# Ferenc Papp — Senior Full-Stack Developer & AI Solutions Engineer — full site content > Complete text of https://pappfer.hu in English, Hungarian and German. Index version: https://pappfer.hu/llms.txt Last generated: 2026-10-24 --- # English (en) ## Ferenc Papp — Senior Full-Stack & AI Engineer | Debrecen URL: https://pappfer.hu/en/ Last modified: 2026-10-24 Senior full-stack developer & AI solutions engineer. Scalable web apps with Laravel, Vue.js & Python, plus production-ready generative AI and LLM integrations. ### Ferenc Papp — Senior Full-Stack Developer & AI Solutions Engineer Building scalable web ecosystems and production-ready AI integrations. Since October 2024 I work dedicatedly with DataExpert and its sister company Rubiklab on flagship projects — pairing full-stack engineering (Laravel, Vue.js, Python) with applied generative AI and large language model systems. Availability: Open to select freelance & consulting projects ### Who I Am I'm a senior full-stack developer and AI solutions engineer based in Debrecen, Hungary, with over 15 years of professional experience. I design robust, scalable web applications and engineer production-grade generative AI systems — combining traditional full-stack development with the latest LLM technologies. Since October 2024 I work dedicatedly for a tightly knit group of companies: DataExpert (the parent company) and Rubiklab (its sister company). At DataExpert I architect and build scalable, high-performance Progressive Web Apps on a Laravel backend and Vue.js frontend, backed by Python scripts and microservices. At Rubiklab I work as a Senior AI Solutions Engineer on generative AI integrations and R&D — including their in-house LabIQ product. My focus areas include fine-tuning and benchmarking large language models, semantic search with vector databases and embeddings, LLM-based multi-class classification, and tuning generative AI hyperparameters (temperature, top-k/top-p) for reliable, deterministic behaviour. ### Services - **Scalable Web Ecosystems**: High-performance web applications and Progressive Web Apps. Laravel backend, Vue.js frontend, Python scripts and microservices. Clean architecture, tested code, built to scale. - **Production-Ready AI Integrations**: LLM-powered features that ship, not demos. RAG pipelines, semantic search, vector databases, embeddings and agentic workflows — reliable, observable and integrated into real product workflows. - **Generative AI R&D**: LLM fine-tuning and benchmarking, embeddings-based search, LLM-driven multi-class classification, and hyperparameter optimization (temperature, top-k/top-p) for deterministic, repeatable output. - **Technical Consulting & Partnerships**: Architecture reviews, AI strategy, technology selection and performance optimization — available for focused engagements alongside my current work. ### Tech Stack - **AI & LLM**: LLM Integration, LLM Fine-Tuning & Evaluation, Semantic Search, Vector Databases, Embeddings, Multi-Class Classification, RAG Pipelines, Hyperparameter Tuning, Agentic Workflows, OpenAI API, Anthropic API, LangChain - **Backend**: PHP, Laravel, Symfony, Yii2, Python, FastAPI, MySQL, PostgreSQL, MongoDB, Redis - **Frontend**: Vue.js, React, Next.js, JavaScript, TypeScript, Svelte, HTML5/CSS3, Tailwind CSS, PWA - **DevOps & Tools**: Linux, Docker, Git, CI/CD, AWS, Nginx, Deployer - **Mobile & PWA**: Progressive Web Apps, Offline-First, React Native, Ionic ### Experience - **2024 – Present — DataExpert — Senior Full-Stack Developer**: Architecting and building scalable, high-performance Progressive Web Apps for flagship projects. Laravel backend, Vue.js frontend, Python scripts and microservices. - **2024 – Present — Rubiklab — Senior AI Solutions Engineer**: Generative AI integrations and R&D, including the in-house LabIQ product. LLM fine-tuning and benchmarking, semantic search with vector databases and embeddings, LLM-based multi-class classification, and hyperparameter optimization (temperature, top-k/top-p) for deterministic output. - **2017 – Present — Self-employed (Sole Proprietor) — Full-Stack Developer & Technical Consultant**: My independent practice as a sole proprietor: custom web applications and AI integrations — LLM-powered features, RAG pipelines and vector search — plus survey systems for market research clients across the EU and US. - **2015 – 2017 — Fathom Minds — Senior PHP Developer**: Led web app and API development with Yii2. Set up Git infrastructure for the development team. - **2014 – 2015 — Oktafone — Frontend Developer**: Startup web application development with AngularJS, JavaScript, HTML5, and CSS3. - **2011 – 2014 — Freelancer (pappfer.hu) — PHP Developer**: Built websites for individuals and companies using PHP, Yii, Laravel, and WordPress. Facebook, LinkedIn, Box.com, and Stripe integrations. - **2011 — British Telecom — Service Desk Analyst 2nd Line**: Configured network devices (routers, switches) for global network support. Communicated with clients worldwide in English. - **2010 – 2011 — IT Services Hungary — Contact Center Server Administrator**: Linux and Windows server administration, Avaya IP phone management. Co-developed a PHP automation tool saving 3+ hours/day — received innovation award. - **2009 – 2010 — Concept Solutions — PHP Developer**: Remote PHP development. Maintained and improved existing codebases, gaining experience with diverse architectures and implementation patterns. ### Testimonials - "Reliable and fast. We have been working with him for years. He built several of our websites from scratch. I can only recommend him." — Mészáros Tibor, Sentonard Media - "Excellent developer and very easy to work with. Great knowledge of PHP frameworks, excellent English and very good communicator, and very reliable." — Phil Guegan, CEO & Founder, Infogems - "Ferenc is a very talented developer. He quickly got to grips with what was required and delivered everything (and more) that I expected. I would happily work with him again." — DanD, Client via Upwork ### Frequently Asked Questions **What kind of engagements are you available for right now?** My main focus is on flagship projects with DataExpert and Rubiklab, but I take on a limited number of freelance and consulting engagements alongside that — web applications, AI integrations, and technical advisory work. Get in touch with your project and I'll let you know if it's a good fit. **What does a production-ready AI integration mean to you?** Not a demo. It means LLM-powered features that are reliable, observable, cost-aware and deterministic where it matters — built on solid RAG, semantic search and vector-database foundations and integrated into real product workflows. **Do you offer LLM fine-tuning and evaluation?** Yes. I fine-tune and benchmark large language models, design LLM-based multi-class classification systems, and build evaluation pipelines to objectively compare models for a given task. **How do you make generative AI output reliable and deterministic?** By tuning hyperparameters such as temperature and top-k/top-p, structuring and constraining outputs, grounding responses with retrieval, and adding evaluation and guardrails — so the same input yields dependable, repeatable results. **What is your core technology stack?** Laravel, Symfony and Yii2 on the backend; Vue.js and React on the frontend; Python and FastAPI for AI services. For AI: LLM integration and fine-tuning, embeddings, semantic search, vector databases and RAG pipelines. **Do you work with international clients?** Yes. I work remotely with teams across the EU and the US, communicating fluently in English and Hungarian across time zones. ### Contact Building something ambitious in web or AI? Let's talk. - Email: pappfer@pappfer.hu - Location: Debrecen, Hungary - Response Time: Within 1–2 business days ## Laravel Developer URL: https://pappfer.hu/en/laravel-developer/ Last modified: 2026-10-24 I'm Ferenc Papp, a senior full-stack developer with 15+ years of experience and Laravel as my backend of choice. I design and build scalable, well-tested Laravel applications — from APIs and multi-tenant SaaS platforms to the back end of high-performance Progressive Web Apps. I take full ownership: architecture, database design, queues and jobs, third-party integrations, testing and deployment. Whether you're starting a new product or need a senior pair of hands on an existing Laravel codebase, I deliver clean, maintainable code that scales. ### What I build with Laravel - REST and JSON APIs for web and mobile clients - Multi-tenant SaaS platforms and admin panels - Scalable back ends for Progressive Web Apps (with Vue.js) - Payment, CRM and third-party API integrations - Queues, scheduled jobs and background processing - AI / LLM features wired into Laravel apps ### Why work with me I've architected and shipped Laravel systems from MVPs to multi-tenant SaaS, so you get senior judgment on the hard parts — data modelling, performance, queues and security — not just working code. I own the work end to end and keep it tested and maintainable. ### Frequently Asked Questions — Laravel Developer **Do you work on existing Laravel projects?** Yes — I regularly join existing codebases to add features, improve performance, raise test coverage or untangle legacy code. **Which Laravel tools do you use?** Modern Laravel with Eloquent, queues, Horizon, Sanctum/Passport, Pest/PHPUnit and CI/CD. I also work with Symfony and Yii2 when a project calls for it. Get in touch: https://pappfer.hu/en/#contact ## Vue.js Developer URL: https://pappfer.hu/en/vuejs-developer/ Last modified: 2026-10-24 I build fast, maintainable front ends with Vue.js — from interactive dashboards and SaaS UIs to installable, offline-capable Progressive Web Apps. As a full-stack developer I connect the front end to robust Laravel or Python back ends end to end. Component architecture, state management, performance, accessibility and clean APIs between front and back end — I cover the whole picture. The result is a UI that loads fast, scales, and is a pleasure to maintain. ### What I build with Vue.js - Single-page apps, dashboards and SaaS interfaces - Installable, offline-first Progressive Web Apps (PWA) - Component libraries and design-system implementation - Front ends wired to Laravel / FastAPI back ends - Performance and Core Web Vitals optimization - AI-powered UI features (chat, search, assistants) ### Why work with me Full-stack perspective: I understand both the Vue front end and the back end it talks to, so integrations are clean and there's no finger-pointing. 15+ years of shipping production software, with clear communication in English and Hungarian. ### Frequently Asked Questions — Vue.js Developer **Do you also do the back end?** Yes — I'm full-stack. I can deliver the Vue.js front end and the Laravel or Python back end together, or just the front end if you have a back-end team. **Vue 2 or Vue 3?** Vue 3 with the Composition API and modern tooling (Vite, Pinia). I can also maintain or migrate existing Vue 2 apps. Get in touch: https://pappfer.hu/en/#contact ## React Developer URL: https://pappfer.hu/en/react-developer/ Last modified: 2026-10-24 I build modern front ends with React — Next.js web applications and React Native mobile apps. Senior full-stack developer with 15+ years of experience, connecting the front end to robust Laravel or Python back ends. From server-rendered Next.js sites and SPAs to cross-platform React Native apps, I deliver clean component architecture, solid state management and good performance. One developer who can take a React product from web to mobile and wire it to the back end. ### What I build with React - React single-page apps and dashboards - Next.js web apps (SSR / SSG) with great Core Web Vitals - React Native cross-platform mobile apps - Component libraries and design systems - Front ends wired to Laravel / FastAPI back ends - AI-powered UI features (chat, search, assistants) ### Why work with me Full-stack across the React ecosystem and the back end behind it, so web, mobile and API stay in sync. 15+ years of shipping production software, TypeScript throughout, and clear communication in English and Hungarian. ### Frequently Asked Questions — React Developer **React, Next.js or React Native?** All three — React for SPAs, Next.js for server-rendered web apps, and React Native for cross-platform mobile. I pick the right one for your product. **Do you also build the back end?** Yes — I'm full-stack. I can deliver the React front end (or mobile app) and the Laravel or Python back end together. Get in touch: https://pappfer.hu/en/#contact ## AI & LLM Integration URL: https://pappfer.hu/en/ai-llm-integration/ Last modified: 2026-10-23 I integrate large language models into real products — not demos. RAG pipelines, semantic search with vector databases and embeddings, LLM-based classification, and the engineering discipline to make generative AI reliable, observable and cost-aware. I work in Python (FastAPI, LangChain, LangGraph) and wire AI features into existing web apps (Laravel, Vue.js). I tune hyperparameters like temperature and top-k/top-p, ground answers with retrieval, and add evaluation and guardrails so the same input gives dependable, repeatable results. ### What I build - RAG pipelines over your documents and data - Semantic search with vector databases and embeddings - LLM-based classification and extraction systems - Fine-tuning, benchmarking and model comparison - Deterministic, evaluated LLM features (temperature, top-k/top-p) - AI features integrated into Laravel / Vue apps and APIs ### Why work with me I combine 15+ years of production web engineering with hands-on generative-AI R&D (currently as a Senior AI Solutions Engineer). That means AI features that actually ship, integrate cleanly and hold up in production — not proofs of concept that stall. ### Frequently Asked Questions — AI & LLM Integration **Which models and tools do you use?