potencjalnemu przeciwnikowi weights — które mogą kodować własnościowy trening, przewagę konkurencyjną albo dostrojenie na wrażliwych danych. Przechowywanie wartościowych modeli na urządzeniach użytkowników, jak sucho zauważa literatura, „naraża je na potencjalne wydobycie przez przeciwników”.

Analogicznym mechanizmem jest tu Amulet: Fast TEE-Shielded Inference for On-Device Model Protection (arXiv 2512.07495). Standardowe podejście — trzymaj weights wewnątrz TEE i uruchamiaj tam inference — uderza prosto w ścianę: zaufana pamięć jest mała, więc modele kroi się i strumieniuje do enklawy kawałek po kawałku, a ta nieustanna wymiana zaufane/niezaufane „dramatycznie zwiększa latencję inference, czasem o rzędy wielkości”. Sztuczka Amuleta polega na użyciu TEE, by zobfuskować model raz, potem przechować cały przekształcony model w zwykłej niezaufanej pamięci i uruchomić go tam z akceleracją GPU, z zaledwie „dwiema rundami minimalno-overheadowej interakcji” na żądanie. Praca dostarcza dowodu informacyjno-teoretycznego, że zobfuskowany model nie wycieka niczego o oryginalnych weights, i raportuje latencję inference zaledwie 2.8–4.8x niezabezpieczonego modelu — 8–9x przyspieszenie względem działania w pełni wewnątrz TEE, z pomijalną utratą dokładności w architekturach od ResNet-18 do GPT-2.

Postaw AgenTEE i Amulet obok siebie, a masz dwie połowy wiarygodnej historii prywatności na urządzeniu: poufne wykonanie chroni stan runtime i dane użytkownika; obfuskacja wsparta przez TEE chroni weights modelu. Oba opierają się na tym samym sprzętowym prymitywie — trusted execution environment — i oba ciężko pracują, by jego koszt był dość niski, byś wybrał go celowo. To izolacja jako nośna warstwa bezpieczeństwa, ten sam wniosek, do którego doszliśmy co do bezpieczeństwa runtime w piaskownica dla agenta: gdy nie możesz ufać otaczającemu środowisku, ograniczasz, co może zobaczyć i co może zniszczyć. Confidential computing to to ograniczenie zepchnięte aż w głąb krzemu.

Co faktycznie się zmienia

Praktyczny wniosek to ściślejsze, uczciwsze twierdzenie, które możesz wypowiedzieć o agencie na urządzeniu. Wersja słaba — „działamy lokalnie, więc twoje dane są bezpieczne” — to hasło marketingowe, które pojedynczy ciekawski proces albo zmanipulowany OS może obalić. Wersja mocna — „wrażliwy stan agenta działa w atestowanym confidential VM, weights nigdy nie istnieją w postaci nadającej się do wydobycia poza enklawą i potrafimy to udowodnić” — to gwarancja inżynierska.

Ta różnica będzie miała znaczenie najbardziej dokładnie tam, gdzie stawka jest regulacyjna, a nie reputacyjna. Dokumentacja medyczna, zeznanie podatkowe, historia transakcji banku nie tylko muszą nie opuścić budynku; potrzebują obronnej historii o tym, kto mógł je dotknąć, gdy były przetwarzane. „Na urządzeniu” zawsze było warunkiem koniecznym tej historii. Poufne, atestowalne wykonanie to to, co czyni ją wystarczającą — a 2026 to rok, w którym mechanizm staniał na tyle (overhead poniżej 6%, jednocyfrowy koszt inference), by przestać być powodem, by go nie używać.

Dlaczego sprzyja to Azji Południowo-Wschodniej

To, po cichu, jedna z najbardziej regionalnie korzystnych zmian w całym stosie agentowym — z tego samego powodu, co punkt przełomowy pracy na urządzeniu. Dywidenda prywatności, zrobiona porządnie, opiera się na sprzęcie i inżynierskim osądzie, a nie na relacji z hyperscalerem.

Rozważ ograniczenie, z którym faktycznie mierzy się wiele instytucji w Azji Południowo-Wschodniej. Reguły rezydencji danych, regulacja sektorowa i zwykła wrażliwość polityczna często czynią „wyślij dane obywateli do amerykańskiej albo unijnej chmury” nie do przyjęcia — a regionalne alternatywy chmurowe są skąpsze. Brzmi to jak wada i pod starym ujęciem „prywatność = która chmura” było wadą. Pod ujęciem na-urządzeniu-plus-confidential-computing odwraca się: agent, który działa na stacji roboczej w ministerstwie, z wrażliwym stanem w atestowanej enklawie i weights modelu chronionymi na maszynie, jest bardziej zgodny z konstrukcji niż cokolwiek routowanego przez zagraniczne centrum danych — i nie wymaga kupowania mocy od nikogo. Sprzęt Arm CCA, na którym buduje AgenTEE, to, co znamienne, ta sama linia Arm, która dominuje flotę urządzeń regionu.

Więc zdolnością wartą budowania jest umiejętność integracji: stawianie poufnych wdrożeń agentów na urządzeniu — dobór TEE, podpięcie attestation, utrzymanie overhead w jednocyfrowym zakresie — dla klinik, banków i urzędów, które nie mogą i nie będą wysyłać swoich danych za granicę. To profil lekki na GPU, ciężki w osąd, do którego wciąż wracamy, wycelowany tym razem w warstwę prywatności. Frontierowe laboratoria mają mało powodów, by zbudować to dla formatów transakcji kambodżańskiego banku albo rejestrów prowincjonalnego systemu zdrowia. Ktoś blisko problemu ma — a teraz jest zweryfikowany, niskooverheadowy mechanizm, na którym to zbudować.

Dywidenda prywatności jest realna. Ale nigdy nie była „działa lokalnie”. To poufne, dowodliwe, lokalne — a to rzecz, którą mały, ostry zespół potrafi dostarczyć, nie prosząc niczyjej chmury o pozwolenie.

Jeśli twoja instytucja potrzebuje agentów na urządzeniu, którzy faktycznie potrafią udowodnić swoje gwarancje prywatności — porozmawiajmy.