Wzorce techniczne asystentów — czego uczą najlepsi

Stan na 11 października 2026. Profile w 01-PROFILE.md mówią, co robi piętnastu najlepszych asystentów. Ten plik wyciąga z nich to, co da się przenieść: dwadzieścia wzorców technicznych — kto to robi, dlaczego działa i jak to zrobić u siebie. Potem uczciwa tabela offline, architektura referencyjna lokalnego asystenta dla polskich profesjonalistów i rozdział o ewaluacji i bezpieczeństwie.

Czego tu nie powtarzam: konkretne narzędzia (wyszukiwarki, piaskownice, głos, obraz) są w klockach przeglądu harnessów, a wzorzec „Opus planuje, lokalni agenci wykonują" na moim sprzęcie (4× R9700, DeepSeek-V4-Flash, 4 sloty po 131k, ~13,6 tok/s na agenta) w 03-ARCHITEKTURA.md. Prawo i ceny sprzętu: 04-POLSKA-I-SUWERENNOSC.md. Źródła: ZRODLA.md.

---

Spis treści

1. Anatomia asystenta
2. Wzorce
   • 2.1. Inżynieria kontekstu pod prompt cache
   • 2.2. Plik planu i recytacja celu
   • 2.3. Planista, krytyk i zbiory źródeł
   • 2.4. Computer use: najpierw DOM, potem obraz
   • 2.5. Ręce lokalnie, mózg gdzie indziej
   • 2.6. Piaskownica albo VM na zadanie
   • 2.7. Broker poświadczeń
   • 2.8. Zatwierdzenia skalowane wpływem na świat
   • 2.9. Umiejętności i przepisy
   • 2.10. Pamięć ograniczona i pamięć w plikach
   • 2.11. Puls, cron i bramka skryptowa
   • 2.12. Komunikator jako interfejs
   • 2.13. Głos
   • 2.14. Powiązane dowody i cytaty
   • 2.15. Przegląd tabelaryczny
   • 2.16. Procedury w języku naturalnym
   • 2.17. Symulacja i powtarzalność
   • 2.18. Własny model z otwartych wag
   • 2.19. Router i hybryda modeli
   • 2.20. Notatki ze spotkań bez bota
3. Offline: co naprawdę działa bez internetu
4. Architektura referencyjna lokalnego asystenta na biurko
5. Ewaluacja i bezpieczeństwo

---

1. Anatomia asystenta

Każdy produkt z rankingu — od OpenClaw po Harvey — składa się z tych samych ośmiu warstw. Różnią się tym, która warstwa jest ich przewagą: Harvey wygrywa treścią i ewaluacją, Manus kontekstem i maszyną wirtualną, OpenClaw kanałami i pulsem, Abridge powiązanymi dowodami.

1. KANAŁY        czat / PWA · komunikator · e-mail · głos · wtyczka Word
        |
2. ORKIESTRATOR  pętla agenta · plan (todo.md) · sesje · puls i cron · procedury (AOP) · podagenci
        |
        +--> 3. MODELE + ROUTER   duży model · mały szybki · krytyk · STT / TTS · wizja
        |                         reguła routera: najpierw wrażliwość danych, potem trudność
        +--> 4. NARZĘDZIA         pliki · RAG z cytatami · MCP · przeglądarka (DOM) · computer use
        |
5. PAMIĘĆ        USER.md / MEMORY.md (ograniczone) · pamięć sprawy · indeks
6. WYKONANIE     piaskownica / VM na zadanie · osobny użytkownik · egress zamknięty · broker poświadczeń
7. NADZÓR        zatwierdzenia wg wpływu · krytyk · zbiory źródeł · przejęcie przez człowieka
8. EWALUACJA     dziennik zdarzeń · złote zestawy · pass^k · ślady

Dwie obserwacje, które sterują resztą pliku:

• Model jest najmniej unikalną warstwą. Manus stawia na „inżynierię kontekstu na modelach z czołówki" zamiast własnych modeli (Manus, 18.07.2025), Harvey trzyma kilku dostawców naraz (Harvey, 10.03.2026). Przewaga siedzi w warstwach 2, 4 i 6–8 — i dokładnie te da się zbudować lokalnie.
• Warstwy 6–8 to dziś osobny produkt. Google opisał dla agenta w Chrome sześć mechanizmów nadzoru (Google, 8.12.2025), Microsoft dosyła do OpenClaw kontrolę zgodności z polityką firmy (OpenClaw, 25.09.2026). Dla polskiego profesjonalisty te warstwy są argumentem sprzedażowym, nie kosztem.

Kurs: kurs 2, część 1.

---

2. Wzorce

Każdy wzorzec: co to jest, kto (z linkiem do profilu), dlaczego działa, u siebie — jak to zrobić lokalnie.

2.1. Inżynieria kontekstu pod prompt cache

Co to jest. Kontekst projektujesz tak, by kolejne tury trafiały w pamięć podręczną prefiksu (KV-cache). Sześć reguł Manusa: stały prefiks (żadnych znaczników czasu co do sekundy); kontekst tylko dopisywany, z deterministyczną serializacją; maskowanie narzędzi zamiast usuwania (spójne prefiksy browser_, shell_); system plików jako pamięć z „odwracalną kompresją" (wyrzucasz treść strony, zostawiasz URL); recytacja celu w todo.md; błędy zostają w kontekście; zero powtarzalnych przykładów (Manus).