** OpenAI and Anthropic APIs, LangChain / LangGraph, FastAPI, and vector databases such as Pinecone or pgvector — chosen per use case and budget. **Can you add AI to my existing app?** Yes. I integrate LLM features (search, chat, classification, automation) into existing Laravel, Vue.js or Python systems, with the back-end plumbing to support them. Get in touch: https://pappfer.hu/en/#contact ## Answer Engine Optimization URL: https://pappfer.hu/en/answer-engine-optimization/ Last modified: 2026-09-12 More and more people ask an assistant instead of a search engine, and the assistant answers from the handful of sources it could parse, trust and retrieve. Answer Engine Optimization (AEO) — also called Generative Engine Optimization (GEO) — is the work of becoming one of those sources. This is an engineering problem before it is a marketing one. AI systems crawl, chunk, embed and rank your content, so what decides the outcome is the machine-readable layer underneath the design: a connected schema.org entity graph, sections that still make sense after being cut into chunks, factual claims stated where a retriever can actually find them, and clean access for the AI crawlers themselves. ### What I do - AI visibility audit: what assistants say about you today, and the technical reasons why - schema.org entity graph — Organization, Person, Service, FAQ and breadcrumbs, linked by @id - llms.txt and llms-full.txt, so assistants can read your site instead of scraping it - Retrieval-ready content architecture: chunk-safe sections, answer-first phrasing, real anchors - Crawler and indexing plumbing: a correct robots.txt, IndexNow submission, honest sitemap dates - Measurement: tracking citations and assistant-referred traffic over time ### Why me I build the systems that do the answering. RAG pipelines, embeddings, semantic search and LLM evaluation are my day job as a Senior AI Solutions Engineer, so I optimize for how retrieval actually behaves rather than for a checklist. This site is the reference implementation: llms.txt and llms-full.txt, a linked JSON-LD graph, IndexNow submission and sitemap dates that only move when content really changes. ### Frequently Asked Questions — Answer Engine Optimization **How is AEO different from SEO?** They overlap, and neither replaces the other. Classic SEO decides whether you rank; AEO decides whether an assistant can parse, trust and quote you. Clean HTML, structured data and fast pages serve both — AEO adds machine-readable summaries, entity linking, and content written to survive being cut into chunks. **Can you guarantee that ChatGPT will recommend me?** No, and anyone who guarantees it is selling something. These systems have no ranking dial to turn. What I can do is remove every technical reason an assistant would skip or misread you, and make the claims you want quoted explicit, verifiable and easy to retrieve. **How long before it shows up in answers?** Technical changes are picked up in days to weeks: IndexNow notifies Bing (which feeds Copilot) within minutes, while other crawlers re-read on their own schedule. Visible change in assistant answers usually takes weeks and also depends on how much corroborating information about you exists elsewhere on the web. **What do I actually get?** A working implementation in your codebase, not a PDF: the schema graph, the llms.txt files, crawler configuration and content changes — plus a short written rationale for each decision, so your team can maintain it after I'm gone. Get in touch: https://pappfer.hu/en/#contact ## Python Developer URL: https://pappfer.hu/en/python-developer/ Last modified: 2026-10-23 I build clean, well-tested Python services — FastAPI APIs, automation scripts, data pipelines and the back ends behind AI/LLM features. Senior full-stack developer with 15+ years of experience. Python is where I build AI and microservices: FastAPI endpoints, background workers, integrations and LLM pipelines (LangChain, LangGraph). I connect them cleanly to web front ends and existing systems, with tests and CI/CD throughout. ### What I build with Python - FastAPI services and REST APIs - AI / LLM back ends (RAG, embeddings, vector search) - Automation scripts and data pipelines - Microservices and system integrations - Background workers and scheduled jobs - Python services wired to Laravel / Vue front ends ### Why work with me Plenty of people can call an API in Python; fewer can also build the web product around it. I bridge both — so your FastAPI services, AI pipelines and the app that uses them are designed together and actually fit, with tests and CI/CD from day one. ### Frequently Asked Questions — Python Developer **FastAPI or Django?** Mainly FastAPI for services and APIs — especially around AI — but I can work with Django or Flask if that's your stack. **Can you build the back end and the front end?** Yes — I'm full-stack. I deliver the Python / FastAPI back end and the Vue.js or Laravel front end, end to end. Get in touch: https://pappfer.hu/en/#contact ## Symfony Developer URL: https://pappfer.hu/en/symfony-developer/ Last modified: 2026-08-10 Senior PHP developer with deep Symfony experience. I build robust, well-structured Symfony applications and APIs, and I'm equally at home modernizing or extending existing enterprise codebases. From bundle architecture and Doctrine to Messenger queues, security and API Platform, I deliver maintainable Symfony code with automated tests and clean integrations. I also work across Laravel and Yii2 when a project spans frameworks. ### What I build with Symfony - REST / API Platform back ends and services - Enterprise web applications and admin tools - Doctrine data modelling and migrations - Messenger queues and background processing - Third-party and legacy system integrations - Refactoring and modernizing existing Symfony apps ### Why work with me Three PHP frameworks in production (Symfony, Laravel, Yii2) means I'm not dogmatic — I work the way your team and codebase already do, and I'm comfortable in large, long-lived enterprise systems where structure and stability matter most. ### Frequently Asked Questions — Symfony Developer **Do you work on legacy Symfony projects?** Yes — I modernize, refactor and extend existing Symfony applications, including version upgrades and raising test coverage. **Symfony or Laravel?** Both — I choose based on your needs, or fit into whatever your team already uses. I've shipped production apps in Symfony, Laravel and Yii2. Get in touch: https://pappfer.hu/en/#contact ## Yii2 Developer URL: https://pappfer.hu/en/yii2-developer/ Last modified: 2026-08-10 Senior PHP developer with deep, hands-on Yii2 experience — APIs, web applications, console commands and scheduled tasks. I build new Yii apps and modernize or extend existing ones. I've shipped production Yii2 systems and led Yii-based development. With the new Yii3 released, I'm ready to take on Yii3 projects as well, building on years of Yii experience — and I also work across Laravel and Symfony when a project spans frameworks. ### What I build with Yii - REST and JSON APIs with Yii2 - Web applications, admin panels and back-office tools - Yii console applications and scheduled tasks - Third-party and payment integrations - Maintaining, refactoring and upgrading legacy Yii apps - Yii3 projects, building on deep Yii2 experience ### Why work with me Yii is where a lot of my early senior work happened — I know its conventions inside out. 15+ years of production PHP across Yii2, Laravel and Symfony, with tested, maintainable code and clear communication in English and Hungarian. ### Frequently Asked Questions — Yii2 Developer **Do you work on legacy Yii2 projects?** Yes — maintaining, extending and upgrading existing Yii2 applications is a core part of what I do, including raising test coverage and untangling legacy code. **Can you do Yii3?** Yes. I have deep Yii2 experience and I'm ready to take on Yii3 projects, applying the same framework fundamentals to the new version. Get in touch: https://pappfer.hu/en/#contact ## Freelance Web Developer in Debrecen URL: https://pappfer.hu/en/web-developer-debrecen/ Last modified: 2026-08-10 I'm Ferenc Papp, a freelance senior full-stack web developer and Hungarian sole proprietor based in Debrecen. With 15+ years of experience, I build custom web applications and AI-powered features for businesses locally and across the EU and US. Working from Debrecen, I can collaborate in person with local companies or fully remotely. From the first idea to architecture, development and launch, I take ownership and deliver clean, reliable, maintainable code. ### What I can help with - Custom web applications and internal tools - Modern, fast, SEO-friendly websites - Laravel / PHP back ends and APIs - Vue.js / React front ends and PWAs - AI and LLM integration for your product - Technical consulting and code reviews ### Why work with a local senior developer A senior, reliable partner you can actually meet — fluent in Hungarian and English, with 15+ years of production experience. Clear communication, honest estimates, and code built to last. ### Frequently Asked Questions — Freelance Web Developer in Debrecen **Do you only work with clients in Debrecen?** No — I'm based in Debrecen and happy to meet local businesses in person, but I work remotely with clients across Hungary, the EU and the US. **Are you a freelancer or an agency?** I'm an independent freelancer and Hungarian sole proprietor based in Debrecen. For larger projects, I collaborate with trusted specialist teams when needed. **Are you currently accepting new projects?** I'm currently committed to long-term projects and do not take on small or individual website jobs. I have limited availability for serious custom web application, AI integration and technical consulting engagements. Get in touch: https://pappfer.hu/en/#contact ## AI & LLM Glossary URL: https://pappfer.hu/en/ai-glossary/ Last modified: 2026-09-12 50 terms you meet the moment a large language model goes into a real product — written by an engineer who ships these systems, not by a marketing team. ### LLM fundamentals **Large language model (LLM)** (https://pappfer.hu/en/ai-glossary/#llm) A neural network trained on very large amounts of text to predict the next token. That single mechanism is enough to summarise, translate, classify and write code — but it also means the model produces plausible continuations, not verified facts. **Token** (https://pappfer.hu/en/ai-glossary/#token) The unit an LLM actually reads and writes: roughly a word piece, about four characters in English and noticeably less efficient in Hungarian or German. Context limits, latency and billing are all counted in tokens, not words. **Context window** (https://pappfer.hu/en/ai-glossary/#context-window) The maximum number of tokens a model can consider at once — system prompt, conversation, retrieved documents and its own answer together. Exceeding it truncates the oldest content, which is why long chats quietly start forgetting instructions. **Prompt** (https://pappfer.hu/en/ai-glossary/#prompt) Everything sent to the model for one request: instructions, examples, retrieved context and the user's question. In production a prompt is not a clever sentence but a versioned, tested artefact — changing it changes behaviour the same way changing code does. **System prompt** (https://pappfer.hu/en/ai-glossary/#system-prompt) The standing instruction that frames every request in a conversation: role, tone, rules, output format. It carries more weight than the user's message, which makes it the natural place for guardrails — and a frequent target of prompt injection. **Temperature** (https://pappfer.hu/en/ai-glossary/#temperature) A sampling parameter controlling how much randomness is allowed when picking the next token. Near 0 the output is repeatable and conservative, which is what you want for extraction and classification; higher values buy variety at the cost of reliability. **Top-p and top-k sampling** (https://pappfer.hu/en/ai-glossary/#top-p) Two ways to limit which tokens may be chosen. Top-k keeps the k most likely candidates; top-p (nucleus sampling) keeps the smallest set whose probabilities sum to p. Tightening them is usually a better way to stabilise output than temperature alone. **Hallucination** (https://pappfer.hu/en/ai-glossary/#hallucination) A fluent, confident answer that is simply wrong — an invented citation, API method or figure. It is not a bug to be patched but a property of next-token prediction, so it is managed with retrieval, grounding, output validation and evaluation rather than eliminated. ### RAG and retrieval **RAG (retrieval-augmented generation)** (https://pappfer.hu/en/ai-glossary/#rag) Retrieve the relevant passages from your own data first, then let the model answer using only those. It is how an LLM gets access to private, current or too-large-to-fit knowledge, and it turns answers into something you can trace back to a source. **Embedding** (https://pappfer.hu/en/ai-glossary/#embedding) A vector of numbers representing the meaning of a piece of text, so that similar meanings sit close together. Embeddings are what make semantic search, clustering and deduplication possible without matching a single keyword. **Vector database** (https://pappfer.hu/en/ai-glossary/#vector-database) A store built to find the nearest vectors to a query vector in milliseconds across millions of entries — pgvector, Qdrant, Pinecone. For moderate data volumes a Postgres extension is usually enough; a separate service earns its keep at scale. **Semantic search** (https://pappfer.hu/en/ai-glossary/#semantic-search) Search by meaning instead of by string match, using embeddings. It finds the right document when the user's words differ from the text's words — and it is also why an exact product code can rank worse than with plain keyword search. **Chunking** (https://pappfer.hu/en/ai-glossary/#chunking) Cutting