GitHub Copilot izoluje lokálnych agentov a v CLI vyhľadá modely z Ollamy

GitHub rozširuje Copilot z asistenta na písanie kódu na prostredie, v ktorom agent samostatne spúšťa príkazy, upravuje súbory a používa ďalšie nástroje. S tým rastie aj riziko, že chybný alebo zmanipulovaný pokyn zasiahne údaje mimo projektu. Firma preto všeobecne sprístupnila lokálny sandbox pre Copilot CLI, aplikáciu Copilot a relácie vo Visual Studio Code využívajúce Agent Host. Súčasne Copilot CLI získal jednoduchšie vyhľadávanie lokálnych modelov spustených cez Ollamu.

Obe zmeny riešia odlišné vrstvy lokálnej práce s AI. Ollama poskytuje modelový server, ktorý môže inferenciu vykonať priamo na počítači používateľa. Sandbox určuje, ku ktorým súborom, sieťam a prihlasovacím údajom sa dostanú príkazy vyvolané agentom. Lokálny model preto sám osebe neznamená bezpečné vykonávanie a sandbox zase nezaručuje, že vstupné dáta neopustia zariadenie cez zvolenú modelovú službu. GitHub túto hranicu výslovne pomenúva: izolácia nástrojov je samostatný problém nezávislý od modelu.

Sandbox obmedzuje príkazy, nie uvažovanie modelu

Lokálny sandbox umožňuje nastaviť, ktoré súbory a adresáre môžu agentom spustené nástroje čítať alebo meniť. Pravidlá môžu obmedziť internet, lokálnu sieť, prihlasovacie údaje pre Git aj poverenia GitHub CLI. Majú sa vzťahovať aj na lokálne služby, napríklad podporované servery MCP a jazykové servery. Organizácia môže politiku spravovať centrálne, sandbox vyžadovať a zabrániť vývojárovi, aby ochranu oslabil.

GitHub uvádza, že základom je Microsoft eXecution Container, skrátene MXC. Ten prekladá spoločnú politiku sandboxu do natívnych bezpečnostných mechanizmov Windowsu, macOS a Linuxu. Cieľom teda nie je prinútiť všetkých používateľov pracovať v rovnakom virtuálnom stroji, ale dosiahnuť podobné obmedzenia pomocou možností konkrétneho operačného systému. Lokálne sandboxovanie je podľa GitHubu zahrnuté v Copilote bez dodatočného poplatku.

Takáto hranica je dôležitá najmä pri agentoch, ktoré dostanú všeobecnú úlohu a cestu k výsledku si rozložia samy. Model môže napríklad spustiť správcu balíkov, zostavenie projektu, testy alebo pomocný skript. Každá ďalšia schopnosť zväčšuje priestor na chybu aj útok cez nedôveryhodný obsah v repozitári, dokumentácii či výstupe nástroja. Sandbox nehodnotí, či bol príkaz rozumný; má zabrániť tomu, aby povolenie pracovať v jednom projekte automaticky znamenalo prístup k celému domovskému adresáru, firemnej sieti alebo uloženým povereniam.

Lokálne modely sa objavia priamo v Copilot CLI

Copilot CLI teraz cez príkaz /model vyhľadá podporované modely dostupné v bežiacej lokálnej inštancii Ollamy. Zobrazí ich vedľa nakonfigurovaných modelov a cloudových možností poskytovaných GitHubom. Vývojár tak nemusí pri každej zmene pracovného režimu opustiť rozhranie Copilota alebo ručne prepisovať konfiguráciu. GitHub v týždennom prehľade neuvádza, že by každý model z katalógu Ollamy automaticky podporoval všetky agentické funkcie; hovorí o podporovaných modeloch, ktoré CLI dokáže objaviť.

Dokumentácia Ollamy potvrdzuje, že lokálny server štandardne poskytuje API na adrese http://localhost:11434/api a lokálne požiadavky nevyžadujú autorizačnú hlavičku. Rozhranie obsahuje endpointy na chat, generovanie, embeddingy, zoznam modelov aj informácie o spustených modeloch. Ollama zároveň podporuje kompatibilné rozhrania pre klientov OpenAI a Anthropic. To uľahčuje výmenu modelovej vrstvy, ale lokálna prevádzka musí byť správne chránená pred nechceným sprístupnením do siete.