Kto. Manus nazywa trafienia w cache „najważniejszą metryką agenta w produkcji"; wejście do wyjścia ~100:1, typowe zadanie ~50 wywołań narzędzi (dane firmy, 2025). Hermes Agent wstrzykuje pamięć jako „zamrożoną migawkę" na starcie sesji, żeby nie psuć cache (docs). OpenHands po przekroczeniu progu streszcza stare zdarzenia, zostawiając cel, postęp i listę zadań — koszt tury spadł poniżej połowy przy 54% wobec 53% rozwiązanych zadań (dane projektu) (OpenHands).

Dlaczego działa. Agent czyta dużo więcej, niż pisze. W chmurze odczyt z cache jest ~10× tańszy, lokalnie różnica jest w czasie: mój rig czyta prompt ~1 186 tok/s, więc 50 tys. tokenów bez cache to ~40 s do pierwszego tokenu (03-ARCHITEKTURA).

U siebie. Data i zmienne dane w wiadomości użytkownika, nie w prompcie systemowym. Stała lista narzędzi na całą sesję — „wyłączasz" gramatyką albo walidacją. Ta sama sesja do tego samego slotu llama-server (Manus robi routing po ID sesji). Duże obserwacje do pliku, do kontekstu tylko ścieżka i streszczenie. Kurs: kurs 2, część 4, kurs 1, część 8; pułapka H4 w harnessach.

2.2. Plik planu i recytacja celu

Co to jest. Agent prowadzi plik planu i co kilka kroków go przepisuje; przy zadaniach ryzykownych człowiek zatwierdza plan przed wykonaniem.

Kto. Manus przepisuje todo.md, bo przy ~50 krokach model gubi cel w środku kontekstu. ChatGPT Work (9.07.2026) ma „Plan mode": dopytuje, pokazuje plan krok po kroku, a zatwierdzony plan staje się granicą zgody użytkownika (digitalapplied).

Dlaczego działa. Recytacja przesuwa cel na koniec kontekstu, gdzie model patrzy najuważniej; jeden zatwierdzony plan zastępuje dziesiątki pytań „czy mogę?".

U siebie. praca/<zadanie>/plan.md: cel, kryterium „gotowe", kroki ze statusem, otwarte pytania. Orkiestrator wymusza przepisanie co N kroków i przed każdą akcją z zapisem. W UI plan to lista do odhaczenia — i dokumentacja dla klienta.

2.3. Planista, krytyk i zbiory źródeł

Co to jest. Trzy mechanizmy Google dla agenta w Chrome (Google): krytyk zgodności z celem — osobny model ocenia każdą akcję i może ją zawetować, a widzi tylko akcję i cel, nie treść strony; zbiory źródeł (Agent Origin Sets) — domeny per zadanie, osobno „tylko odczyt" i „odczyt i zapis"; deterministyczne potwierdzenia przed stronami banków i medycznymi, logowaniem przez menedżer haseł, płatnością i wysłaniem wiadomości. Do tego klasyfikator injection równolegle z planistą i dziennik pracy z przejęciem.

Kto. Gemini. W API każdy krok zwraca safety_decision, a 7 kategorii polityk (transakcje, dane wrażliwe, komunikacja, umowy…) wymusza potwierdzenie (docs).

Dlaczego działa. Krytyk jest tani, a odcięcie go od treści strony zamyka główny kanał ataku. Zbiory źródeł ograniczają szkody nawet po przejęciu agenta.

U siebie. Krytyk to mały model na CPU (u mnie gpt-oss-20b-cpu): wejście {cel, akcja, domena, klasa_akcji}, wyjście {zgoda, powód}. Zbiory źródeł w konfiguracji zadania („ISAP i SAOS — odczyt; portal sądowy — zapis po zatwierdzeniu"). Wyzwalacze potwierdzeń w kodzie, nie w modelu.

2.4. Computer use: najpierw DOM, potem obraz

Co to jest. Agent widzi stronę jako tekst — drzewo dostępności albo listę elementów z identyfikatorami — a zrzut ekranu jest planem awaryjnym.

Kto. browser-use: „tekst najpierw" to idea założycielska, od 8.2025 w 100% na Chrome DevTools Protocol (ain.ua, changelog). Claude: browser_toolset czyta drzewo dostępności i używa referencji elementów odpornych na przesunięcia układu; pełny zrzut ekranu to 1 000–1 800 tokenów wejścia (browser use, computer use). Strona wizji: UI-TARS-desktop (Apache-2.0) z jednym modelem wizyjnym i hybrydą GUI + DOM; Agent S3 rozdziela model „gdzie kliknąć" (UI-TARS-1.5-7B) od modelu rozumującego i z wyborem najlepszego z kilku przebiegów osiąga 72,6% w OSWorld wobec 72,36% człowieka (Agent S).

Dlaczego działa. DOM jest tańszy, stabilniejszy i pasuje do małych modeli bez wizji; obraz jest potrzebny tylko dla pikselowych interfejsów.

U siebie. DeepSeek-V4-Flash jest tylko tekstowy, więc DOM to naturalna ścieżka: Playwright MCP, agent-browser albo browser-use z lokalnym endpointem (klocki); wizja przez „mostek" — osobny model opisuje ekran (03-ARCHITEKTURA, U5). Uwaga na liczby producentów: browser-use ogłosił 89,1% na WebVoyager po usunięciu 55 z 586 zadań, a na niezależnej tablicy Online-Mind2Web ten stos z Claude Sonnet 4 miał 40,0% (raport, HAL).

2.5. Ręce lokalnie, mózg gdzie indziej

Co to jest. Wykonanie (przeglądarka, pliki, VM) działa na maszynie użytkownika, do modelu idą tylko obserwacje.