documents into retrievable pieces. The single most underrated decision in RAG: chunks that split a table from its header, or an answer from its question, quietly poison retrieval no matter how good the model is. **Reranking** (https://pappfer.hu/en/ai-glossary/#reranking) A second pass that reorders the retrieved candidates with a slower, more accurate model before they reach the LLM. Retrieve twenty, rerank, keep five: usually the cheapest single improvement to answer quality in a working RAG system. **Hybrid search** (https://pappfer.hu/en/ai-glossary/#hybrid-search) Combining keyword (BM25) and vector search and merging the two result lists. It covers each method's blind spot — exact identifiers and rare words for the keyword side, paraphrases and synonyms for the vector side. **Grounding and citation** (https://pappfer.hu/en/ai-glossary/#grounding) Requiring the model to answer only from supplied sources and to name which passage each claim came from. Citations are not decoration: they make an answer auditable, and they make a wrong answer diagnosable. **llms.txt** (https://pappfer.hu/en/ai-glossary/#llms-txt) A plain-text file at the root of a site that gives AI assistants a structured summary and a map of the important pages — robots.txt for meaning rather than permission. The companion llms-full.txt carries the entire content in one fetch. ### Training and tuning **Pre-training** (https://pappfer.hu/en/ai-glossary/#pretraining) The original, enormously expensive training run on broad text that produces a base model's general ability. Almost nobody outside the large labs does this; everything most teams call 'training' is one of the cheaper adaptations built on top. **Fine-tuning** (https://pappfer.hu/en/ai-glossary/#fine-tuning) Continuing training on your own examples so the model adopts a format, tone or narrow task. It teaches behaviour, not facts — if the model needs to know your data, use retrieval; fine-tune when you need it to answer in a specific way, consistently. **LoRA and parameter-efficient tuning** (https://pappfer.hu/en/ai-glossary/#lora) Training a small set of extra weights instead of the whole model, cutting cost and hardware needs by orders of magnitude. Adapters can be swapped per customer or task and stacked on one shared base model. **RLHF (reinforcement learning from human feedback)** (https://pappfer.hu/en/ai-glossary/#rlhf) Aligning a model using human preference judgements between candidate answers. It is what turns a raw text predictor into an assistant that follows instructions and declines the things it should decline. **Instruction tuning** (https://pappfer.hu/en/ai-glossary/#instruction-tuning) Training on instruction-and-response pairs so a model reliably does what it is asked rather than continuing the text. It is the difference between a completion engine and something you can hand a task to. **Zero-shot and few-shot prompting** (https://pappfer.hu/en/ai-glossary/#few-shot) Zero-shot means asking with instructions only; few-shot means including a handful of worked examples in the prompt. Three good examples routinely beat a page of prose instructions, and cost far less than fine-tuning. **Quantization** (https://pappfer.hu/en/ai-glossary/#quantization) Storing model weights at lower numeric precision so a model fits on smaller hardware and runs faster. Quality loss is modest down to about 4-bit for most tasks, which is what makes self-hosted models practical. **Distillation** (https://pappfer.hu/en/ai-glossary/#distillation) Training a small, cheap model on the outputs of a large one. Done on a narrow, well-defined task it can match the big model closely at a fraction of the latency and cost — and it is a sound way to get an expensive pipeline into production economics. ### Agents and tool use **AI agent** (https://pappfer.hu/en/ai-glossary/#ai-agent) An LLM that can take actions — call tools, read results, decide the next step — instead of only producing text. The engineering work is rarely the reasoning; it is the boundaries, permissions and stopping conditions around it. **Agentic workflow** (https://pappfer.hu/en/ai-glossary/#agentic-workflow) A multi-step process where the model plans, acts and checks its own work in a loop. Powerful for open-ended tasks, but each extra step multiplies cost, latency and failure modes — most production problems are better served by a fixed pipeline. **Tool calling (function calling)** (https://pappfer.hu/en/ai-glossary/#tool-calling) Giving the model a typed list of functions it may invoke — a database query, an API call, a calculation — and letting it return a structured call instead of prose. This is how an LLM touches real systems safely and verifiably. **MCP (Model Context Protocol)** (https://pappfer.hu/en/ai-glossary/#mcp) An open protocol for connecting models to tools and data sources through a common interface, so an integration written once works across assistants. It replaces the bespoke glue every team used to write per vendor. **Multi-agent system** (https://pappfer.hu/en/ai-glossary/#multi-agent) Several specialised agents working on one task, often with a coordinator. It genuinely helps when subtasks need different tools or permissions; it mostly adds cost and non-determinism when a single well-prompted call would do. **Guardrails** (https://pappfer.hu/en/ai-glossary/#guardrails) The checks around a model: input filtering, output schema validation, allowed-action lists, budget and step limits. Guardrails are ordinary software — deterministic code you can test — and they are what makes a non-deterministic component safe to ship. **Human in the loop** (https://pappfer.hu/en/ai-glossary/#human-in-the-loop) Requiring human approval before an action that is expensive, irreversible or customer-facing. The design question is not whether to include a human, but exactly which steps need one — too many approvals and the automation stops paying for itself. **Orchestration** (https://pappfer.hu/en/ai-glossary/#orchestration) The layer that decides what runs when: retrieval, model calls, tools, retries, fallbacks and state. Frameworks like LangChain or LangGraph live here — useful, but a plain state machine is often the more maintainable choice. ### Evaluation and quality **Benchmark** (https://pappfer.hu/en/ai-glossary/#benchmark) A standard test set used to compare models. Useful for a shortlist, misleading as a decision: public benchmarks leak into training data, and none of them measure your documents, your users or your definition of a good answer. **Eval** (https://pappfer.hu/en/ai-glossary/#eval) Your own automated test suite for an LLM feature: fixed inputs, expected properties, a score you can watch across model and prompt changes. Without evals you are not engineering an AI feature, you are adjusting it by feel. **Golden dataset** (https://pappfer.hu/en/ai-glossary/#golden-dataset) A curated set of real inputs with verified correct outputs, owned by the domain experts rather than the developers. A hundred well-chosen cases beat ten thousand scraped ones, and it is the single asset that makes every later model change measurable. **LLM as a judge** (https://pappfer.hu/en/ai-glossary/#llm-as-judge) Using a model to grade another model's output against a rubric. It scales evaluation to volumes humans cannot review, but it inherits the judge's biases — so it needs calibrating against human ratings before you trust the numbers. **Determinism and reproducibility** (https://pappfer.hu/en/ai-glossary/#determinism) Whether the same input reliably produces the same output. Full determinism is not achievable with hosted models, but temperature near zero, fixed prompts, pinned model versions and structured outputs get close enough to test against. **Precision and recall** (https://pappfer.hu/en/ai-glossary/#precision-recall) Precision is how many of the results returned were correct; recall is how many of the correct ones were found. They trade off against each other, and choosing which matters more is a business decision — a missed fraud case and a false accusation do not cost the same. **LLM-based classification** (https://pappfer.hu/en/ai-glossary/#classification) Using a model to sort text into categories — tickets, documents, intents — without training a dedicated classifier. Fast to build and strong on messy language; it needs a fixed label set, a confidence threshold and an explicit path for 'none of these'. **Observability and tracing** (https://pappfer.hu/en/ai-glossary/#observability) Recording every prompt, retrieved chunk, tool call, token count and latency for each request. When a user reports a bad answer, this is the difference between reproducing it in minutes and guessing for a day. ### Integration and operations **Inference and inference API** (https://pappfer.hu/en/ai-glossary/#inference-api) Inference is a single run of the model on your input; the inference API is the hosted endpoint you call for it. Treat it as a third-party dependency with an SLA: it can be slow, rate-limited or down, and your product has to behave sensibly when it is. **Prompt caching** (https://pappfer.hu/en/ai-glossary/#prompt-caching) Reusing the processed form of a long, unchanged prompt prefix across requests. With a large system prompt or a fixed document set it cuts both cost and time to first token substantially — provided the stable part comes first. **Streaming** (https://pappfer.hu/en/ai-glossary/#streaming) Sending tokens to the client as they are generated instead of waiting for the full answer. It does not make generation faster, but it cuts perceived latency dramatically — and it needs your whole stack, proxies included, to pass chunks through unbuffered. **Rate limit** (https://pappfer.hu/en/ai-glossary/#rate-limit) The provider's cap on requests or tokens per minute. It is the most common cause of an AI feature that works in demo and fails at launch, so queueing, backoff and a fallback model belong in the design, not in the incident review. **Token cost** (https://pappfer.hu/en/ai-glossary/#token-cost) Billing is per input and output token, at different rates. The practical consequence: retrieved context, long system prompts and chat history are the real cost drivers, and an unbounded conversation is an unbounded invoice. **Latency and time to first token** (https://pappfer.hu/en/ai-glossary/#latency) Total time matters less than when the user sees something happen. Time to first token is the number worth optimising: streaming, prompt caching, smaller models for simple steps, and doing retrieval in parallel rather than in sequence. **Self-hosted vs. hosted models** (https://pappfer.hu/en/ai-glossary/#on-premise) An open-weights model on your own hardware gives data control, stable pricing and no vendor cut-offs; a hosted frontier model gives higher capability with no ops burden. Most systems end up mixed: local for bulk and sensitive work, hosted for the hard requests. **Data protection in LLM systems** (https://pappfer.hu/en/ai-glossary/#gdpr) Under the GDPR, sending personal data to a model provider is processing by a third party: it needs a legal basis, a data processing agreement, a known storage region and a retention answer. Whether the provider trains on your data is a contract question, not a technical one. **AEO and GEO** (https://pappfer.hu/en/ai-glossary/#aeo) Answer Engine Optimization and Generative Engine Optimization: making a site retrievable and quotable by AI assistants rather than only rankable by search engines. In practice it is structured data, machine-readable summaries and content that survives being cut into chunks. ## Vite+ 1.0: why I'm starting every new project with it URL: https://pappfer.hu/en/blog/vite-plus/ Published: 2026-10-24 Last modified: 2026-10-24 Vite+ 1.0 came out on 28 September. It's one command, `vp`, that runs the dev server, the build, tests, linting, formatting, library packaging and the Node.js version, all from a single `vite.config.ts`. It's free and MIT licensed. From now on every new project I start uses it, and I'll move existing ones over when there's a reason to touch their tooling anyway. Under the hood are the tools you probably already use (Vite, Vitest, Rolldown, Oxlint, Oxfmt, tsdown), released together and tested as one stack by the team that builds them. ### Why now A year ago I wouldn't have written this. When VoidZero first announced Vite+ in October 2025, it was going to be commercially licensed: free for individuals and small businesses, paid for everyone else. I don't build client projects on a toolchain the client might have to license later. That plan was dropped. Vite+ went MIT, and when VoidZero joined Cloudflare in June, the announcement committed to keeping Vite, Vitest, Rolldown, Oxc and Vite+ open source under MIT. The other reason is Laravel. Since August, all four official Laravel starter kits (React, Vue, Svelte, Livewire) ship with Vite+. A new Laravel app already starts on it, so for Laravel work the only open question is whether to keep it. ### The short version 1. **New project:** install `vp` and run `vp create`, or start from a Laravel starter kit, which already uses it. 2. **Existing project:** run `vp migrate` on a branch and read the diff before you merge it. Not on a production project the day before a release. 3. **Before the first `vp check --fix`:** set the formatter options to your code style, or it reformats the whole codebase. 