Pre vývojára môže lokálny model znížiť latenciu pri menších úlohách, umožniť prácu bez odoslania promptu do externej modelovej služby a odstrániť priebežnú cenu za cloudové tokeny. Reálny výsledok však závisí od dostupnej pamäte, výkonu zariadenia, veľkosti modelu a kvality jeho práce s nástrojmi. Pri zložitej refaktorizácii môže byť lokálny model slabší alebo pomalší než cloudová alternatíva. Novinka preto skôr pridáva možnosť voľby v rovnakom pracovnom rozhraní, než by stanovovala lokálnu inferenciu ako predvolenú alebo vždy výhodnejšiu cestu.

Praktický význam pre firemné tímy

Pre slovenské firmy je podstatná kombinácia troch samostatných rozhodnutí: kde beží model, aké dáta dostane a čo smú vykonať jeho nástroje. Citlivý zdrojový kód môže zostať pri lokálnom modeli, no agent stále môže poškodiť pracovný strom alebo prečítať súbor s tajomstvom, ak nemá obmedzené oprávnenia. Naopak, prísne izolovaný agent môže bezpečnejšie používať cloudový model, ale organizácia musí osobitne posúdiť pravidlá spracovania odosielaného kontextu.

Rozumná podniková politika by mala agentovi sprístupniť iba konkrétny repozitár a nevyhnutné vývojové nástroje. Zápis do nadradených adresárov, prístup k osobným SSH kľúčom a voľné spojenie do internej siete by nemali byť implicitné. Sieťové povolenia sa dajú udeľovať podľa cieľov, napríklad iba pre firemný register balíkov. Ak pracovný postup potrebuje GitHub CLI alebo lokálny MCP server, jeho poverenia a rozsah operácií treba posudzovať oddelene, nie ich automaticky zdediť z interaktívnej relácie vývojára.

Dôležitá zostáva aj kontrola výsledku. Sandbox obmedzí dosah príkazu, ale nerozozná nenápadnú logickú chybu, nebezpečnú závislosť ani test upravený tak, aby zakryl regresiu. Zmeny vytvorené agentom preto naďalej potrebujú kontrolu rozdielov, testovanie a pri citlivých projektoch schválenie ďalším človekom. Najbezpečnejšia izolácia tiež nepomôže, ak tím bez preverenia zlúči nesprávny kód do produkčnej vetvy.

Copilot rozširuje správu celého agentického pracoviska

Týždenná aktualizácia priniesla aj možnosť oddeliť účet, z ktorého používateľ čerpá licenciu Copilota, od účtu s prístupom k repozitárom. Vo VS Code 1.141 možno zobraziť viac agentických relácií vedľa seba a čistiť pracovné stromy neaktívnych relácií. GitHub zároveň pridal Claude Haiku 5.5 do viacerých platených programov Copilota. Spolu tieto zmeny ukazujú, že produkt už nespravuje iba jeden chat, ale súbežné relácie, modely, identity a izolované pracovné priestory.

Oddelenie licenčnej a repozitárovej identity môže zjednodušiť používanie firemnej licencie s iným účtom, zároveň však zvyšuje nároky na audit oprávnení. Organizácia musí vedieť rozlíšiť, kto platí za službu, ktorá identita číta kód a pod akým účtom vznikne zmena. Súbežné agentické relácie zase urýchlia prácu iba vtedy, ak sa navzájom neprepisujú a používateľ dokáže skontrolovať viac výsledkov. Samostatné pracovné stromy tento konflikt zmierňujú, no neodstraňujú ho pri neskoršom spájaní zmien.

Čo zatiaľ nevieme

GitHub nezverejnil nezávislé bezpečnostné hodnotenie MXC ani porovnanie režijných nákladov sandboxu na všetkých troch podporovaných systémoch. Z krátkeho oznámenia tiež nevyplýva, aké obmedzenia sú zapnuté predvolene v každom klientovi, ako presne sa riešia symbolické odkazy či procesy vytvorené mimo hlavnej relácie a ktoré lokálne MCP alebo jazykové servery sú plne podporované. Všeobecná dostupnosť znamená pripravenosť produktu na bežné používanie podľa GitHubu, nie dôkaz úplnej odolnosti proti úniku dát.

Otvorená zostáva aj kompatibilita jednotlivých lokálnych modelov s dlhými agentickými úlohami. Schopnosť model objaviť a vybrať nehovorí nič o kvalite plánovania, presnosti volania nástrojov ani spoľahlivosti úprav rozsiahleho repozitára. Najdôležitejším posunom preto nie je konkrétny model v ponuke, ale architektúra, v ktorej sa model dá meniť bez zrušenia bezpečnostnej hranice. Ak bude fungovať podľa opisu, tím môže vyberať medzi lokálnou a cloudovou inferenciou a pritom zachovať rovnaké pravidlá pre prístup agentových nástrojov.