Kto. Perplexity Comet według akt Amazon v. Perplexity: przeglądarka użytkownika rozmawia ze stroną, robi zrzuty lokalnie i wysyła je na serwery Perplexity po instrukcje (Jones Day). Claude: computer use wykonuje aplikacja dewelopera, Cowork uruchamia lokalną VM Linuksa przez Apple Virtualization — model w chmurze (Simon Willison). Manus radzi bankowość robić przez lokalną przeglądarkę, bo adresy centrów danych wywołują blokady (docs).

Dlaczego działa. Loginy i ciasteczka zostają u użytkownika; nie ma problemu „bota z serwerowni".

U siebie. Gotowy szablon — wystarczy podmienić mózg na lokalny. Dla danych klienta obie połowy zostają na biurku; chmura może być „mózgiem" tylko dla treści bez danych klienta (sekcja 4). Wzorzec planisty: 03-ARCHITEKTURA, sekcja 2.

2.6. Piaskownica albo VM na zadanie

Co to jest. Każde zadanie albo sprawa dostaje odizolowane środowisko z dostępem tylko do wskazanych folderów i zamkniętym ruchem wychodzącym.

Kto. Manus: mikro-VM Firecracker przez E2B, start ~150 ms; Docker odpadł przez 10–20 s startu (E2B, 6.05.2025). Claude Cowork montuje tylko foldery, na które pozwolił użytkownik, i ogranicza sieć. Windows daje agentowi własne konto, sześć znanych folderów i wybór „zawsze / pytaj / nigdy" (Microsoft). NemoClaw owija OpenClaw piaskownicą domyślnie, z akceptacją ruchu wychodzącego przez operatora.

Dlaczego działa. Szkoda po przejęciu agenta kończy się na jednym folderze. Ale: PromptArmor pokazał, że Cowork wysłał pliki ofiary na konto atakującego przez dozwolone API Anthropic z kluczem atakującego (PromptArmor) — lista dozwolonych hostów nie wystarcza, gdy dozwolony host przyjmuje dowolne poświadczenia.

U siebie. Piaskownica na sprawę: srt albo bubblewrap dla powłoki, microsandbox dla kodu agenta (klocki); osobny użytkownik systemu; egress domyślnie zamknięty, a jeśli potrzebny — lista domen przez proxy, które wpuszcza tylko Twoje poświadczenia. Kurs: kurs 1, część 7, kurs 2, część 10.

2.7. Broker poświadczeń

Co to jest. Hasła i tokeny nigdy nie trafiają do promptu ani piaskownicy. Agent dostaje uchwyt, a podstawienie robi zaufany proces poza zasięgiem modelu — tylko dla dozwolonej domeny.

Kto. Kortix: poświadczenia „są pośredniczone po stronie serwera przez jeden token o wąskim zakresie i nigdy nie wchodzą do maszyny" (README). Claude Code w chmurowych VM: poświadczenia GitHuba nie wchodzą do VM, ruch wychodzi przez proxy (docs). browser-use: „secret bindings" przypięte do allowedDomains (docs). Logowanie i 2FA oddaje się człowiekowi — Manus „Take Over", Gemini Spark oddaje logowanie i płatności (Google). Microsoft dosłał do OpenClaw maskowanie sekretów w promptach zatwierdzeń (OpenClaw).

Dlaczego działa. Model, który nie zna hasła, nie wycieknie go — ani przez injection, ani do dziennika.

U siebie. Sejf (szyfrowany plik albo keyring) + proxy narzędzi: agent pisze {{sekret:ksef}}, proxy podstawia wartość tylko w żądaniu do domeny tego sekretu i wycina ją z odpowiedzi i logów. Profil zaufany, portale sądowe, bankowość — logowanie zawsze robi człowiek w przejętej sesji.

2.8. Zatwierdzenia skalowane wpływem na świat

Co to jest. O tym, czy agent pyta, decyduje wpływ akcji na zewnątrz i jej odwracalność, a nie pewność modelu.

Kto. Lindy: „wszystko, co ma wpływ na zewnątrz, czeka na zatwierdzenie… wyszukiwania tylko do odczytu nie wymagają zatwierdzenia" (Lindy). browser-use „Agency" pyta tylko przed wysłaniem albo publikacją (changelog, 17.08.2026). Claude w Chrome potwierdza publikację, zakup i udostępnienie danych osobowych (Anthropic). OpenHands ma tryb ConfirmRisky, model oznacza ryzyko akcji, a analizator wzorców łapie rm -rf i curl | sh (docs). ZeroClaw ma poziomy autonomii i zatwierdzenia podpisane HMAC (harnessy). Microsoft w Autopilocie: akcji o nieznanym wyniku nie ponawia się automatycznie (OpenClaw).

Dlaczego działa. Brak pytań o odczyty, a każda nieodwracalna akcja ma człowieka.

U siebie.

2.9. Umiejętności i przepisy

Co to jest. Powtarzalna procedura jako folder z plikiem Markdown (instrukcja, przykłady, skrypty), ładowany dopiero, gdy jest potrzebny.

Kto. OpenClaw: SKILL.md i rejestr ClawHub. Hermes Agent sam pisze umiejętności po złożonych zadaniach, poprawia je i skanuje przy instalacji (docs). Poke ma „przepisy" — automatyzacje zwykłym tekstem, którymi użytkownicy się dzielą (TechCrunch, 8.04.2026). LexisNexis ma w Protégé umiejętności swoje i partnerów, a własne klientów zapowiada „wkrótce" (24.08.2026, LexisNexis).

Dlaczego działa. Prompt systemowy zostaje krótki (cache), a wiedza proceduralna jest wersjonowana. Ciemna strona: otwarty rynek umiejętności to nowa powierzchnia ataku (sekcja 5).