4. **In CI:** make lint warnings fail the build (`denyWarnings: true`). By default they don't. ### What it replaces The tools were never the expensive part. The glue between them was: an ESLint config that fights Prettier, a `typescript-eslint` version that no longer matches TypeScript, Husky plus lint-staged plus a script nobody remembers writing, and three repositories each on a different major version of all of it. Every upgrade is its own small project, and the person who set it up is never the one who has to fix it. With Vite+, a single `vite-plus` dependency replaces that cluster, and an upgrade is one version bump. The commands are the same in every repository: `vp dev`, `vp build`, `vp test`, `vp check`. The same goes for a new colleague or a coding agent opening the project for the first time, and for the Laravel developer who touches the frontend twice a month. Speed is a bonus, not the reason. VoidZero's own benchmarks put Oxlint at 50 to 100 times faster than ESLint and Oxfmt at up to 30 times faster than Prettier. Where you feel it is in the pre-commit hook and in CI, which stop being something you wait for. ### What vp migrate does in a Laravel app On a standard Laravel frontend (Vite, `laravel-vite-plugin`, Tailwind) the migration is small: - the `dev` and `build` scripts become `vp dev` and `vp build`; - `vite` stays in `package.json`, but an `overrides` entry points it at `@voidzero-dev/vite-plus-core`, so plugins that import `vite` keep working; - `vite.config.js` imports `defineConfig` from `vite-plus`, and the plugin list is wrapped in `lazyPlugins()`, which the migration does so that `vp check`, `vp lint` and `vp fmt` can share the same config; - the build still writes `public/build/manifest.json`, and `@vite` in Blade doesn't change. One thing catches you out. The formatter defaults to double quotes and two-space indentation, and the migration formats the files it touches, so your `vite.config.js` comes back reformatted. Laravel's own JavaScript uses four spaces and single quotes. Set that before you run `vp check --fix` on the rest of the code, or your first pull request is a few hundred lines of whitespace: ```ts import { defineConfig, lazyPlugins } from 'vite-plus' import laravel from 'laravel-vite-plugin' import tailwindcss from '@tailwindcss/vite' export default defineConfig({ fmt: { tabWidth: 4, singleQuote: true }, lint: { ignorePatterns: ['vendor/**', 'public/build/**'], options: { denyWarnings: true }, }, plugins: lazyPlugins(() => [ laravel({ input: ['resources/css/app.css', 'resources/js/app.js'], refresh: true, }), tailwindcss(), ]), }) ``` `denyWarnings` matters more than it looks. Without it, `vp check` exits with 0 even when it reports warnings, so a CI step that only looks at the exit code passes every time. ### When I'd wait I wouldn't migrate a project just because Vite+ exists. These are the cases where I'd leave it alone for now: - **Custom ESLint rules or plugins.** Oxlint is not ESLint, and an ESLint plugin doesn't simply carry over. The migration guide itself says most projects need manual adjustments afterwards. If the team has its own rules, check them against Oxlint first. - **Husky.** `vp migrate` doesn't convert Husky hooks. It leaves them as they are and warns you. Moving to `vp hooks` and `vp staged` is a manual step. - **You already manage Node with nvm, asdf or Volta.** The global `vp` takes over the Node.js runtime and package manager by default. If you want to keep your own setup, `vp env off` turns that off. - **Old Vite.** The migration expects Vite 7 and Vitest 4 or newer. On an older project, that upgrade comes first, and it's the bigger job. There's one real trade-off. You now depend on a single release cadence. A Hacker News commenter quoted by InfoQ counted five major Vite versions between 2022 and 2026, each with breaking changes, and that kind of churn is the main complaint about Vite+ too. Vite+ doesn't make that go away. It just means one tested upgrade instead of five untested ones. I think that's the better deal, but it's still a dependency on one team. ### Need a hand? If you have a Laravel, Vue or React project whose frontend tooling has drifted (ESLint and Prettier fighting, an old Vite, CI that takes longer than it should), I can move it to Vite+ on a branch, with a reviewable diff and a working CI. [Get in touch](https://pappfer.hu/en/#contact). --- **Sources** - [VoidZero: Announcing Vite+ 1.0](https://voidzero.dev/posts/announcing-vite-plus-1-0) - [Vite+ documentation: getting started](https://viteplus.dev/guide/) - [Vite+ documentation: migration guide](https://viteplus.dev/guide/migrate) - [VoidZero: the original Vite+ announcement and its licensing update](https://voidzero.dev/posts/announcing-vite-plus) - [VoidZero: joining Cloudflare](https://voidzero.dev/posts/voidzero-cloudflare) - [Laravel News: Laravel starter kits now ship with Vite+](https://laravel-news.com/laravel-starter-kits-vite-plus) - [InfoQ: Vite+ reaches 1.0](https://www.infoq.com/news/2026/10/cloudflare-viteplus-stable/) - [Oxc: linter benchmark](https://github.com/oxc-project/bench-linter) and [formatter benchmark](https://github.com/oxc-project/bench-formatter) ## The AI writes the listing, the code checks it: a WooCommerce case study URL: https://pappfer.hu/en/blog/llm-guardrails-woocommerce/ Published: 2026-10-23 Last modified: 2026-10-24 [TiaDor Stúdió](https://tiador.hu/) is my wife's creative studio in Debrecen. It sells painting workshops and kids' events as WooCommerce products. Every event used to be built by hand in WordPress admin: title, description, date, price, places, SEO title, meta description, slug, image. Now she does it on her phone in a small app I built: she pastes the text she already wrote for Facebook, adds the poster, and an LLM fills in the rest. The interesting part isn't that an LLM writes SEO fields. Anyone can wire that up in an afternoon. The interesting part is what went wrong once real events went live, and why almost every fix moved a job away from the model and into plain Python. ### What the app does The stack is deliberately boring: a Vue 3 PWA on Cloudflare Pages, a [FastAPI](/en/python-developer/) backend in Docker on a VPS, and no database. The backend is a pass-through to the WordPress and WooCommerce REST APIs, which stay the single source of truth. Uploading an event takes two steps, and that split is the most important design decision in the project: 1. She fills in the minimum (photo, name, description, date, price) and taps "AI generálás ✨". The backend sends the text, plus the poster downscaled to 1280 px, to the model, and gets back the SEO title, meta description, short description, slug, categories, tags, and any date and duration it found in the text or on the poster. 2. Every generated field shows up as an editable input. Nothing reaches WordPress until she taps "Közzététel" or "Feltöltés piszkozatként" (publish, or upload as a draft): then the image is resized and uploaded, and the product is created with its Yoast and ACF fields. [Image: The review step. Everything under „AI által kitöltve” (filled in by AI) can still be edited before anything is uploaded.](https://pappfer.hu/img/blog/llm-guardrails-woocommerce-review.webp) If the model is down, the form still works and the SEO fields can be typed by hand. An AI feature that can stop a small business from publishing is a liability. ### Six jobs code took back from the model Each of these reached the live site at least once before it was fixed. That's the actual case study. **1. Slugs.** The prompt asked the model for a Hungarian slug without accents. In September it turned "Gyertyadíszítő" into `gyertyadisito`, dropping a letter, and that URL went live and got shared. Transliteration is a solved, deterministic problem, so the model shouldn't be doing it. The slug base is now rebuilt from the final title by a short function. (`ő` and `ű` need an explicit map, because unlike `é` they don't decompose under Unicode NFKD.) The model's slug only contributes the date suffix. **2. Tags.** Every few weeks the model invented a new spelling of an existing tag: `oszi-szunet` next to `osziszunet`, `korvaszon` next to `korvazszon`. Each one became a thin, near-empty tag archive. Two layers fixed it. The prompt now gets the site's 60 most used tags, and before saving, every tag is matched to an existing one by an accent-, case- and hyphen-insensitive key, then by `difflib` with a 0.88 cutoff for typos. Only a genuinely new tag gets created. **3. Categories.** Listing the categories in the prompt wasn't enough; the model still returned slugs that didn't exist. With OpenAI's strict structured outputs, the JSON schema now narrows `category_slugs` to an `enum` of the shop's real categories, built per request. The model can't return an invalid one even if it tries. **4. The wrong address.** This was the worst one. Another business's street address ended up in the location line of live events. Duplicated events had inherited it from an old draft written before the prompt was grounded in the studio's real address. Fixing the prompt doesn't clean up data that already exists, so every write path now runs a check: a location line whose street address isn't the event's own is replaced with the correct one. **5. Weekdays.** Duplicating an event for a new date means rewriting "október 25-én, szombaton" with Hungarian suffixes that depend on the number. I left that job with the model on purpose. Real descriptions say "szeptember 13-i" or "Október 29-30.", and a regex would quietly miss some of them. What the model doesn't get to do is work out the weekday: that's computed in code and passed in. Afterwards, code scans the rewritten text for any leftover old date and shows a warning with an "open for editing" button instead of saving silently. **6. Formatting.** Text pasted from Facebook arrives as one line per paragraph, sprinkled with zero-width spaces, and WordPress rendered it as one wall of `` tags. I could have asked the model to "format it nicely". I didn't, because a model that's allowed to rewrite the text will rewrite the text. A deterministic formatter turns label lines, lists and headings into HTML and never changes a word; I checked it against 14 real descriptions before running it on the live events. ### What the model is good at The model still does most of the work, and does it well. It writes the meta description and short description in the studio's voice, reads the date and opening hours off a poster (on a real kids' day-camp poster it read "8:00–16:00" correctly), and fixes typos. The typo fixes come back as a list ("hibás → javított"), and only those exact replacements are applied to the original text, so the wording stays hers. [Image: Typo fixes come back as a list, and only those replacements are applied.](https://pappfer.hu/img/blog/llm-guardrails-woocommerce-corrections.webp) Model choice mattered less than the guardrails. I compared `gpt-6-luna` and `gpt-6.1-sol` on the same real products, and with the category enum in place both returned identical, valid categories and dates. The bigger model wrote descriptions one and a half to two times longer and twice added an off-topic tag, so the smaller one stayed. The backend also supports Anthropic's API; switching is one environment variable. ### The rule I'd take to any LLM project If a rule can be stated precisely, it belongs in code: transliteration, which tags and categories exist, which address is correct, what weekday a date falls on. The model gets the parts that need judgement and language. Its output goes through a schema and a few checks, and a person sees the result before it's published. Each bug above is now a regression test. The backend has 53 tests, and most of the dated cases are bugs that really shipped. None of this is exotic. It's ordinary software engineering applied to a component that is confidently wrong a few percent of the time, which is exactly where ordinary engineering earns its keep. ### Need a hand? If you want an LLM inside an existing PHP, WordPress or Python system, and it has to be boring and reliable rather than impressive in a demo, that's the [AI integration](/en/ai-llm-integration/) work I do. [Tell me what you're working on](https://pappfer.hu/en/#contact). --- **Sources** - [OpenAI: Structured Outputs](https://platform.openai.com/docs/guides/structured-outputs) - [Python docs: difflib.get_close_matches](https://docs.python.org/3/library/difflib.html#difflib.get_close_matches) - [Python docs: unicodedata.normalize](https://docs.python.org/3/library/unicodedata.html#unicodedata.normalize) - [WooCommerce REST API documentation: products](https://woocommerce.github.io/woocommerce-rest-api-docs/#products) ## PHP2Shell: an urgent checklist for every PHP server URL: https://pappfer.hu/en/blog/php2shell/ Published: 2026-10-21 Last modified: 2026-10-23 **Update, 23 October:** PHP has warned about a third issue, CVE-2026-115560, which the 21 October releases do not fix. It only affects an unusual setup (details [below](#if-you-can-t-update-today)), PHP calls it unlikely, and no attacks have been reported. The fix until the next regular release is one line you may already have: `session.upload_progress.enabled = 0`. If you set it on the 21st, leave it in place, even after updating. On 21 October the PHP project shipped emergency fixes for two critical vulnerabilities, CVE-2026-109618 and CVE-2026-109619, collectively known as **PHP2Shell**. Both can lead to remote code execution without authentication, and both have a CVSS 4.0 score of 9.2. A demonstrated mod_php exploit runs before application code starts, so updating WordPress, Laravel or a plugin does not fix the underlying problem. PHP itself has to be patched. This is not a theoretical bug that can wait for the next maintenance window. Details leaked before the official release, public proof-of-concept code is circulating, Cloudflare has observed attack traffic, and European cybersecurity authorities have urged organisations to apply the updates, starting with internet-facing systems. Cloudflare's WAF rules add a useful layer of protection, but Cloudflare itself still tells customers to update PHP. If your business runs on Laravel, Symfony, WordPress, Drupal, Magento or anything else built on PHP, here is the checklist for today. ### The short version 1. Update PHP to **8.5.12, 8.4.27, 8.3.36 or 8.2.35**, or to your Linux distribution's patched package. 2. **Restart** PHP-FPM or Apache, so the patched binary is the one actually serving requests. 