模型搬进了笔记本，信任边界没有跟着搬

速览

发布于 2026 年 10 月 20 日。表中内容全部出自 Perplexity 自己的说法或对其的同期报道；撰稿时不存在独立测试。

该模式面向 Pro、Max 与 Enterprise 订阅者。Perplexity 建议 36 GB 及以上统一内存——这是建议而非写明的硬性下限：Personal Computer（2026 年 5 月那个首次让 Computer 接触本地文件与原生 Mac 应用的功能）较早的帮助中心页面给出的是另一个门槛，24 GB 及以上。本地任务被说明为不消耗 Computer 额度，而 Hybrid Compute 在同一应用内继续可用。本地模型被描述为 PPLX Pro，即 Perplexity 对 Qwen 做过后训练的版本；各处报道对基座版本并不一致，Qwen 3.6 与 Qwen 3.8 都被提到，所以这个细节请当作未定。

这件事真正买到了什么，而且不小

有三样东西确实变好了，而它们正是你该想要这个的理由。

供应商的请求日志不再存在。一个智能体发给托管模型的每一条提示，都是一次向第三方的披露——对方可能为滥用监测保留该载荷，而任何事后脱敏都无法撤回它：数据在请求离开时就已经离开了。这正是保密推理要解决的结构性问题，也是在受监管场景里卡住智能体落地的那个问题。把模型跑在设备上不是缓解那次披露，而是消除了那个动作。对数据驻留与主权类问题来说，"这些字节从未离开过这台笔记本"是能给出的最强答案，而且比一份合同上的零保留承诺强得多。

计费表停了。本地任务被说明为不扣 Computer 额度，这改变了那类"又长、又探索性、价值又低"的任务的经济性——正是那种你不会放在计费智能体上跑的任务，因为期望值盖不住成本。边际成本为零的任务与"便宜"的任务是两种不同的产品，而小模型与本地模型讲了这笔交换的质量那一侧：设备上的模型更弱，而对一大类文件整理工作来说这根本无关紧要。

它在没有网络时也能用。一个能离线工作的智能体，是一个能在飞机上、在没有外网的场所、以及在"你恰恰因为不信任这台机器上的东西而切断了网络"的事故期间仍然工作的智能体。气隙环境下的智能体部署讲的是这件事的严肃版本。

这些都是真实的，不该被轻描淡写。本文余下部分讲的是"什么没有变"，因为"本地就等于私密"这个营销框架，恰恰只会引出一个错误结论。

三个条件全都还在这台笔记本上

一个被提示注入的智能体要完成外泄，需要三件事同时成立：接触到攻击者可控的内容、能访问值得偷的数据、以及有办法把它发出去。这个组合就是致命三要素，而这套框架好用的地方在于：去掉任意一条腿就足够。把这三条对照一下现在这套配置。

不可信输入。在获得许可后，智能体会读取 Mail 与 Messages。那是个人设备上内容由"任何决定联系你的人"撰写的两条通道，这使它们成为注入指令的典型来源——提示注入才不管对这段文本做推理的模型是不是本地的。甚至在这一轴上本地情形更糟，因为授予邮件访问权的全部意义，就在于让智能体去处理你还没读过的邮件。

私有数据。这个模式存在的理由就是处理本地文件。于是数据与不可信内容此刻在同一台机器上、同一个上下文窗口里，这正是上下文污点追踪要讲的那个条件，而本地算力再多也改变不了它。

出口。这是人们以为本地模式会去掉的那条腿，而它并没有。同一个应用保留了一条已授权的云端路径，用于需要时效信息、浏览器或连接器的任务；而浏览器使用尤其是一条通用出站通道——一个把数据塞进查询串的 URL 就是一个外泄原语，这正是智能体的出口管控把浏览器视为最难收敛的工具的原因。那条路径上的闸门是一次用户批准，而一个批准"好，去网上查一下"的用户，并不是在评估这次查询是否编码了某个文件的内容。

所以诚实的总结比头条窄：本地推理把供应商从威胁模型里移走了，却把攻击者原封不动地留在了原处。这是两个不同的当事方，而这次发布让把它们混为一谈变得很容易。

仪表跟着模型一起搬走了

这是通常在事故中才被发现的那一部分。一个组织对智能体拥有的几乎每一项运维控制，都实现在服务端：告诉你它被要求做什么的那份请求日志、你吊销来叫停它的那把 API 密钥、决定它能触达什么的那条网络策略、你用来重建时间线的那条逐次调用追踪。把推理挪到端点上，这四项就都不再出现在你的工具所看的那个位置了。端点上的智能体产物清点了此刻突然落在笔记本上的东西，而检测智能体被攻陷则是那项悄悄变难的能力。