U siebie. Katalog umiejetnosci/ w gicie, po jednej na procedurę zawodu („przegląd umowy najmu", „zamknięcie miesiąca VAT", „notatka z wizyty — kardiologia"). Umiejętność napisana przez agenta idzie do przeglądu, nie do użycia. Bez publicznego rynku — Moltis rezygnuje z niego celowo (harnessy).

2.10. Pamięć ograniczona i pamięć w plikach

Co to jest. Pamięć to czytelne pliki z twardym limitem, które właściciel może otworzyć, poprawić i cofnąć.

Kto. Hermes Agent: MEMORY.md ≤ 2 200 znaków, USER.md ≤ 1 375 znaków; pełna pamięć wymusza konsolidację zamiast cichego gubienia wpisów (docs). OpenClaw wstrzykuje SOUL.md, USER.md, MEMORY.md, AGENTS.md w każdej sesji, a w tle „śni": pisze DREAMS.md i promuje do MEMORY.md tylko mocne wpisy z wagą 1–10 (docs). Claude trzyma pamięć jako pliki tematyczne i domyślnie nie zapisuje tematów wrażliwych (Anthropic, 25.08.2026). Harvey II (18.08.2026) zamyka pracę w „Spaces" sprawy (Harvey).

Dlaczego działa. Limit wymusza kurację, stała migawka nie psuje cache, a plik da się pokazać klientowi albo inspektorowi.

U siebie. Globalny USER.md (styl, preferencje — bez danych klientów) i sprawy/<sygnatura>/pamiec.md ładowany tylko w sesji tej sprawy. Wskaźnik zapełnienia w UI („67% — 1 474/2 200"). Wszystko w gicie, więc „skąd agent to wie?" ma odpowiedź w historii. Kurs: kurs 2, część 5 i część 6.

2.11. Puls, cron i bramka skryptowa

Co to jest. Agent budzi się sam — z harmonogramu albo zdarzenia — ale najpierw tani skrypt sprawdza, czy jest co robić, i dopiero wtedy wołany jest model.

Kto. OpenClaw: puls domyślnie co 30 min, wybudzenia co najmniej 30 s od siebie i blokada po 5 startach w 60 s (heartbeat); „standing orders" opisują zakres, wyzwalacz, bramkę zatwierdzenia i eskalację (docs). NanoClaw ma „bramki skryptowe", które nie budzą modelu bez pracy (README); Moltis może obsługiwać puls osobnym małym modelem (harnessy). ChatGPT Pulse liczy poranny brief nocą (TechCrunch), Google CC wysyła codzienny e-mail, na który się odpowiada (Google).

Dlaczego działa. Większość przebudzeń to „nic nowego" — skrypt odpowiada na to za darmo.

U siebie. Timer systemd → skrypt (nowy plik w sprawie? nowa wiadomość w skrzynce biura? nowa pozycja w lokalnym lustrze Dziennika Ustaw?) → kolejka → model. Nocą GPU stoi — tam idą briefy, przegląd tabelaryczny i ewaluacje. Kurs: kurs 2, część 11; klocki.

2.12. Komunikator jako interfejs

Co to jest. Asystent mieszka w aplikacji, której użytkownik i tak używa.

Kto. OpenClaw: jedna bramka dla WhatsApp, Telegram, Signal, iMessage, Teams, Matrix, e-maila i innych (docs). Poke: pierwszy agent AI zatwierdzony na Apple Messages for Business (4.06.2026), „ponad 100 mln wiadomości w 3 miesiące" (dane firmy) (TechCrunch, Cognition, 23.07.2026). Druga strona: Apple na stałe zablokował Lindy konto Apple ID w pół dnia; firma przepisała kanał trzy razy i pilnuje stosunku wysłanych do odebranych poniżej ~10:1 (Lindy, 16.03.2026).

Dlaczego działa. Zero wdrożenia u użytkownika i naturalna proaktywność — agent pisze pierwszy.

U siebie. Komunikatory konsumenckie to cudza chmura i wroga platforma — danych klienta tam nie wysyłasz (to samo przy Telegramie w klockach). Kanałem profesjonalisty jest aplikacja webowa w sieci biura, e-mail przez serwer kancelarii (wzorzec „DW do asystenta"), wtyczka Word — tam siedzą Spellbook i Noxtua (Spellbook, Noxtua) — i Matrix na własnym serwerze. Mój osobisty asystent może używać Telegrama do spraw niewrażliwych. Kurs: kurs 2, część 12.

2.13. Głos

Co to jest. Mowa jako wejście (dyktowanie, notatka głosowa, nagranie wizyty) i wyjście (odczyt, rozmowa).

Kto. Hermes Agent: notatki głosowe z lokalnym faster-whisper, ale synteza mowy domyślnie przez chmurowy Edge TTS; Moltis: lokalne STT i Piper z polskimi głosami, w pełni offline (harnessy: Hermes, Moltis). Abridge i Nabla mają własne medyczne ASR; Nabla trenowała na bazie Whispera plus 7 000 godzin nagrań medycznych i nigdy nie wkleja surowej transkrypcji do dokumentacji (Nabla).

Dlaczego działa. Lekarz i adwokat mówią szybciej, niż piszą; nagranie to najbogatsze źródło faktów.

U siebie. Kaskada STT → LLM → TTS — lokalnej mowy-do-mowy po polsku na AMD w październiku 2026 nie znalazłem (03-ARCHITEKTURA, U4, klocki). Transkrypcja to produkt pośredni: notatkę pisze LLM, każde zdanie wskazuje fragment nagrania (2.14). Zbuduj test polskich nazw leków i terminów prawniczych, zanim komuś to sprzedasz.