3. Set `session.upload_progress.enabled = 0` and keep it until PHP's next regular release, updated or not. 4. Check logs and running processes for signs of compromise; patching does not undo an earlier intrusion. 5. On PHP 8.1 or older? Read the last section. You have a bigger problem. ### Are you affected? If a vulnerable PHP version serves web traffic, treat it as exposed until you have checked the exact package and configuration. The advisory covers PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed. The PHP team rates the risk highest for **mod_php**, where a demonstrated exploit needs only an unauthenticated request. Two things trip people up when they check: **The command line can lie.** `php -v` shows the CLI version, which is not necessarily what your web server runs. Check the service that actually handles requests: ```bash systemctl list-units 'php*-fpm*' # which FPM versions are running php-fpm8.3 -v # substitute your version ``` **Your distribution's version numbers won't match.** Ubuntu, Debian and Red Hat backport security fixes into their own builds, so a patched server may still say `8.3.6`. Don't compare numbers. Look for the CVE in the package changelog instead: ```bash # Debian / Ubuntu apt changelog php8.3-fpm | grep -E 'CVE-2026-10961(8|9)' # RHEL / Alma / Rocky rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961(8|9)' ``` You need confirmation for **both** CVEs. A changelog search is a useful first check, not universal proof: repositories format changelogs differently and some omit CVE identifiers. If either CVE is missing, compare the installed package version with your vendor's security notice. On Ubuntu, for example, Canonical publishes the exact fixed package version for every supported release. ### How to update **Your own VPS (Ubuntu or Debian, including servers managed by Forge or Ploi)** ```bash sudo apt update && sudo apt upgrade sudo systemctl restart php8.3-fpm # restart every FPM version you run sudo systemctl restart apache2 # if you use mod_php ``` **Docker.** The official `php` images are rebuilt with the fixes. Your image isn't rebuilt until you do it: ```bash docker build --pull --no-cache -t your-app . docker run --rm your-app php -v ``` Then redeploy. If you pin base images by digest, bump the digest first. **Shared or managed hosting.** You can't patch this yourself, but the risk is still yours. Ask your host directly: *"Have you deployed the fixes for CVE-2026-109618 and CVE-2026-109619 on the server my site runs on?"* Get a clear yes before you stop worrying. **Serverless and PaaS.** Move to your provider's patched runtime as soon as it's published, then redeploy. ### After patching, check for compromise An update closes the vulnerability; it does not tell you whether somebody reached the server first. Review web-server, PHP, authentication and endpoint logs from at least the hours before the public disclosure. Look for unusual child processes spawned by PHP or the web server, unexpected files and accounts, unfamiliar scheduled jobs and outbound connections that your application does not normally make. If you find something suspicious, preserve the logs and isolate the host before cleaning it. Restoring only the website files is not enough if an attacker obtained the PHP worker's permissions or stole application secrets. Rotate credentials and API keys from a known-clean machine, and rebuild the server from a trusted image where possible. ### If you can't update today The PHP team lists mitigations for teams that need a few hours or days. They narrow specific attack paths. **They do not make you safe.** Treat them as a bridge to the update, not a replacement for it. ```ini ; Put these in php.ini or the server config. Do NOT rely on .user.ini or ini_set(): ; they apply too late to help. session.upload_progress.enabled = 0 post_max_size = 8M ; 32M if your app needs file uploads upload_max_filesize = 6M ; keep it below post_max_size memory_limit = -1 ; read the note below first fatal_error_backtraces = 0 ; PHP 8.5 only ``` In an FPM pool, write each setting as `php_admin_value[session.upload_progress.enabled] = 0` so applications can't override it. Restart every worker afterwards. **Keep the first line after you update.** On 23 October PHP published a follow-up advisory for CVE-2026-115560, which the emergency releases do not fix. It needs an application that sets `session.serialize_handler` to `php_binary` or `php_serialize` in its configuration and then switches it to `php` with `ini_set()` before `session_start()`, with upload progress still enabled. That is rare, but you don't need to check every app to be safe: `session.upload_progress.enabled = 0` closes it, and the fix will ship in the next regular release. If you want to know whether one of your apps does this, search the code: ```bash grep -rn 'serialize_handler' --include='*.php' . ``` **About `memory_limit = -1`:** this looks wrong, and it is a trade-off. It removes the memory-limit failure that one of the bugs relies on, but then a single request can consume all available RAM. Pair it with a container or cgroup memory limit that kills only the offending worker. The advisory warns against using `RLIMIT_AS` or `RLIMIT_DATA` for this, because they can trigger the vulnerable path themselves. Also cap request sizes at the web server or proxy (for example `client_max_body_size 8m;` in Nginx), and fix any fatal errors or timeouts an attacker can trigger from outside: upload handlers, importers, callbacks. ### Running an older PHP release? The PHP project no longer supports the 7.4, 8.0 and 8.1 branches, but it made an exception for these vulnerabilities and published minimal source backports for all three. That also gave third-party package maintainers a basis for patched binary builds. If you use [Deb.Sury.org](https://deb.sury.org/) on Debian or the `ondrej/php` PPA on Ubuntu, Ondřej Surý has backported the fixes to packages for older PHP branches as well. You do not need to compile PHP yourself in that case: upgrade from the repository, restart every affected FPM pool or Apache instance, then verify the **installed package** version and changelog. A fixed package existing in the repository does not mean it is already installed on your server. Mirrors can lag, too: on release day the Launchpad PPA still served an unfixed build for some branches, so run `apt-cache policy php8.3-fpm` (with your version) and check that the candidate is the fixed one before you rely on it. This addresses these two CVEs; it does not make PHP 7.4, 8.0 or 8.1 generally supported again. Fixes for other known or future vulnerabilities are not guaranteed, so plan the move to a supported branch separately. Your realistic options: - **Update from your package source.** Ubuntu (on 20.04 and older through Ubuntu Pro's Expanded Security Maintenance), Deb.Sury/`ondrej/php` and some LTS vendors provide patched packages for older PHP branches. Verify them with both the changelog check above and the vendor advisory. - **Apply the mitigations today** and treat them as temporary. - **Upgrade to a currently supported PHP branch.** How long that takes depends on the application and its dependencies. A maintained Laravel project may move quickly; an old custom system needs testing before anyone can make an honest estimate. If you've been postponing that upgrade, this week is the reminder that postponing has a price. ### The real lesson A security fix only protects you once it's deployed, and every hour between release and deployment is an open door. After this week, it's worth having clear answers to three questions: - Do you know which PHP version every one of your servers runs? - Can you update and restart production within an hour, without holding your breath? - Is it someone's actual job to do that when an advisory like this lands? If any answer is "not really", fix that before the next advisory, because there will be one. ### Need a hand? I'm Ferenc Papp, a freelance full-stack developer from Debrecen, Hungary. I've been building and maintaining PHP and Laravel applications for over 15 years, for clients across Europe and the United States. If you need a server checked and patched today, or a legacy PHP application upgraded to a supported version, [get in touch](https://pappfer.hu/en/#contact). --- **Sources** - [php.net: official security advisory](https://www.php.net/archive/2026.php#2026-10-21-5) - [php.net: informational advisory on session upload progress (CVE-2026-115560)](https://www.php.net/archive/2026.php#2026-10-23-1) - [ENISA: joint statement on the critical PHP vulnerabilities](https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities) - [Ubuntu: fixed package versions and update instructions](https://ubuntu.com/blog/php2shell-vulnerability-fixes-available) - [Cloudflare: WAF protection and observed attack traffic](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/) - [Sansec: PHP2Shell analysis and public exploit](https://sansec.io/research/php2shell) - [deb.sury.org: release-day discussion of the backports](https://codeberg.org/oerdnj/deb.sury.org/issues/145) - [Tenable: PHP2Shell FAQ](https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote) - [watchTowr: exploitation activity](https://watchtowr.com/intelligence/php-remote-code-execution-php2shell/) - [Huntress: rapid response](https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities) - [Computer Weekly: critical PHP flaws put millions of websites at risk](https://www.computerweekly.com/news/366652446/Critical-PHP-flaws-puts-millions-of-websites-at-risk-of-takeover) --- # Hungarian (hu) ## Papp Ferenc — Senior full-stack és AI fejlesztő | Debrecen URL: https://pappfer.hu/hu/ Last modified: 2026-10-24 Senior full-stack fejlesztő & AI Solutions Engineer. Skálázható webalkalmazások Laravel, Vue.js és Python alapon, plusz éles generatív AI/LLM integrációk. ### Papp Ferenc — Senior full-stack fejlesztő & AI Solutions Engineer Skálázható webes ökoszisztémákat és éles környezetbe szánt AI integrációkat építek. 2024 októbere óta dedikáltan a DataExpert és testvércége, a Rubiklab kiemelt projektjein dolgozom — ötvözve a full-stack fejlesztést (Laravel, Vue.js, Python) az alkalmazott generatív AI-jal és a nagy nyelvi modellekkel. Availability: Korlátozott számban vállalok új megbízásokat ### Ki vagyok én Senior full-stack fejlesztő és AI Solutions Engineer vagyok Debrecenben, több mint 15 év szakmai tapasztalattal. Robusztus, skálázható webalkalmazásokat tervezek és éles környezetbe szánt generatív AI rendszereket fejlesztek — ötvözve a hagyományos full-stack fejlesztést a legújabb LLM technológiákkal. 2024 októbere óta dedikáltan egy szorosan összetartozó cégcsoportnak dolgozom: a DataExpertnek (anyacég) és a Rubiklabnak (testvércég). A DataExpertnél skálázható, nagy teljesítményű Progresszív Webalkalmazásokat (PWA) tervezek és fejlesztek Laravel backenddel és Vue.js frontenddel, Python szkriptekkel és mikroszolgáltatásokkal a háttérben. A Rubiklabnál Senior AI Solutions Engineerként generatív AI integrációkon és kutatás-fejlesztési projekteken dolgozom — beleértve a saját LabIQ termékük fejlesztését. Fő szakterületeim: nagy nyelvi modellek (LLM) finomhangolása és összehasonlítása, szemantikus keresés vektor adatbázisokkal és embeddingekkel, LLM-alapú többosztályos klasszifikáció, valamint a generatív AI hiperparamétereinek (temperature, top-k/top-p) hangolása a megbízható, determinisztikus működésért. ### Szolgáltatások - **Skálázható webes ökoszisztémák**: Nagy teljesítményű webalkalmazások és Progresszív Webalkalmazások (PWA). Laravel backend, Vue.js frontend, Python szkriptek és mikroszolgáltatások. Tiszta architektúra, tesztelt kód, skálázásra tervezve. - **Éles környezetbe szánt AI integrációk**: LLM-alapú funkciók, amelyek éles környezetben működnek, nem csak demók. RAG pipeline-ok, szemantikus keresés, vektor adatbázisok, embeddings és ágens munkafolyamatok — megbízhatóan, valós termékfolyamatokba integrálva. - **Generatív AI kutatás-fejlesztés**: LLM finomhangolás és összehasonlítás, embeddings-alapú keresés, LLM-vezérelt többosztályos klasszifikáció, valamint hiperparaméter-optimalizálás (temperature, top-k/top-p) a determinisztikus, ismételhető kimenetért. - **Technikai tanácsadás & partnerségek**: Architektúra felülvizsgálat, AI stratégia, technológiaválasztás és teljesítményoptimalizálás — fókuszált együttműködésekhez, a jelenlegi elköteleződéseim mellett. ### Tech Stack - **AI & LLM**: LLM Integráció, LLM Finomhangolás & Kiértékelés, Szemantikus Keresés, Vektor Adatbázisok, Embeddings, Többosztályos Klasszifikáció, RAG Pipeline-ok, Hiperparaméter Hangolás, Ágens Munkafolyamatok, OpenAI API, Anthropic API, LangChain - **Backend**: PHP, Laravel, Symfony, Yii2, Python, FastAPI, MySQL, PostgreSQL, MongoDB, Redis - **Frontend**: Vue.js, React, Next.js, JavaScript, TypeScript, Svelte, HTML5/CSS3, Tailwind CSS, PWA - **DevOps & Eszközök**: Linux, Docker, Git, CI/CD, AWS, Nginx, Deployer - **Mobil & PWA**: Progresszív Webalkalmazások, Offline-First, React Native, Ionic ### Tapasztalat - **2024 – Jelenleg — DataExpert — Senior Full-Stack Developer**: Skálázható, nagy teljesítményű Progresszív Webalkalmazások (PWA) tervezése és fejlesztése kiemelt projekteken. Laravel backend, Vue.js frontend, Python szkriptek és mikroszolgáltatások. - **2024 – Jelenleg — Rubiklab — Senior AI Solutions Engineer**: Generatív AI integrációk és kutatás-fejlesztés, beleértve a saját LabIQ terméket. LLM finomhangolás és összehasonlítás, szemantikus keresés vektor adatbázisokkal és embeddingekkel, LLM-alapú többosztályos klasszifikáció, valamint hiperparaméter-optimalizálás (temperature, top-k/top-p) a determinisztikus kimenetért. - **2017 – Jelenleg — Egyéni vállalkozó — Full-stack fejlesztő & technikai tanácsadó**: Egyéni vállalkozói tevékenységem: egyedi webalkalmazások és AI integrációk — LLM-alapú funkciók, RAG pipeline-ok és vektoros keresés —, valamint kérdőív rendszerek európai és amerikai piackutató cégeknek. - **2015 – 2017 — Fathom Minds — Senior PHP fejlesztő**: Webalkalmazás és API fejlesztés Yii2 keretrendszerrel. Git infrastruktúra kiépítése a fejlesztőcsapat számára. - **2014 – 2015 — Oktafone — Frontend fejlesztő**: Startup webalkalmazás fejlesztése AngularJS, JavaScript, HTML5 és CSS3 technológiákkal. - **2011 – 2014 — Szabadúszó (pappfer.hu) — PHP fejlesztő**: Weboldalak készítése magánszemélyek és cégek számára PHP, Yii, Laravel és WordPress használatával. Facebook, LinkedIn, Box.com és Stripe integrációk. - **2011 — British Telecom — Service Desk Analyst 2nd Line**: Hálózati eszközök (routerek, switch-ek) konfigurálása globális hálózat támogatáshoz. Angol nyelvű kommunikáció ügyfelekkel világszerte. - **2010 – 2011 — IT Services Hungary — Contact Center szerver adminisztrátor**: Linux és Windows szerverek felügyelete, Avaya IP telefonok adminisztrációja. PHP automatizálási eszköz fejlesztése, amely napi 3+ óra megtakarítást eredményezett — innovációs díj. - **2009 – 2010 — Concept Solutions — PHP fejlesztő**: Távmunkában PHP fejlesztés. Meglévő kódbázisok karbantartása és fejlesztése, tapasztalatszerzés különböző architektúrákkal és implementációs mintákkal. ### Referenciák - "Megbízható és gyors. Évek óta dolgozunk vele. Több weboldalunkat is a nulláról építette fel. Csak ajánlani tudom." — Mészáros Tibor, Sentonard Media - "Kiváló fejlesztő, nagyon könnyű vele dolgozni. Kiváló PHP keretrendszer ismeretek, kiváló angol nyelvtudás, nagyon jó kommunikátor és megbízható." — Phil Guegan, CEO & Alapító, Infogems - "Ferenc egy nagyon tehetséges fejlesztő. Gyorsan megértette, mire van szükség, és mindent (sőt többet is) leszállított, amit vártam. Szívesen dolgoznék vele újra." — DanD, Upwork-ügyfél ### Gyakran ismételt kérdések **Milyen együttműködéseket vállalsz jelenleg?