作为交换，有两项控制变得更重要，而它们都是端点控制。设备管理现在是你的主要杠杆——应用是否安装、哪个版本、在网络上可以触达什么；而逐应用同意成了这个产品里最具后果的一项安全决定，由一位用户在一个对话框里做出，只做一次，而且大概是在他想把别的事办完的时候。权限授予与撤销的体验讲的是由此产生的设计问题；而当答案是"好，整个邮箱，无期限"时，你授予的那个东西叫环境权限。

关于沙箱的那项主张在这里既该被肯定，也该被划界。Perplexity 声明代码与工具执行发生在隔离沙箱中，对文件与已连接应用是受控访问——这是正确的架构，而且比许多桌面智能体做得多，原因见沙箱与代码执行。但围住代码执行那一步的沙箱，不是围住这个智能体的沙箱：它被授予的对邮件、信息与你的文件的访问权，正是它本该使用的东西，所以危险路径根本不经过沙箱。沙箱围住的是工具，不是权限。

实际该怎么做

对一个在自己机器上跑这个的人来说，杠杆几乎全在三要素图的第一列，因为那是唯一一列你可以在不放弃这个产品的前提下砍掉的：

• 除非任务真的需要，不要授予 Mail 与 Messages。这是可选项里价值最高的一个决定，也恰恰是权限对话框让人觉得很例行的那一个。一个有你的文件和互联网、但没有收件箱的智能体，作为攻击目标远不如三者兼具的那个有意思。
• 把"云端批准"当成它本来的身份：一次出口决定。当智能体在任务中途请求联网时，问题不是"我介意一次网页搜索吗"，而是"它正要发出去什么"。如果这个任务一开始读的是不是你写的东西，答案通常应该是不。
• 把档案分开。用本地模式去做那件让本地模式成立的工作——那些你不会发给供应商的文件——并在没有邮件访问、也没有云端授权的会话里做。把一个私有文件会话和一个收件箱会话混在一起，正是三条腿凑到同一个上下文里的方式。

对 IT 或安全团队来说，变化是你的策略面现在是整支机群，而不是那个网关：

• 在设备上决定这个应用的网络可达范围。如果本地模式的卖点是"什么都不会出去"，那就去强制它而不是信任它：那条出站路径现在是主机防火墙与 MDM 的问题，不是代理规则的问题。
• 清点授权，而不是清点安装。知道这个应用在不在，告诉你的很少；知道哪些用户授予了 Mail，才告诉你暴露面在哪。智能体清册与登记与智能体凭据的访问复核都需要延伸到端点授权。
• 假定你不会有追踪记录。请按"唯一证据在一台你可能一周都拿不回来的笔记本上"这种情形去规划事故响应。这个约束应当影响你愿不愿意让某些数据出现在跑着智能体的设备上——这是影响半径问题的端点形态。
• 把内存门槛放进推广计划。36 GB 的建议意味着一支典型机群里有很大一部分跑不了这个模式，所以实际上你治理的是两套配置——本地与混合——而不是用一套替掉另一套。端侧智能体架构把这种混合切分讲得更到位。

还有一个值得保留的框架：这是一次好发布。一个推理从不离开设备的智能体，解决了一个确实卡住过真实落地的问题，没人该因为上面这套论证而劝退自己。上面的论证只是说：它解决了它所解决的那个问题。如果你想要本地的理由是"供应商不该看到我的数据"，那你得到的正是你想要的。如果你的理由是"这个智能体不应该有能力泄露我的数据"，那你没有买到它；而能买到它的东西是一条按任务划定的授权边界——不让邮件、文件与网络出现在同一个会话里——那仍然是你自己要造的。开发者工作站上的智能体讲的是隔了一个职业的同一个问题。

延伸阅读

本站：

• 致命三要素——那三个条件，以及为什么砍掉一个就够。
• 保密推理——本地执行真正解决的那个问题。
• 智能体的出口管控——为什么浏览器是最难关上的那条通道。
• 端点上的智能体产物——智能体进来之后，笔记本上多了什么。
• 端侧智能体架构——刻意做出来的那种混合切分。
• 小模型与本地模型——这笔交换的质量那一侧。
• 环境权限——一次常驻的逐应用授权到底是什么。

来源：

• Perplexity 在 X 上——Computer 在 Mac 上全本地运行（2026 年 10 月 20 日）
• 9to5Mac——Perplexity 的 Computer 现在可以完全在你的 Mac 上运行，甚至离线
• TestingCatalog——Perplexity Computer 现在在 Mac 上完全本地运行
• Perplexity 帮助中心——什么是 Personal Computer？