2.14. Powiązane dowody i cytaty

Co to jest. Każde zdanie wyniku ma klikalny wskaźnik do źródła: fragmentu transkrypcji, strony dokumentu, przepisu.

Kto. Abridge „Linked Evidence": każde zdanie notatki prowadzi do transkrypcji albo nagrania; model-strażnik poprawia twierdzenia bez pokrycia i w wewnętrznym teście na 10 000+ wizyt złapał 97% takich twierdzeń wobec 82% dla GPT-4o (dane firmy, 19.08.2025) (Abridge). OpenEvidence: RAG nad licencjonowaną literaturą (NEJM, JAMA, NCCN, Cochrane) z cytatami w tekście (Wikipedia). Hebbia: „widać, skąd wzięła się każda liczba" (Hebbia). W Polsce LEX Expert AI (19.11.2025) linkuje odpowiedzi do źródeł i fragmentów w LEX — tę poprzeczkę polscy prawnicy już znają (Prawo.pl).

Dlaczego działa. Weryfikacja zdania trwa sekundy. Dla adwokata to warunek: § 23e Zbioru Zasad Etyki Adwokackiej wymaga osobistej weryfikacji wyniku (NRA, 12–13.06.2026).

U siebie. Każdy fragment z RAG ma identyfikator {dokument, strona, przesunięcie}; model zwraca zdania z listą identyfikatorów, kod odrzuca zdanie bez cytatu. Drugie przejście: weryfikator dostaje tylko zdanie i cytowany fragment i odpowiada „pokryte / niepokryte". „Nie wiem" jest dozwolone i nagradzane w ewaluacji. Kurs: kurs 1, część 4.

2.15. Przegląd tabelaryczny

Co to jest. Siatka „N pytań × M dokumentów": wiersz to dokument, kolumna pytanie, komórka odpowiedź z cytatem. Czat zamienia się w analityka wsadowego.

Kto. Hebbia Matrix wymyśliła ten interfejs; Matrix 2.0 (26.08.2026) prowadzi analizę do gotowych memo i prezentacji z punktami kontroli człowieka (Hebbia). Skopiowali go Legora, Thomson Reuters (Tabular Analysis do 10 000 dokumentów × 100 pytań — CoCounsel) i Noxtua (Matrix Analysis). Harvey liczy koszt „na komórkę": własny Tenet ma ~1/10 kosztu komórki w Review Table (dane firmy) (Harvey, 20.08.2026).

Dlaczego działa. Każda komórka to małe, niezależne, łatwe do sprawdzenia zadanie — idealne dla lokalnego modelu i równoległych slotów — a wynik jest arkuszem, którego profesjonalista i tak używa.

U siebie. Kolejka komórek z limitem 4 slotów, kolejność „dokument po dokumencie": w jednym slocie dokument jako stały prefiks i kolejne pytania, więc cache czyta go raz. Komórka = JSON {odpowiedź, cytat, strona, pewność} walidowany w kodzie, eksport do XLSX z linkami do stron PDF. Przepustowości na moim rigu nie mierzyłem — dobry pierwszy pomiar.

2.16. Procedury w języku naturalnym

Co to jest. Zachowanie agenta opisuje ekspert zwykłym językiem, a osobna, ukryta przed agentem specyfikacja ocenia przebieg, nie tylko wynik.

Kto. Decagon: „Agent Operating Procedures" — procedury w języku naturalnym, które zespół obsługi zmienia „bez sprintów inżynierskich" (Decagon). Basis: „behavior specs" (29.07.2026), otwarty standard z Braintrust — specyfikacje oceniają trajektorię (prawda / fałsz / nie dotyczy) i „nigdy nie są pokazywane agentowi", bo „poprawny wynik nie mówi, czy agent użył procesu, któremu zaufalibyśmy ponownie" (Basis).

Dlaczego działa. Kontrolę nad zachowaniem ma prawnik albo księgowa, nie programista; specyfikacja przebiegu łapie „dobry wynik z przypadku".

U siebie. procedury/wezwanie-do-zaplaty.md po polsku, pisane przez profesjonalistę („gdy klient przysyła wezwanie, najpierw policz termin…"), a obok oceny/wezwanie-do-zaplaty.spec.md z pytaniami o przebieg („czy sprawdził białą listę VAT", „czy zacytował interpretację KIS") — tego pliku agent nie widzi.

2.17. Symulacja i powtarzalność

Co to jest. Zanim agent dostanie klientów, rozmawia z symulowanymi, a miarą jest pass^k — czy udało się k razy z rzędu na tym samym zadaniu.

Kto. Sierra: τ-bench (20.06.2024) symuluje użytkowników i API pod regułami domeny; GPT-4o spadł w handlu detalicznym do ~25% przy pass^8, o 60% względem pass^1 (Sierra).

Dlaczego działa. Profesjonalista potrzebuje przewidywalności bardziej niż szczytowej jakości. DeepSeek-V4-Flash na moim trudnym zestawie ma 92/93, ale powtarzalność tylko 83 (03-ARCHITEKTURA).

U siebie. Symulator klienta na lokalnym modelu z personami per zawód, uruchamiany nocą: k = 8 przebiegów na zadanie, raport pass^1 i pass^8. Lokalnie nocne obliczenia są prawie darmowe.

2.18. Własny model z otwartych wag

Co to jest. Otwarty model bazowy dotrenowany (pretrening, SFT, RL) na danych dziedziny i śladach zadań zamiast modelu z czołówki przy każdej komórce.

