Локальный GitHub Copilot должен до конца октября научиться сам решать, где выполнять задачу разработчика: на модели, запущенной на компьютере, или в облаке. Главная проблема для команд с закрытым кодом в том, что Microsoft пока не объяснила, какой именно контекст при таком выборе может покинуть машину разработчика и можно ли запретить облачный маршрут.
Новая схема продолжает развитие режима Auto, который уже подбирает модель под задачу. Теперь маршрутизатор должен выбирать не только модель, но и место инференса: локальное устройство либо удалённую инфраструктуру. Об этом сообщает The New Stack. Для российского рынка, где вопросы изоляции репозиториев, доступа к исходникам и работы в закрытом контуре обычно возникают раньше вопроса о качестве подсказок, это не косметическое изменение интерфейса, а новая точка контроля рисков.
Пользователь сможет явно выбрать локальную модель в Copilot CLI, приложении Copilot и VS Code. Среди заявленных вариантов — MAI Code 1.1 Flash через Windows ML Provider, а также локальные конечные точки, совместимые с API OpenAI. Но автоматический режим устроен иначе: Copilot будет учитывать контекст задачи и состояние кэша, в том числе внутри многоходового диалога, и сам переключать способ выполнения. То есть слово «локальный» в настройках ещё не означает, что каждый следующий запрос останется на ноутбуке.
Microsoft прямо предупреждает: локальный инференс не превращает сессию в офлайн-режим. Компания не раскрыла, какой объём истории диалога, содержимого репозитория, результатов инструментов и системных инструкций отправится в облако, если Auto сочтёт облачную модель более подходящей. Также неясно, появится ли журнал решений маршрутизатора и возможность принудительно ограничить Auto только локальными моделями. Пока это оставляет инженерам по безопасности слишком знакомую формулировку: «часть обработки может происходить локально».
53 ГБ весов — это ещё не требования к рабочей станции
Для локального запуска Microsoft продвигает MAI Code 1.1 Flash — модель типа mixture-of-experts со 137 млрд параметров, из которых одновременно активны 6,8 млрд. За счёт смешанной квантизации примерно до 3,3 бита на вес размер версии для локального запуска удалось сократить до 53 ГБ, примерно на 80% относительно облачного варианта в bfloat16. Компания также использует speculative decoding: более лёгкая модель предлагает блоки токенов, а основная проверяет их, чтобы ускорить генерацию.
Цифра в 53 ГБ не означает, что столько памяти достаточно. В первоначальной конфигурации Microsoft ориентируется на Windows-ПК с NVIDIA RTX Spark, включая Surface Laptop Ultra с объёмом унифицированной памяти до 128 ГБ. При контексте в 256 тыс. токенов пиковое потребление памяти составило 75,5 ГБ. Помимо весов модели память нужны операционной системе, среде выполнения, открытым приложениям и KV-кэшу, который растёт, пока агент читает файлы и получает результаты вызовов инструментов. Для типичного ноутбука разработчика с 16 или 32 ГБ оперативной памяти такой сценарий остаётся скорее демонстрацией направления, чем рабочим вариантом.
По приведённым Microsoft тестам, квантизированная версия набрала 70,8% на SWE-Bench Verified против 72,6% у полноточной. На Terminal-Bench 2.1 она показала 66,29% против 62,9%. Последний набор включает лишь 89 задач, поэтому разница фактически равна примерно трём задачам и плохо годится для громких выводов о превосходстве квантизации. Более аккуратная интерпретация: модель удалось заметно ужать без катастрофического падения показателей на двух бенчмарках.
Песочница не закрывает все выходы наружу
Одновременно GitHub вывел в общую доступность новые механизмы песочницы для Copilot. Для shell-команд, локальных MCP-серверов и языковых серверов, где это поддерживается, применяются ограничения на уровне ОС. В основе лежит открытая библиотека Microsoft Execution Containers: на Windows используется ProcessContainer, на macOS — Seatbelt, на Linux — bubblewrap. Эти ограничения, по данным компании, действуют независимо от того, исполняется задача на локальной или облачной модели.
Но и здесь нет магической кнопки «безопасно». Встроенные файловые инструменты Copilot работают внутри процесса агента и сверяются с политикой песочницы самим агентским окружением, а не изолируются операционной системой. Удалённые MCP-серверы вообще находятся за пределами локальной песочницы: Copilot проверяет правила их подключения, но не помещает их процесс в тот же защитный контур. Выбрать локальную модель также недостаточно, если агенту разрешены сетевые вызовы, доступ к внешним сервисам или инструменты с широкими правами.
Практический вывод для команд прост: локальный GitHub Copilot стоит оценивать как отдельный режим исполнения, а не как обещание суверенности данных. До появления прозрачных правил маршрутизации разумнее тестировать его на изолированных репозиториях, фиксировать сетевые разрешения инструментов и не полагаться на Auto там, где политика требует гарантированно локальной обработки. Самый важный вопрос к Microsoft теперь не о том, насколько умно Copilot выберет модель, а о том, сможет ли разработчик проверить и ограничить этот выбор.