** Fő fókuszom a DataExpert és a Rubiklab kiemelt projektjein van, de emellett korlátozott számban vállalok szabadúszó és tanácsadói megbízásokat is — webalkalmazásokat, AI integrációkat és technikai tanácsadást. Írj a projektedről, és jelzem, ha illeszkedik. **Mit jelent számodra az éles környezetbe szánt AI integráció?** Nem demót. Olyan LLM-alapú funkciókat, amelyek megbízhatóak, megfigyelhetőek, költségtudatosak és ott determinisztikusak, ahol számít — szilárd RAG, szemantikus keresés és vektor adatbázis alapokra építve, valós termékfolyamatokba integrálva. **Vállalsz LLM finomhangolást és kiértékelést?** Igen. Nagy nyelvi modelleket hangolok finomra és hasonlítok össze, LLM-alapú többosztályos klasszifikációs rendszereket tervezek, és kiértékelési pipeline-okat építek a modellek objektív összehasonlításához egy adott feladatra. **Hogyan teszed megbízhatóvá és determinisztikussá a generatív AI kimenetét?** A hiperparaméterek (temperature, top-k/top-p) hangolásával, a kimenet strukturálásával és korlátozásával, a válaszok retrieval-alapú megalapozásával, valamint kiértékeléssel és védőkorlátokkal — így ugyanaz a bemenet megbízható, ismételhető eredményt ad. **Mi a fő technológiai stacked?** Laravel, Symfony és Yii2 a backend oldalon; Vue.js és React a frontenden; Python és FastAPI az AI szolgáltatásokhoz. AI terén: LLM integráció és finomhangolás, embeddings, szemantikus keresés, vektor adatbázisok és RAG pipeline-ok. **Dolgozol nemzetközi ügyfelekkel?** Igen. Távmunkában dolgozom európai és amerikai csapatokkal, folyékonyan kommunikálva angolul és magyarul, különböző időzónákban. ### Kapcsolatfelvétel Valami nagyszabásút építesz webes vagy AI területen? Beszéljük meg. - E-mail: pappfer@pappfer.hu - Helyszín: Debrecen, Magyarország - Válaszidő: 1–2 munkanapon belül ## Laravel fejlesztő URL: https://pappfer.hu/hu/laravel-fejleszto/ Last modified: 2026-10-24 Papp Ferenc vagyok, senior full-stack fejlesztő 15+ év tapasztalattal, a Laravel a fő backend eszközöm. Skálázható, jól tesztelt Laravel alkalmazásokat tervezek és építek — API-któl és multi-tenant SaaS platformoktól a nagy teljesítményű Progresszív Webalkalmazások backendjéig. A teljes folyamatot viszem: architektúra, adatbázis-tervezés, queue-k és háttérfeladatok, külső integrációk, tesztelés és élesítés. Akár új terméket indítasz, akár egy meglévő Laravel kódbázishoz kell senior fejlesztő, tiszta, karbantartható és skálázható kódot adok. ### Mit építek Laravelben - REST és JSON API-k web- és mobilklienseknek - Multi-tenant SaaS platformok és admin felületek - Skálázható backend Progresszív Webalkalmazásokhoz (Vue.js-szel) - Fizetési, CRM és külső API integrációk - Queue-k, ütemezett és háttérben futó feladatok - AI / LLM funkciók beépítése Laravel alkalmazásokba ### Miért velem MVP-től multi-tenant SaaS-ig terveztem és szállítottam Laravel rendszereket, így a nehéz részekhez — adatmodellezés, teljesítmény, queue-k, biztonság — senior döntéseket kapsz, nem csak működő kódot. A munkát végig viszem, tesztelten és karbantarthatóan. ### Gyakran ismételt kérdések — Laravel fejlesztő **Dolgozol meglévő Laravel projekteken?** Igen — rendszeresen csatlakozom meglévő kódbázisokhoz: új funkciók, teljesítményjavítás, tesztlefedettség növelése vagy legacy kód rendberakása. **Milyen Laravel eszközökkel dolgozol?** Modern Laravel: Eloquent, queue-k, Horizon, Sanctum/Passport, Pest/PHPUnit és CI/CD. Szükség esetén Symfony és Yii2 is. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## Vue.js fejlesztő URL: https://pappfer.hu/hu/vuejs-fejleszto/ Last modified: 2026-10-24 Gyors, karbantartható frontendeket építek Vue.js-szel — interaktív dashboardoktól és SaaS felületektől a telepíthető, offline is működő Progresszív Webalkalmazásokig. Full-stack fejlesztőként a frontendet végponttól végpontig kötöm össze a stabil Laravel vagy Python backenddel. Komponens-architektúra, állapotkezelés, teljesítmény, akadálymentesség és tiszta API-k a frontend és backend között — az egész képet lefedem. Az eredmény gyorsan töltődő, skálázható és könnyen karbantartható felület. ### Mit építek Vue.js-szel - Single-page appok, dashboardok és SaaS felületek - Telepíthető, offline-first Progresszív Webalkalmazások (PWA) - Komponenskönyvtárak és design rendszerek megvalósítása - Laravel / FastAPI backendhez kötött frontendek - Teljesítmény- és Core Web Vitals-optimalizálás - AI-alapú UI funkciók (chat, keresés, asszisztensek) ### Miért velem Full-stack rálátás: értem a Vue frontendet és a mögötte lévő backendet is, így az integráció tiszta, és nincs egymásra mutogatás. 15+ év éles szoftverfejlesztés, átlátható kommunikáció magyarul és angolul. ### Gyakran ismételt kérdések — Vue.js fejlesztő **A backendet is csinálod?** Igen — full-stack vagyok. A Vue.js frontendet és a Laravel vagy Python backendet együtt is szállítom, vagy csak a frontendet, ha van backend csapatod. **Vue 2 vagy Vue 3?** Vue 3 Composition API-val és modern eszközökkel (Vite, Pinia). Meglévő Vue 2 appokat is karbantartok vagy migrálok. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## React fejlesztő URL: https://pappfer.hu/hu/react-fejleszto/ Last modified: 2026-10-24 Modern frontendeket építek Reacttel — Next.js webalkalmazásokat és React Native mobilappokat. Senior full-stack fejlesztő 15+ év tapasztalattal, a frontendet stabil Laravel vagy Python backendhez kötve. A szerveroldalon renderelt Next.js oldalaktól és SPA-któl a cross-platform React Native appokig tiszta komponens-architektúrát, stabil állapotkezelést és jó teljesítményt adok. Egy fejlesztő, aki a React terméket a webtől a mobilig viszi, és összeköti a backenddel. ### Mit építek Reacttel - React single-page appok és dashboardok - Next.js webalkalmazások (SSR / SSG) jó Core Web Vitals értékekkel - React Native cross-platform mobilappok - Komponenskönyvtárak és design rendszerek - Laravel / FastAPI backendhez kötött frontendek - AI-alapú UI funkciók (chat, keresés, asszisztensek) ### Miért velem Full-stack a React ökoszisztémában és a mögötte lévő backendben is, így a web, a mobil és az API szinkronban marad. 15+ év éles szoftverfejlesztés, végig TypeScripttel, átlátható kommunikáció magyarul és angolul. ### Gyakran ismételt kérdések — React fejlesztő **React, Next.js vagy React Native?** Mindhárom — React az SPA-khoz, Next.js a szerveroldalon renderelt webappokhoz, React Native a cross-platform mobilhoz. A termékedhez a megfelelőt választom. **A backendet is megcsinálod?** Igen — full-stack vagyok. A React frontendet (vagy mobilappot) és a Laravel vagy Python backendet együtt is szállítom. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## AI & LLM integráció URL: https://pappfer.hu/hu/ai-integracio/ Last modified: 2026-10-23 Nagy nyelvi modelleket integrálok valódi termékekbe — nem demókba. RAG pipeline-ok, szemantikus keresés vektor adatbázisokkal és embeddingekkel, LLM-alapú klasszifikáció, és az a mérnöki fegyelem, amitől a generatív AI megbízható, megfigyelhető és költségtudatos lesz. Pythonban dolgozom (FastAPI, LangChain, LangGraph), és az AI funkciókat meglévő webalkalmazásokba kötöm (Laravel, Vue.js). Hangolom a hiperparamétereket (temperature, top-k/top-p), retrievallel alapozom meg a válaszokat, és kiértékelést meg védőkorlátokat építek, hogy ugyanaz a bemenet megbízható, ismételhető eredményt adjon. ### Mit építek - RAG pipeline-ok a dokumentumaidra és adataidra - Szemantikus keresés vektor adatbázisokkal és embeddingekkel - LLM-alapú klasszifikáció és adatkinyerés - Finomhangolás, benchmark és modell-összehasonlítás - Determinisztikus, kiértékelt LLM funkciók (temperature, top-k/top-p) - AI funkciók beépítése Laravel / Vue appokba és API-kba ### Miért velem 15+ év éles webfejlesztést ötvözök gyakorlati generatív AI kutatás-fejlesztéssel (jelenleg Senior AI Solutions Engineerként). Ez olyan AI funkciókat jelent, amelyek tényleg élesbe kerülnek, tisztán integrálódnak és kibírják az éles terhelést — nem megrekedt proof-of-conceptek. ### Gyakran ismételt kérdések — AI & LLM integráció **Milyen modelleket és eszközöket használsz?** OpenAI és Anthropic API-k, LangChain / LangGraph, FastAPI, és vektor adatbázisok (pl. Pinecone vagy pgvector) — a feladathoz és a költségkerethez igazítva. **Be tudod építeni az AI-t a meglévő appomba?** Igen. LLM funkciókat (keresés, chat, klasszifikáció, automatizálás) integrálok meglévő Laravel, Vue.js vagy Python rendszerekbe, a hozzá tartozó backenddel együtt. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## AI keresőoptimalizálás URL: https://pappfer.hu/hu/ai-keresooptimalizalas/ Last modified: 2026-09-12 Egyre többen kérdeznek asszisztenst kereső helyett, az asszisztens pedig abból a néhány forrásból válaszol, amelyet értelmezni, visszakeresni és megbízhatónak ítélni tudott. Az AI keresőoptimalizálás (AEO, más néven GEO) az a munka, amivel bekerülsz ebbe a néhány forrásba. Ez elsősorban mérnöki, és csak másodsorban marketingfeladat. Az AI-rendszerek bejárják, darabolják, beágyazzák és rangsorolják a tartalmadat, így a végeredményt a design alatti gépi réteg dönti el: összekötött schema.org entitásgráf, olyan szakaszok, amelyek darabokra vágva is értelmesek maradnak, tényállítások ott, ahol a retrieval tényleg megtalálja őket, és tiszta hozzáférés maguknak az AI-crawlereknek. ### Mit csinálok - AI-láthatósági audit: mit mondanak rólad ma az asszisztensek, és technikailag miért - schema.org entitásgráf — Organization, Person, Service, FAQ, breadcrumb, @id-val összekötve - llms.txt és llms-full.txt, hogy az asszisztensek olvashassák az oldalad, ne scrapelniük kelljen - Kinyerhető tartalomszerkezet: darabolásbiztos szakaszok, válasszal kezdő fogalmazás, valódi horgonyok - Crawler- és indexelési háttér: helyes robots.txt, IndexNow-beküldés, pontos sitemap-dátumok - Mérés: az idézések és az asszisztensekből érkező forgalom követése ### Miért velem Én azokat a rendszereket építem, amelyek a válaszokat adják. A RAG pipeline-ok, embeddingek, szemantikus keresés és LLM-kiértékelés a napi munkám Senior AI Solutions Engineerként, így arra optimalizálok, ahogy a retrieval valójában viselkedik, nem egy checklistára. Ez az oldal maga a referencia-implementáció: llms.txt és llms-full.txt, összekötött JSON-LD gráf, IndexNow-beküldés, és olyan sitemap-dátumok, amelyek csak valódi tartalomváltozáskor mozdulnak. ### Gyakran ismételt kérdések — AI keresőoptimalizálás **Miben más az AEO, mint a SEO?** Átfedik egymást, és egyik sem váltja ki a másikat. A klasszikus SEO azt dönti el, hogy rangsorolnak-e; az AEO azt, hogy egy asszisztens tud-e értelmezni, megbízni benned és idézni téged. A tiszta HTML, a strukturált adat és a gyors oldal mindkettőt szolgálja — az AEO ehhez gépi összefoglalókat, entitás-összekötést és darabolásbiztos tartalmat tesz hozzá. **Garantálod, hogy a ChatGPT ajánlani fog?** Nem, és aki ezt garantálja, az elad neked valamit. Ezekben a rendszerekben nincs rangsoroló gomb, amit el lehet tekerni. Amit meg tudok tenni: megszüntetek minden technikai okot, ami miatt egy asszisztens kihagyna vagy félreértene, és explicitté, ellenőrizhetővé és könnyen visszakereshetővé teszem azokat az állításokat, amelyeket idézni szeretnél. **Mennyi idő, amíg megjelenik a válaszokban?** A technikai változásokat napok-hetek alatt veszik át: az IndexNow perceken belül szól a Bingnek (ami a Copilotot táplálja), a többi crawler a saját ütemében olvas újra. Az asszisztensek válaszaiban látható változás jellemzően hetek kérdése, és attól is függ, mennyi megerősítő információ van rólad máshol a weben. **Mit kapok a végén?** Működő implementációt a saját kódbázisodban, nem PDF-et: az entitásgráfot, az llms.txt fájlokat, a crawler-beállításokat és a tartalmi módosításokat — plusz minden döntéshez egy rövid, írásos indoklást, hogy a csapatod utána is karban tudja tartani. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## Python fejlesztő URL: https://pappfer.hu/hu/python-fejleszto/ Last modified: 2026-10-23 Tiszta, jól tesztelt Python szolgáltatásokat építek — FastAPI API-kat, automatizáló szkripteket, adat-pipeline-okat és az AI/LLM funkciók mögötti backendet. Senior full-stack fejlesztő 15+ év tapasztalattal. Pythonban építem az AI-t és a mikroszolgáltatásokat: FastAPI végpontok, háttérfeladatok, integrációk és LLM pipeline-ok (LangChain, LangGraph). Ezeket tisztán kötöm össze a webes frontenddel és a meglévő rendszerekkel, tesztekkel és CI/CD-vel. ### Mit építek Pythonban - FastAPI szolgáltatások és REST API-k - AI / LLM backend (RAG, embeddings, vektoros keresés) - Automatizáló szkriptek és adat-pipeline-ok - Mikroszolgáltatások és rendszerintegrációk - Háttérben futó és ütemezett feladatok - Python szolgáltatások Laravel / Vue frontendhez kötve ### Miért velem Sokan tudnak Pythonban API-t hívni; kevesebben építik meg köré a webes terméket is. Én mindkettőt áthidalom — így a FastAPI szolgáltatásaid, az AI pipeline-jaid és az őket használó alkalmazás együtt tervezve készül és tényleg összeillik, tesztekkel és CI/CD-vel az első naptól. ### Gyakran ismételt kérdések — Python fejlesztő **FastAPI vagy Django?** Főleg FastAPI a szolgáltatásokhoz és API-khoz — különösen az AI körül —, de Django vagy Flask is mehet, ha az a stacked. **A backendet és a frontendet is megcsinálod?** Igen — full-stack vagyok. A Python / FastAPI backendet és a Vue.js vagy Laravel frontendet végponttól végpontig építem. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## Symfony fejlesztő URL: https://pappfer.hu/hu/symfony-fejleszto/ Last modified: 2026-09-12 Senior PHP fejlesztő, mély Symfony tapasztalattal. Robusztus, jól strukturált Symfony alkalmazásokat és API-kat építek, és ugyanúgy otthon vagyok meglévő vállalati kódbázisok modernizálásában vagy bővítésében. A bundle-architektúrától és a Doctrine-tól a Messenger queue-kig, a security-ig és az API Platformig karbantartható Symfony kódot adok automatizált tesztekkel és tiszta integrációkkal. Szükség esetén Laravelben és Yii2-ben is dolgozom. ### Mit építek Symfonyban - REST / API Platform backendek és szolgáltatások - Vállalati webalkalmazások és admin eszközök - Doctrine adatmodellezés és migrációk - Messenger queue-k és háttérfeldolgozás - Külső és legacy rendszerek integrációja - Meglévő Symfony appok refaktorálása és modernizálása ### Miért velem Három PHP keretrendszer éles használata (Symfony, Laravel, Yii2) azt jelenti, hogy nem vagyok dogmatikus — úgy dolgozom, ahogy a csapatod és a kódbázisod már működik, és otthon vagyok a nagy, hosszú életű vállalati rendszerekben, ahol a struktúra és a stabilitás a legfontosabb. ### Gyakran ismételt kérdések — Symfony fejlesztő **Dolgozol legacy Symfony projekteken?** Igen — meglévő Symfony alkalmazásokat modernizálok, refaktorálok és bővítek, beleértve a verziófrissítéseket és a tesztlefedettség növelését. **Symfony vagy Laravel?** Mindkettő — az igények alapján választok, vagy beilleszkedem abba, amit a csapatod használ. Symfonyban, Laravelben és Yii2-ben is szállítottam éles appokat. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## Yii2 fejlesztő URL: https://pappfer.hu/hu/yii2-fejleszto/ Last modified: 2026-09-12 Senior PHP fejlesztő, mély, gyakorlati Yii2 tapasztalattal — API-k, webalkalmazások, konzol parancsok és ütemezett feladatok. Új Yii appokat építek, meglévőket modernizálok és bővítek. Éles Yii2 rendszereket szállítottam és Yii-alapú fejlesztést vezettem. A Yii3 megjelenése óta Yii3 projekteket is vállalok, az évek Yii tapasztalatára építve — és szükség esetén Laravelben és Symfonyban is dolgozom. ### Mit építek Yii-vel - REST és JSON API-k Yii2-vel - Webalkalmazások, admin felületek és back-office eszközök - Yii konzol alkalmazások és ütemezett feladatok - Külső és fizetési integrációk - Legacy Yii appok karbantartása, refaktorálása és frissítése - Yii3 projektek, a mély Yii2 tapasztalatra építve ### Miért velem Sok korai senior munkám Yii-ben történt — kívülről ismerem a konvencióit. 15+ év éles PHP Yii2, Laravel és Symfony terén, tesztelt, karbantartható kóddal és átlátható kommunikációval magyarul és angolul. ### Gyakran ismételt kérdések — Yii2 fejlesztő **Dolgozol legacy Yii2 projekteken?** Igen — meglévő Yii2 alkalmazások karbantartása, bővítése és frissítése a munkám fontos része, beleértve a tesztlefedettség növelését és a legacy kód rendberakását. **Yii3-at is csinálsz?** Igen. Mély Yii2 tapasztalatom van, és vállalom a Yii3 projekteket, ugyanazokat a keretrendszer-alapokat alkalmazva az új verzióra. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## Szabadúszó webfejlesztő Debrecenben URL: https://pappfer.hu/hu/webfejleszto-debrecen/ Last modified: 2026-09-12 Papp Ferenc vagyok, debreceni szabadúszó senior full-stack webfejlesztő és egyéni vállalkozó, 15+ év szakmai tapasztalattal. Egyedi webalkalmazásokat és AI-alapú funkciókat építek helyi, európai és amerikai cégeknek. Debrecenből dolgozom, így a helyi cégekkel akár személyesen is egyeztetek, vagy teljesen távmunkában. Az ötlettől az architektúrán át a fejlesztésig és az élesítésig viszem a projektet, és tiszta, megbízható, karbantartható kódot adok. ### Miben tudok segíteni - Egyedi webalkalmazások és belső eszközök - Modern, gyors, SEO-barát weboldalak - Laravel / PHP backend és API-k - Vue.js / React frontend és PWA-k - AI és LLM integráció a termékedbe - Technikai tanácsadás és code review ### Miért egy helyi senior fejlesztő Megbízható, senior partner, akivel akár személyesen is találkozhatsz — magyarul és angolul is gördülékenyen, 15+ év éles tapasztalattal. Átlátható kommunikáció, őszinte becslések, hosszú távra épített kód. ### Gyakran ismételt kérdések — Szabadúszó webfejlesztő Debrecenben **Csak debreceni ügyfelekkel dolgozol?** Nem — Debrecenben vagyok, a helyi cégekkel szívesen találkozom személyesen is, de távmunkában dolgozom ügyfelekkel Magyarországon, az EU-ban és az USA-ban. **Szabadúszóként vagy ügynökségként dolgozol?** Debreceni egyéni vállalkozóként önállóan dolgozom. Nagyobb projektekhez szükség esetén bevált szakmai csapatokkal működöm együtt. **Vállalsz most új projektet?** Jelenleg hosszú távú projektek kötnek le, ezért kisebb vagy magán weboldalas munkát nem vállalok. Komoly egyedi webalkalmazásra, AI-integrációra és technikai tanácsadásra korlátozott kapacitásom van. Kapcsolatfelvétel: https://pappfer.hu/hu/#contact ## AI és LLM szótár URL: https://pappfer.hu/hu/ai-szotar/ Last modified: 2026-09-12 50 fogalom, amivel akkor találkozol, amikor egy nagy nyelvi modell valódi termékbe kerül — olyan fejlesztőtől, aki ezeket a rendszereket élesbe is adja, nem marketingcsapattól. ### LLM alapok **Nagy nyelvi modell (LLM)** (https://pappfer.hu/hu/ai-szotar/#llm) Hatalmas szövegmennyiségen tanított neurális háló, amely a következő tokent jósolja meg. Ez az egyetlen mechanizmus elég az összefoglaláshoz, fordításhoz, klasszifikációhoz és kódíráshoz — de azt is jelenti, hogy a modell hihető folytatást állít elő, nem ellenőrzött tényt. **Token** (https://pappfer.hu/hu/ai-szotar/#token) Az az egység, amit az LLM ténylegesen olvas és ír: nagyjából egy szótöredék, angolban négy karakter körül, magyarul és németül érezhetően rosszabb hatásfokkal. A kontextuskorlát, a késleltetés és a számlázás is tokenben mérődik, nem szóban. **Kontextusablak** (https://pappfer.hu/hu/ai-szotar/#context-window) Az a maximális tokenszám, amit a modell egyszerre figyelembe vehet — a rendszerprompt, a beszélgetés, a behúzott dokumentumok és a saját válasza együtt. Túllépésnél a legrégebbi tartalom levágódik, ezért kezd egy hosszú beszélgetés csendben elfelejteni utasításokat. **Prompt** (https://pappfer.hu/hu/ai-szotar/#prompt) Minden, amit egy kéréshez elküldünk a modellnek: utasítások, példák, behúzott kontextus és a felhasználó kérdése. Éles rendszerben a prompt nem egy ügyes mondat, hanem verziózott, tesztelt artefaktum — ugyanúgy megváltoztatja a viselkedést, mint egy kódmódosítás. **Rendszerprompt** (https://pappfer.hu/hu/ai-szotar/#system-prompt) Az az állandó utasítás, amely a beszélgetés minden kérését keretezi: szerep, hangnem, szabályok, kimeneti formátum. Nagyobb súllyal esik latba, mint a felhasználó üzenete, ezért ez a védőkorlátok természetes helye — és a prompt injection gyakori célpontja. **Temperature (hőmérséklet)** (https://pappfer.hu/hu/ai-szotar/#temperature) Mintavételi paraméter, amely azt szabályozza, mennyi véletlenszerűség megengedett a következő token kiválasztásánál. 0 közelében a kimenet ismételhető és konzervatív — ez kell kinyeréshez és klasszifikációhoz; a magasabb érték változatosságot vesz, megbízhatóságért cserébe. **Top-p és top-k mintavétel** (https://pappfer.hu/hu/ai-szotar/#top-p) Két módszer annak korlátozására, mely tokenek választhatók. A top-k a k legvalószínűbb jelöltet tartja meg; a top-p (nucleus sampling) a legkisebb olyan halmazt, amelynek valószínűségei p-t adnak ki. Ezek szorítása általában jobban stabilizál, mint önmagában a temperature. **Hallucináció** (https://pappfer.hu/hu/ai-szotar/#hallucination) Gördülékeny, magabiztos válasz, ami egyszerűen hamis — kitalált hivatkozás, API-metódus vagy szám. Nem javítható hiba, hanem a következő-token-jóslás tulajdonsága, ezért retrievallel, megalapozással, kimenet-validálással és kiértékeléssel kezeljük, nem megszüntetjük. ### RAG és keresés **RAG (retrieval-augmented generation)** (https://pappfer.hu/hu/ai-szotar/#rag) Előbb kikeressük a releváns részleteket a saját adatodból, aztán a modell csak azokból válaszol. Így jut az LLM privát, friss vagy a kontextusba be nem férő tudáshoz — és így lesz a válasz forrásig visszavezethető. **Embedding (beágyazás)** (https://pappfer.hu/hu/ai-szotar/#embedding) Számvektor, amely egy szövegrészlet jelentését reprezentálja úgy, hogy a hasonló jelentések közel kerülnek egymáshoz. Az embedding teszi lehetővé a szemantikus keresést, a klaszterezést és a duplikátumszűrést egyetlen kulcsszóegyezés nélkül. **Vektor adatbázis** (https://pappfer.hu/hu/ai-szotar/#vector-database) Olyan tároló, amely milliós nagyságrendben is ezredmásodpercek alatt megtalálja a kérdésvektorhoz legközelebbi vektorokat — pgvector, Qdrant, Pinecone. Közepes adatmennyiségnél általában elég egy Postgres-kiterjesztés; külön szolgáltatás nagy méretben térül meg. **Szemantikus keresés** (https://pappfer.hu/hu/ai-szotar/#semantic-search) Keresés jelentés alapján, karakteregyezés helyett, embeddingekkel. Akkor is megtalálja a jó dokumentumot, ha a felhasználó más szavakat használ, mint a szöveg — cserébe egy pontos cikkszámra gyengébb lehet, mint a sima kulcsszavas keresés. **Chunkolás (darabolás)** (https://pappfer.hu/hu/ai-szotar/#chunking) A dokumentumok visszakereshető darabokra vágása. A RAG legalulértékeltebb döntése: az a darabolás, amely elszakítja a táblázatot a fejlécétől vagy a választ a kérdésétől, csendben tönkreteszi a keresést, bármilyen jó is a modell. **Reranking (újrarangsorolás)** (https://pappfer.hu/hu/ai-szotar/#reranking) Második menet, amely egy lassabb, pontosabb modellel átrendezi a találatokat, mielőtt az LLM elé kerülnének. Húszat behúzni, újrarangsorolni, ötöt megtartani: egy működő RAG-rendszerben rendszerint ez a legolcsóbb minőségjavítás. **Hibrid keresés** (https://pappfer.hu/hu/ai-szotar/#hybrid-search) A kulcsszavas (BM25) és a vektoros keresés kombinálása, a két találati lista összefésülésével. Kioltja egymás vakfoltját: a kulcsszavas oldal hozza a pontos azonosítókat és ritka szavakat, a vektoros az átfogalmazásokat és szinonimákat. **Megalapozás (grounding) és forrásmegjelölés** (https://pappfer.hu/hu/ai-szotar/#grounding) Annak megkövetelése, hogy a modell csak a megadott forrásokból válaszoljon, és megnevezze, melyik részletből származik az adott állítás. A forrásmegjelölés nem dísz: auditálhatóvá teszi a választ, a hibás választ pedig diagnosztizálhatóvá. **llms.txt** (https://pappfer.hu/hu/ai-szotar/#llms-txt) Az oldal gyökerében elhelyezett egyszerű szöveges fájl, amely strukturált összefoglalót és térképet ad az AI-asszisztenseknek a fontos oldalakról — mintha a robots.txt nem engedélyről, hanem jelentésről szólna. Párja, az llms-full.txt a teljes tartalmat adja egyetlen lekérésben. ### Tanítás és finomhangolás **Előtanítás (pre-training)** (https://pappfer.hu/hu/ai-szotar/#pretraining) Az az eredeti, rendkívül drága tanítási futás széles szövegkorpuszon, amely az alapmodell általános képességét adja. A nagy laborokon kívül ezt szinte senki nem csinálja; amit a legtöbb csapat „tanításnak” hív, az a rá épülő olcsóbb adaptációk egyike. **Finomhangolás (fine-tuning)** (https://pappfer.hu/hu/ai-szotar/#fine-tuning) A tanítás folytatása saját példákon, hogy a modell átvegyen egy formátumot, hangnemet vagy szűk feladatot. Viselkedést tanít, nem tényeket — ha az adataidat kell ismernie, retrieval kell; finomhangolás akkor, ha következetesen adott módon kell válaszolnia. **LoRA és paraméterhatékony hangolás** (https://pappfer.hu/hu/ai-szotar/#lora) A teljes modell helyett egy kis extra súlyhalmaz tanítása, nagyságrendekkel kisebb költséggel és hardverigénnyel. Az adapterek ügyfelenként vagy feladatonként cserélhetők, és egyetlen közös alapmodellre rétegezhetők. **RLHF (megerősítéses tanulás emberi visszajelzésből)** (https://pappfer.hu/hu/ai-szotar/#rlhf) A modell hangolása aszerint, hogy emberek melyik válaszjelöltet részesítik előnyben. Ettől lesz a nyers szövegjóslóból olyan asszisztens, amely követi az utasításokat, és visszautasítja azt, amit vissza kell utasítania. **Instrukciós hangolás** (https://pappfer.hu/hu/ai-szotar/#instruction-tuning) Tanítás utasítás–válasz párokon, hogy a modell megbízhatóan azt tegye, amit kérnek tőle, ahelyett hogy folytatná a szöveget. Ez a különbség egy szövegfolytató motor és egy olyan rendszer között, amelynek feladatot lehet adni. **Zero-shot és few-shot promptolás** (https://pappfer.hu/hu/ai-szotar/#few-shot) A zero-shot csak utasítással kérdez, a few-shot néhány kidolgozott példát is betesz a promptba. Három jó példa rendszeresen többet ér, mint egy oldalnyi prózai utasítás — és sokkal olcsóbb, mint a finomhangolás. **Kvantálás** (https://pappfer.hu/hu/ai-szotar/#quantization) A modellsúlyok alacsonyabb számábrázolási pontosságú tárolása, hogy a modell kisebb hardveren is elférjen és gyorsabban fusson. A minőségromlás a legtöbb feladatnál körülbelül 4 bitig mérsékelt — ettől lesz reális a saját üzemeltetésű