Kto. Harvey Tenet (20.08.2026): Kimi K3 po RL (GSPO) z Fireworks, dane syntetyczne, publiczne i eksperckie — „nie użyliśmy danych klientów"; −90% kosztu zapytania o wiedzę firmy (dane firmy); wag nie opublikowano (Harvey). Cursor Composer 2 (19.03.2026): otwarty Kimi K2.5 plus własny pretrening i RL; bazy nie ujawniono przy premierze, Cursor przyznał po odkryciu przez użytkownika (Cursor, Gigazine). Noxtua: poziom „Athena" na modelach open source w suwerennej infrastrukturze UE (Noxtua). Microsoft Fara-7B: mały model computer use trenowany na 145 tys. syntetycznych trajektorii większego agenta (MSR).

Dlaczego działa. Wąskie, mierzalne zadania (ekstrakcja, komórka tabeli) potrzebują modelu dopasowanego, nie największego. Własne wagi to też suwerenność.

U siebie. Najpierw prompty i DSPy z Opusem jako nauczycielem (klocki), potem dotrenowanie mniejszego modelu (Bielik-11B, Qwen 27B) do jednej czynności. 284-miliardowego DeepSeeka na 4× R9700 nie dotrenujesz. Dwie zasady z cudzych błędów: ujawniaj model bazowy (Cursor) i nie trenuj na danych klientów bez zgody (Harvey robi z tego argument).

2.19. Router i hybryda modeli

Co to jest. Kod decyduje, który model obsłuży krok — według wrażliwości danych, trudności i kosztu.

Kto. Harvey: routing po zadaniu, przełączenie przy awarii dostawcy, administrator wybiera dozwolone modele (Harvey). Perplexity Computer: 19 modeli z podagentami (TechCrunch, 27.02.2026). Glean Tau: 0,58 USD wobec 2,98 USD za zadanie w porównaniu z Claude Cowork (benchmark producenta, 27.08.2026) (itbrief). Noxtua: „Athena" (otwarte, suwerenne) albo „Minerva" (modele z czołówki w układzie europejskim) (Noxtua).

Dlaczego działa. Większość kroków jest prosta; drogi model tylko tam, gdzie się zwraca. Pułapka: wybór modelu potrafi po cichu przenieść dane — w Microsoft 365 Copilot modele Anthropic jako podprocesor są wyłączone z EU Data Boundary (Microsoft).

U siebie. Pierwsza reguła routera to wrażliwość, druga trudność: „dane klienta → tylko lokalnie" jest twardą regułą w kodzie, nie decyzją modelu. Bramka i limity: klocki; kurs: kurs 2, część 17, kurs 1, część 10.

2.20. Notatki ze spotkań bez bota

Co to jest. Aplikacja nagrywa mikrofon i dźwięk systemu na urządzeniu — żaden bot nie dołącza do rozmowy — a LLM rozwija notatki użytkownika w pełną notatkę.

Kto. Granola: dwa kanały dają darmową diaryzację „Ja / Oni", nagranie nie jest zapisywane, zostaje transkrypcja; ASR i LLM w chmurze (docs). Ciemna strona: w 7.2026 prasa opisała notatki domyślnie udostępniane linkiem i trenowanie domyślnie włączone w planach Free i Business (Startup Fortune), a 30.07.2026 złożono pozew zbiorowy Chamberlain v. Granola (ppc.land).

Dlaczego działa. Brak bota usuwa tarcie społeczne, a notatki użytkownika mówią modelowi, co było ważne.

U siebie. Mikrofon i pętla systemowa jako dwie ścieżki → whisper.cpp albo Parakeet → diaryzacja po kanale → LLM scala z notatkami i szablonem → audio kasowane po transkrypcji. Zgodę uczestników na nagrywanie sprawdź dla swojej sytuacji — to nie jest porada prawna.

---

3. Offline: co naprawdę działa bez internetu

„Tak" = produkt sam działa bez internetu (otwarty kod + lokalny model). Usługi chmurowe dostają „Nie", nawet gdy część wykonania jest lokalna. Szczegóły w 01-PROFILE.md.

Źródła wierszy: profile w 01-PROFILE.md; Codex — Decrypt; Gemini Spark poza EOG — Google; Cursor — dane; browser-use — BU 2.0 i klocki.

Wniosek: z piętnastu żaden produkt nie działa w pełni offline. Częściowo lokalnie da się uruchomić cztery: OpenClaw, Hermes i browser-use (otwarte, z lokalnym modelem; kanały, TTS Edge i strony publiczne wymagają sieci) oraz Perplexity Portable Computer (zamknięty). To nie są produkty dla profesjonalistów. Nikt z czołówki nie sprzedaje polskiemu prawnikowi czy lekarzowi asystenta, który działa na biurku — tę lukę wypełnia sekcja 4.

Funkcja → lokalny zamiennik

Źródła: klocki (głos, obraz, wyszukiwanie, kanały, pamięć); OpenJarvis — 03-ARCHITEKTURA; PLCC; przepisy — arXiv 2608.30929; wizja medyczna PL — arXiv 2608.12928; OSWorld 2.0 — arXiv 2606.29537; UI-TARS-1.5-7B; Bielik-Guard; BrowseSafe — the-decoder.

---

4. Architektura referencyjna lokalnego asystenta na biurko

Cel: asystent dla kancelarii, gabinetu albo biura rachunkowego, w którym dane klienta nie opuszczają biurka. To projekt złożony z wzorców z sekcji 2 — niezmierzony, dopóki go nie zbudujesz.

