Perplexitys „Personal Computer“ kommt auf Windows, lokal ist vor allem die Hülle

Perplexity hat seinen Desktop-Agent „Personal Computer“ am 28. Juli für Windows 10 und 11 freigegeben. Auf dem Mac gibt es ihn seit 16. April. Perplexity beschreibt ihn als lokales Agenten-Gehäuse, das Aufgaben über die eigenen Dateien, die angebundenen Programme und das Web hinweg verteilt.

Was das praktisch bedeutet: Word-Dokumente anlegen und ändern, Excel-Tabellen fortschreiben, Ordner aufräumen, Recherchen zusammenbauen, Outlook bedienen. Dazu kommen über 400 OAuth-Konnektoren zu Diensten wie Slack, GitHub, Notion und Snowflake. Die Aufgaben werden auf über 20 Modelle verteilt, wobei das System je Teilschritt selbst wählt.

Der Rollout beginnt bei Max und Enterprise Max, also ab 200 Dollar pro Monat. Einige Berichte nennen auch Pro und Enterprise; Perplexity selbst hatte den Windows-Start zunächst für zahlende Max- und Enterprise-Max-Kunden auf der Warteliste angekündigt.

Rechnet das Ding lokal?

Nein, jedenfalls nicht in dem Sinn, in dem On-Device-KI sonst gemeint ist. Perplexity arbeitet mit hybride Inferenz: Ein kleines Modell auf dem Rechner entscheidet, welche Teile einer Aufgabe dort bleiben und welche in die Cloud gehen. Zusätzliche Rechenleistung holt sich das System aus dem Rechenzentrum, sobald es sie braucht.

Damit verlassen Prompts, Dokumentauszüge, Bildschirmaufnahmen und Metadaten den Rechner. Anders geht es auch kaum: Ein Frontier-Modell passt nicht auf ein Notebook, und genau diese Modelle sind das Verkaufsargument. Lokal ist der Zugriff auf die Dateien, nicht das Denken.

Die Herkunft des Produkts passt dazu. „Personal Computer“ begann als lokale Erweiterung von Perplexity Computer, dem Cloud-Agenten vom Februar, und wurde für den Mac um einen dauerhaft laufenden Mac mini herum gebaut. Der Rechner war von Anfang an eher Arbeitsplatz als Rechenwerk.

Ein Agent mit Vollzugriff ist ein Angriffsziel

Perplexity nennt mehrere Schutzmechanismen: Freigabe durch den Nutzer vor sensiblen Aktionen wie Mailversand oder Löschen, ein Protokoll aller Schritte, Dateioperationen in einer Sandbox, ein Notausschalter, und die Zusage, dass Unternehmensdaten nicht ins Training gehen.

Das Kernproblem lösen diese Vorkehrungen nicht. Ein Agent, der Webseiten, Dokumente und Mails liest, kann darin versteckte Anweisungen mitlesen, und Prompt Injection ist bei Perplexity nicht theoretisch. Zenity Labs hat gegen Comet, den Agenten-Browser des Hauses, einen durchgehenden Angriff gezeigt, der lokale Dateien abfließen ließ. Auslöser war eine harmlos aussehende Kalendereinladung; sobald der Nutzer den Termin annehmen ließ, lief der Rest ohne weiteres Zutun.

Ein Bestätigungsdialog hilft dagegen nur, solange der Nutzer versteht, was er bestätigt. Wer den Agenten wegen der Zeitersparnis einsetzt, klickt die Dialoge nach der zweiten Woche durch. Das ist keine Prognose, das ist die Erfahrung mit jedem Berechtigungsdialog der letzten zwanzig Jahre.

Interessant ist die Frontstellung. Microsoft baut Copilot direkt in Windows und Office ein und soll bei knapper Rechenkapazität die eigenen Copilot-Produkte vor den Azure-Kunden bedienen, Perplexity setzt seinen Agenten auf dieselbe Plattform und dieselben Dateien obendrauf. Für Unternehmen heißt das, dass zwei Agenten mit weitreichenden Rechten um denselben Desktop konkurrieren, während die Regeln für den Umgang mit ihnen erst geschrieben werden.

Parallel hat Perplexity ein „Model Council“ vorgestellt, das mehrere Modelle zur selben Frage antworten lässt. Beides zeigt dieselbe Wette: Nicht das beste Modell besitzen, sondern die Verteilung auf viele Modelle verkaufen.