BIURO (sieć lokalna)                                                 | INTERNET
  PWA w przeglądarce · wtyczka Word · e-mail biura · nagrywanie      |
                          |                                          |
  +------------- PUDEŁKO NA BIURKU (szyfrowany dysk) -------------+  |
  | ORKIESTRATOR   pętla · plan.md · procedury · puls + bramki    |  |
  |   router: dane klienta -> tylko lokalnie                      |  |
  | MODELE (llama-swap)        NARZĘDZIA (MCP, tylko odczyt)      |  |
  |   główny LLM · Bielik        RAG sprawy z cytatami            |  |
  |   krytyk (mały model)        przegląd tabelaryczny -> XLSX    |  |
  |   STT · TTS · OCR            szkice pism · DOM-przeglądarka   |  |
  | PAMIĘĆ     USER.md · sprawy/<sygnatura>/ · indeks · lustra    |  |
  | WYKONANIE  piaskownica na sprawę · osobny użytkownik          |  |
  | NADZÓR     zatwierdzenia wg wpływu · broker poświadczeń       |  |
  | DZIENNIK   zdarzenia append-only · notatka o narzędziach      |  |
  +---------------------------+-----------------------------------+  |
          zapora wyjścia: domyślnie NIE                              |
              +-- podpisane aktualizacje ----------------------------+--> serwer aktualizacji
              +-- lustra ISAP / SAOS (osobny proces, bez spraw) -----+--> źródła publiczne
              +-- opcja, wyłączona: planista hybrydowy --------------+--> Opus (tylko treść
                                                                     |    bez danych klienta)

Zasady przepływu danych

1. Dane klienta nie wychodzą z pudełka. Model, indeks, dzienniki i kopie są lokalne — wtedy dla części AI nie ma podmiotu przetwarzającego (art. 28 RODO) ani transferu poza EOG (rozdział V) (RODO). Działa to tylko, jeśli serwis dostawcy nie sięga do danych: podpisane paczki aktualizacji, bez zdalnej powłoki domyślnie.
2. Ruch wychodzący jest jednokierunkowy i bez danych klienta. Osobny proces pobiera aktualizacje i lustra źródeł publicznych; proces z dostępem do spraw nie ma sieci. Ghost robi z zapory wyjścia funkcję zaufania (TechCrunch, 5.10.2026).
3. Planista hybrydowy (Opus) jest wyłączony domyślnie i dostaje tylko treść, w której nigdy nie było danych klienta: pytania o przepisy w oderwaniu od sprawy, kod narzędzi, szablony, procedury. Dlaczego nie „zanonimizowane akta": dane spseudonimizowane nadal są danymi osobowymi (motyw 26 RODO); ponowna identyfikacja to opisane ryzyko systemów LLM (EDPB, 10.04.2025); dostawca z USA podlega CLOUD Act (18 U.S.C. § 2713); § 23e ZZEA zabrania udostępniania informacji poufnych narzędziom bez „należytej ochrony". „Lokalny wykonawca jako filtr prywatności" z 03-ARCHITEKTURA też jest modelem — może się pomylić. Szerzej: 04-POLSKA-I-SUWERENNOSC.md. To nie jest porada prawna.
4. Pełne szyfrowanie dysku, osobne konta, szyfrowane kopie. Skradzione pudełko bez szyfrowania to naruszenie w rozumieniu art. 33–34 RODO.

Rozmiar sprzętu

Ceny, dostępność i pomiary pudełek: 04-POLSKA-I-SUWERENNOSC.md. Tu tylko, co musi się zmieścić w pamięci — mój szacunek z rozmiarów wag, nie pomiar:

Dwie twarde reguły: dla agentów co najmniej Q4 — w PolAgentBench Bielik-11B-v3, Bielik-Minitron-7B i Llama-PLLuM-8B „spadają z klifu" między 3 a 2 bitami (arXiv 2609.32042); tylko wagi z licencją komercyjną — modele PLLuM „-nc" odpadają. Rozmiary: gpt-oss-20b, Bielik-11B-v3, klocki: obraz.

Wariant na moim rigu

4× R9700, DeepSeek-V4-Flash w 3 bitach (104,2 GB), --parallel 4 po 131k, ~1,4 GB wolnego VRAM na kartę (03-ARCHITEKTURA). Model jest tylko tekstowy, więc wszystko „zmysłowe" idzie obok:

Konsekwencja: przy ~13,6 tok/s na agenta prompt cache i krótkie wyjścia JSON są ważniejsze niż wybór harnessu (2.1), a krytyk i bramki pulsu muszą działać na CPU, bo GPU jest pełne.

Minimalny produkt (MVP)

1. Czat po polsku nad folderem sprawy — odpowiedź z cytatem do strony dokumentu albo „nie wiem" (2.14).
2. Przegląd tabelaryczny „pytania × dokumenty" z eksportem do XLSX (2.15).
3. Szkice pism i e-maili — nigdy wysyłka (2.8).
4. Transkrypcja nagrania (spotkanie, wizyta, dyktowanie) i notatka z szablonu z linkami do fragmentów (2.13, 2.20).
5. Procedury i umiejętności per zawód pisane przez profesjonalistę (2.9, 2.16).
6. Dziennik zdarzeń i „notatka o narzędziach" per sprawa (sekcja 5).
7. Zero ruchu wychodzącego z danymi, szyfrowany dysk, kopie (zasady wyżej).

Poza MVP: computer use na zewnętrznych portalach, komunikatory, rozmowa głosowa na żywo, planista hybrydowy.

Etapy

---

5. Ewaluacja i bezpieczeństwo

Prompt injection w agentach przeglądarkowych

Przyczyna jest strukturalna: agent działa z sesjami użytkownika, więc polityka same-origin już nie chroni — instrukcje może nieść każda strona, e-mail, zaproszenie z kalendarza czy obraz (Brave). OpenAI (22.12.2025): prompt injection jest „mało prawdopodobne, by kiedykolwiek został w pełni rozwiązany" (TechCrunch); Gartner (8.12.2025) radził firmom blokować przeglądarki AI (The Register). Co już się wydarzyło:

• Comet: atak bez kliknięcia przez zaproszenie z kalendarza — wyciek lokalnych plików i poświadczeń z 1Password (The Register, 3.03.2026).
• BragJack (19.09.2026): jedno złośliwe rozszerzenie „wymusza prompt" w Chrome Gemini, Edge Copilot, Comet, Opera Neon i Claude w Chrome (BleepingComputer).
• Cowork: ukryty biały tekst w dokumencie → wysyłka plików przez dozwolone API (2.6).
• Obrona pomaga, ale nie domyka: Anthropic obniżył skuteczność ataków na Claude w Chrome z 23,6% do 11,2%, a dla Opus 4.5 podaje ~1% przy adaptacyjnym atakującym (dane firmy, 2025) (Anthropic); BrowseSafe wykrywa 91% w < 0,5 s, ale ~10% ataków przechodzi (12.2025).

Najlepszy opisany wzorzec po stronie wykonania ma Harvey (7.10.2026): sprawdzenie każdego wywołania narzędzia, „przypinanie" definicji narzędzi przeciw podmianie, polityki Rego blokujące „śmiertelną trójcę" (dane prywatne + niezaufana treść + komunikacja na zewnątrz), usuwanie ukrytych znaków Unicode z wyników — egzekwowane poza modelem (Harvey).

Lokalnie usuwasz wyciek do chmury, ale nie prompt injection. Stąd: agent czyta, a nie pisze; osobny profil przeglądarki bez głównych sesji; zbiory źródeł; bez file:// i menedżera haseł; lokalny klasyfikator; i reguła trójcy w kodzie — sesja, która czytała niezaufaną treść, traci narzędzia komunikacji na zewnątrz. Kurs: kurs 2, część 16.

Lekcja z porad bezpieczeństwa OpenClaw

OpenClaw ma w 2026 roku 722 porady bezpieczeństwa (14 krytycznych, 249 wysokich, 390 średnich, 69 niskich; API GitHuba, 11.10.2026). Steinberger podaje, że z 1 309 zgłoszeń od 10.01 aż 746 zamknięto jako nieważne, a 87% „krytycznych" było nieważnych (OpenClaw, 30.04.2026). Prawdziwe problemy były gdzie indziej:

• Rynek umiejętności. Cisco znalazł co najmniej jedną podatność w 26% z 31 000 umiejętności agentów i umiejętność, która po cichu wysyłała dane curlem (Cisco, 28.01.2026).
• Piaskownica nie jest domyślna — „workspace to domyślny katalog roboczy, nie twarda piaskownica", także w 2.0 (docs, The Register).
• Odpowiedzi: VirusTotal, NVIDIA SkillSpector, Tencent ClawScan (86,9% zgodnych etykiet i 98,6% złapanych złośliwych umiejętności na 556 przypadkach (dane projektu) — ClawScan), wyniesienie kanałów i narzędzi z rdzenia do wtyczek, kontrola zgodności z polityką od Microsoftu.

Wnioski: mały rdzeń, brak otwartego rynku, piaskownica domyślnie, przypięte wersje, kontrola zgodności konfiguracji z zapisem dla inspektora. Liczba porad nie mierzy bezpieczeństwa — Hermes nie ma żadnej opublikowanej w 2026 (API GitHuba, 11.10.2026), co może wynikać ze sposobu zgłaszania, nie z braku błędów.

pass^k i złote zestawy per zawód

Benchmarki ogólne nasycają się: OSWorld przekroczył poziom człowieka, ale na OSWorld 2.0 (zadania ~1,6 h) najlepszy model ukończył 20,6%, bo agenci „gubią ograniczenia, zgadują zamiast pytać i pomijają weryfikację" (arXiv 2606.29537). Liczy się Twój zestaw:

Każde zadanie ma wejście, oczekiwany wynik, wymagane cytaty i ukrytą specyfikację przebiegu (2.16). Mierzysz pass^1 i pass^8 (2.17), a w produkcji — jak Spellbook — odsetek przyjętych sugestii (LawNext). Harvey ma własny BigLaw Bench; polskiego odpowiednika dla kancelarii nie znalazłem. Narzędzia: klocki, kurs 2, część 14.

Dziennik zdarzeń

Kto. OpenHands zapisuje każdą interakcję jako typowane zdarzenie (akcja → obserwacja), co daje audyt i odtworzenie (OpenHands); UI-TARS-desktop ma przeglądarkę strumienia zdarzeń; Manus Browser Operator loguje każdą akcję (Manus). W sprawie Amazon v. Perplexity dzienniki agenta stały się materiałem dowodowym (ComplexDiscovery; znam tylko tytuł).

U siebie.

• Dziennik tylko do dopisywania: kto, kiedy, model i wersja, narzędzie, cytat, kto zatwierdził.
• Eksport „notatki o narzędziach" per sprawa — § 23e ZZEA każe na prośbę klienta wskazać użyte narzędzia i ich cel (NRA).
• Dziennik to dane osobowe: szyfrowanie (art. 32 RODO), retencja, eksport i usunięcie per klient. UODO przypomina, by „regularnie mierzyć i testować wdrożone środki bezpieczeństwa" (UODO, 26.06.2026) — dziennik plus złoty zestaw to właśnie ten pomiar.
• Kurs: kurs 2, część 15.

To nie jest porada prawna — przepisy i obowiązki zawodowe omawiam w 04-POLSKA-I-SUWERENNOSC.md.