modell. **Desztilláció** (https://pappfer.hu/hu/ai-szotar/#distillation) Kis, olcsó modell tanítása egy nagy modell kimenetein. Szűk, jól definiált feladaton megközelítheti a nagy modell minőségét a késleltetés és a költség töredékéért — jó módszer arra, hogy egy drága pipeline elérje az éles üzem gazdaságosságát. ### Ágensek és eszközhasználat **AI ágens** (https://pappfer.hu/hu/ai-szotar/#ai-agent) Olyan LLM, amely cselekedni is tud — eszközöket hív, elolvassa az eredményt, eldönti a következő lépést —, nem csak szöveget állít elő. A mérnöki munka ritkán a gondolkodás: a köré húzott határok, jogosultságok és leállási feltételek. **Ágens munkafolyamat** (https://pappfer.hu/hu/ai-szotar/#agentic-workflow) Többlépéses folyamat, amelyben a modell ciklusban tervez, cselekszik és ellenőrzi a saját munkáját. Nyílt végű feladatokra erős, de minden extra lépés sokszorozza a költséget, a késleltetést és a hibalehetőségeket — éles problémák többségét jobban szolgálja egy fix pipeline. **Eszközhívás (function calling)** (https://pappfer.hu/hu/ai-szotar/#tool-calling) A modell kap egy típusos függvénylistát, amit meghívhat — adatbázis-lekérdezés, API-hívás, számítás —, és próza helyett strukturált hívást ad vissza. Így ér hozzá egy LLM valódi rendszerekhez biztonságosan és ellenőrizhetően. **MCP (Model Context Protocol)** (https://pappfer.hu/hu/ai-szotar/#mcp) Nyílt protokoll, amely közös interfészen köti a modelleket eszközökhöz és adatforrásokhoz, így az egyszer megírt integráció több asszisztenssel is működik. Kiváltja azt az egyedi ragasztókódot, amit korábban minden csapat gyártónként megírt. **Többágenses rendszer** (https://pappfer.hu/hu/ai-szotar/#multi-agent) Több specializált ágens dolgozik egy feladaton, gyakran koordinátorral. Valóban segít, ha a részfeladatok eltérő eszközöket vagy jogosultságokat igényelnek; többnyire csak költséget és kiszámíthatatlanságot ad, ha egyetlen jól megírt hívás is elég lenne. **Védőkorlátok (guardrails)** (https://pappfer.hu/hu/ai-szotar/#guardrails) A modell köré épített ellenőrzések: bemenetszűrés, kimeneti séma validálása, engedélyezett műveletek listája, költség- és lépéskorlátok. A védőkorlát hagyományos szoftver — determinisztikus, tesztelhető kód —, és ettől lesz élesbe adható egy nem determinisztikus komponens. **Ember a hurokban (human in the loop)** (https://pappfer.hu/hu/ai-szotar/#human-in-the-loop) Emberi jóváhagyás megkövetelése minden drága, visszafordíthatatlan vagy ügyfél felé menő művelet előtt. A kérdés nem az, hogy legyen-e ember a folyamatban, hanem hogy pontosan mely lépéseknél — túl sok jóváhagyásnál az automatizálás már nem térül meg. **Orkesztráció** (https://pappfer.hu/hu/ai-szotar/#orchestration) Az a réteg, amely eldönti, mi mikor fut: retrieval, modellhívások, eszközök, újrapróbálkozások, tartalékutak és állapot. Az olyan keretrendszerek, mint a LangChain vagy a LangGraph, itt élnek — hasznosak, de gyakran egy egyszerű állapotgép a karbantarthatóbb választás. ### Kiértékelés és minőség **Benchmark** (https://pappfer.hu/hu/ai-szotar/#benchmark) Szabványos tesztkészlet modellek összehasonlítására. Szűkítéshez hasznos, döntésnek félrevezető: a nyilvános benchmarkok beszivárognak a tanítóadatba, és egyik sem a te dokumentumaidat, felhasználóidat és jó-válasz-definíciódat méri. **Eval (kiértékelés)** (https://pappfer.hu/hu/ai-szotar/#eval) Saját, automatizált tesztkészlet egy LLM-funkcióra: rögzített bemenetek, elvárt tulajdonságok, és egy pontszám, amit modell- és promptváltozásokon át követni tudsz. Evalok nélkül nem mérnökölsz AI-funkciót, hanem érzésre állítgatod. **Golden dataset (referencia-adathalmaz)** (https://pappfer.hu/hu/ai-szotar/#golden-dataset) Gondozott halmaz valódi bemenetekből és ellenőrzött helyes kimenetekből, amelynek a gazdája a szakterületi szakértő, nem a fejlesztő. Száz jól választott eset többet ér tízezer legyűjtöttnél — és ez az az eszköz, amitől minden későbbi modellváltás mérhetővé válik. **LLM mint bíró (LLM-as-a-judge)** (https://pappfer.hu/hu/ai-szotar/#llm-as-judge) Egy modell értékeli egy másik modell kimenetét egy értékelési szempontrendszer alapján. Olyan mennyiségre skálázza a kiértékelést, amit ember nem tud átnézni — de örökli a bíró torzításait, ezért emberi értékelésekhez kell kalibrálni, mielőtt hiszel a számoknak. **Determinizmus és reprodukálhatóság** (https://pappfer.hu/hu/ai-szotar/#determinism) Azt jelenti, hogy ugyanaz a bemenet megbízhatóan ugyanazt a kimenetet adja-e. Teljes determinizmus felhős modellekkel nem érhető el, de a nulla közeli temperature, a rögzített promptok, a kikötött modellverziók és a strukturált kimenet elég közel visz ahhoz, hogy tesztelni lehessen. **Pontosság és fedés (precision, recall)** (https://pappfer.hu/hu/ai-szotar/#precision-recall) A precision azt méri, a visszaadott találatok közül hány volt helyes; a recall azt, a helyesek közül hányat találtunk meg. Egymás rovására mennek, és üzleti döntés, melyik számít jobban — egy kihagyott csalás és egy hamis vád nem ugyanannyiba kerül. **LLM-alapú klasszifikáció** (https://pappfer.hu/hu/ai-szotar/#classification) Modell használata szövegek kategóriákba sorolására — ticketek, dokumentumok, szándékok — dedikált osztályozó tanítása nélkül. Gyorsan felépíthető, és jól bírja a rendezetlen nyelvet; kell hozzá rögzített címkekészlet, bizonyossági küszöb és explicit út az „egyik sem” esetre. **Megfigyelhetőség és tracelés** (https://pappfer.hu/hu/ai-szotar/#observability) Minden prompt, behúzott chunk, eszközhívás, tokenszám és késleltetés rögzítése kérésenként. Amikor egy felhasználó rossz választ jelez, ezen múlik, hogy percek alatt reprodukálod-e, vagy egy napig találgatsz. ### Integráció és üzemeltetés **Inferencia és inferencia API** (https://pappfer.hu/hu/ai-szotar/#inference-api) Az inferencia a modell egyszeri lefuttatása a bemeneteden; az inferencia API az a felhős végpont, amit ehhez hívsz. Kezeld külső függőségként, SLA-val: lehet lassú, korlátozott vagy leállt — és a terméknek ilyenkor is értelmesen kell viselkednie. **Prompt cache** (https://pappfer.hu/hu/ai-szotar/#prompt-caching) Egy hosszú, változatlan prompt-előtag feldolgozott formájának újrahasznosítása kérések között. Nagy rendszerprompt vagy fix dokumentumkészlet mellett jelentősen csökkenti a költséget és az első tokenig eltelt időt — feltéve, hogy a stabil rész van elöl. **Streamelés** (https://pappfer.hu/hu/ai-szotar/#streaming) A tokenek küldése a kliensnek generálás közben, a teljes válasz kivárása helyett. Nem gyorsítja a generálást, de drámaian csökkenti az érzékelt késleltetést — és ahhoz, hogy működjön, a teljes stacknek, a proxykkal együtt, pufferelés nélkül kell továbbítania a darabokat. **Rate limit (kérés-korlát)** (https://pappfer.hu/hu/ai-szotar/#rate-limit) A szolgáltató percenkénti kérés- vagy tokenkorlátja. A leggyakoribb oka annak, hogy egy AI-funkció demóban működik, indulásnál viszont elhasal — ezért a sorbaállítás, a visszalépkedés és a tartalék modell a tervezésbe tartozik, nem az incidens utáni elemzésbe. **Tokenköltség** (https://pappfer.hu/hu/ai-szotar/#token-cost) A számlázás bemeneti és kimeneti tokenenként történik, eltérő díjszabással. Gyakorlati következmény: a behúzott kontextus, a hosszú rendszerpromptok és a beszélgetési előzmény a valódi költséghajtók — egy korlátlan beszélgetés korlátlan számla. **Késleltetés és első tokenig eltelt idő** (https://pappfer.hu/hu/ai-szotar/#latency) A teljes idő kevésbé számít, mint az, mikor lát a felhasználó történni valamit. Az első tokenig eltelt idő az igazán optimalizálandó szám: streamelés, prompt cache, kisebb modell az egyszerű lépésekre, és párhuzamos retrieval a soros helyett. **Saját üzemeltetésű vs. felhős modell** (https://pappfer.hu/hu/ai-szotar/#on-premise) A saját hardveren futó nyílt súlyú modell adatkontrollt, kiszámítható árat és gyártói kikapcsolásoktól való függetlenséget ad; a felhős élvonalbeli modell nagyobb képességet, üzemeltetési teher nélkül. A legtöbb rendszer vegyes lesz: helyi a tömeges és érzékeny munkára, felhős a nehéz kérésekre. **Adatvédelem LLM-rendszerekben** (https://pappfer.hu/hu/ai-szotar/#gdpr) A GDPR szerint a személyes adat elküldése egy modellszolgáltatónak harmadik fél általi adatkezelés: kell hozzá jogalap, adatfeldolgozói szerződés, ismert tárolási régió és megőrzési válasz. Hogy a szolgáltató tanul-e az adataidon, szerződéses kérdés, nem technikai. **AEO és GEO** (https://pappfer.hu/hu/ai-szotar/#aeo) Answer Engine Optimization és Generative Engine Optimization: az oldal olyanná tétele, hogy az AI-asszisztensek visszakereshessék és idézhessék, ne csak a keresők rangsorolhassák. A gyakorlatban strukturált adat, gépi összefoglalók és darabolásbiztos tartalom. ## Vite+ 1.0: mostantól ezzel indítok minden új projektet URL: https://pappfer.hu/hu/blog/vite-plus/ Published: 2026-10-24 Last modified: 2026-10-24 Szeptember 28-án megjelent a Vite+ 1.0. Egyetlen parancs, a `vp` intézi a dev szervert, a buildet, a teszteket, a lintelést, a formázást, a csomagkészítést és a Node.js-verziót, mindezt egyetlen `vite.config.ts`-ből. Ingyenes és MIT-licenszes. Mostantól minden új projektemet ezzel kezdem, a meglévőket pedig akkor viszem át, amikor amúgy is hozzá kell nyúlnom a buildhez vagy a linterhez. A háttérben azok az eszközök futnak, amiket jó eséllyel most is használsz (Vite, Vitest, Rolldown, Oxlint, Oxfmt, tsdown). A különbség annyi, hogy most egyben adja ki és egyben teszteli őket az a csapat, amelyik fejleszti is. ### Miért most? Egy éve még nem írtam volna meg ezt a cikket. Amikor a VoidZero 2025 októberében bejelentette a Vite+-t, fizetős licenszet terveztek hozzá: magánszemélyeknek és kisvállalkozásoknak ingyen, mindenki másnak pénzért. Ügyfélprojektet nem építek olyan eszközre, amiért később az ügyfélnek licenszdíjat kellhet fizetnie. Ebből végül nem lett semmi, a Vite+ MIT-licenszet kapott. Amikor pedig júniusban a VoidZero a Cloudflare-hez került, azt is vállalták, hogy a Vite, a Vitest, a Rolldown, az Oxc és a Vite+ nyílt forráskódú és MIT-licenszes marad. A másik ok a Laravel. Augusztus óta mind a négy hivatalos Laravel starter kit (React, Vue, Svelte, Livewire) Vite+-szal jön. Egy új Laravel-app tehát eleve ezzel indul, vagyis Laravelnél már csak az a kérdés, hogy megtartod-e. ### Röviden 1. **Új projekt:** telepítsd a `vp`-t, és indítsd `vp create`-tel, vagy egy Laravel starter kitből, abban már benne van. 2. **Meglévő projekt:** a `vp migrate`-et külön branchen futtasd, és merge előtt nézd végig a diffet. Éles projektnél semmiképp ne a kiadás előtti napon. 3. **Az első `vp check --fix` előtt** állítsd be a formázót a saját kódstílusodra, különben az egész kódbázist átformázza. 4. **CI-ban** kapcsold be a `denyWarnings: true` opciót, hogy a build a lint-figyelmeztetéseken is elbukjon. Alapból csak a hibákon bukik el. ### Mit vált ki? Nem maguk az eszközök viszik el az időt, hanem az, ami összeköti őket. Az ESLint-konfig, ami ütközik a Prettierrel. A `typescript-eslint`, ami már nem passzol a TypeScript-verzióhoz. A Husky, mellette lint-staged, mellette egy szkript, amiről senki nem tudja, ki írta. És három repó, mindegyik más főverzión. Minden frissítés egy külön kis projekt, és sosem az javítja meg, aki annak idején beállította. A Vite+-szal ebből egyetlen `vite-plus` függőség lesz, a frissítés pedig annyi, hogy átírod a verziószámot. A parancsok minden repóban ugyanazok: `vp dev`, `vp build`, `vp test`, `vp check`. Ennek örül az új kolléga, a kódoló agent, amelyik először nyitja meg a projektet, és az a Laravel-fejlesztő is, aki havonta kétszer nyúl a frontendhez. A sebesség csak ráadás. A VoidZero saját mérései szerint az Oxlint 50–100-szor gyorsabb az ESLintnél, az Oxfmt pedig akár 30-szor a Prettiernél. Ez a pre-commit hooknál és a CI-ban jön ki igazán, ott egyszer csak nem kell várni. ### Mit csinál a vp migrate egy Laravel-appban? Egy szokásos Laravel-frontenden (Vite, `laravel-vite-plugin`, Tailwind) nem sok minden változik: - a `dev` és a `build` szkriptből `vp dev` és `vp build` lesz; - a `vite` bent marad a `package.json`-ban, de egy `overrides` bejegyzés a `@voidzero-dev/vite-plus-core` csomagra irányítja, így a `vite`-ot importáló pluginek ugyanúgy működnek; - a `vite.config.js` a `vite-plus`-ból importálja a `defineConfig`-ot, a pluginlistát pedig `lazyPlugins()` veszi körbe, hogy a `vp check`, a `vp lint` és a `vp fmt` ugyanazt a konfigot használhassa; - a build ugyanúgy a `public/build/manifest.json`-t írja, a Blade-ben a `@vite` direktívához nem kell hozzányúlni. Egy dologra viszont figyelj. A formázó alapból dupla idézőjelet és két szóközös behúzást használ, a migráció pedig formázza a fájlokat, amikhez hozzányúl, így a `vite.config.js` átformázva jön vissza. A Laravel saját JavaScript-kódja viszont négy szóközt és szimpla idézőjelet használ. Ezt állítsd be, mielőtt a kód többi részén is lefuttatod a `vp check --fix`-et, különben az első pull requested pár száz sornyi szóközcsere lesz: ```ts import { defineConfig, lazyPlugins } from 'vite-plus' import laravel from 'laravel-vite-plugin' import tailwindcss from '@tailwindcss/vite' export default defineConfig({ fmt: { tabWidth: 4, singleQuote: true }, lint: { ignorePatterns: ['vendor/**', 'public/build/**'], options: { denyWarnings: true }, }, plugins: lazyPlugins(() => [ laravel({ input: ['resources/css/app.css', 'resources/js/app.js'], refresh: true, }), tailwindcss(), ]), }) ``` A `denyWarnings` többet számít, mint gondolnád. Nélküle a `vp check` akkor is 0-val lép ki, ha figyelmeztetéseket ír ki, és a CI, amelyik csak a kilépési kódot nézi, mindig zöld marad. ### Mikor várnék még vele? Attól, hogy megjelent a Vite+, még nem állnék neki minden projektet átállítani. Ezekben az esetekben egyelőre hozzá sem nyúlnék: - **Saját ESLint-szabályok vagy pluginek.** Az Oxlint nem az ESLint, a pluginek nem jönnek át maguktól. A migrációs útmutató is leírja, hogy a legtöbb projektnél utána kézzel is igazítani kell. Ha a csapatnak saját szabályai vannak, előbb nézd meg, mi lesz velük Oxlintben. - **Husky.** A `vp migrate` nem alakítja át a Husky hookokat: úgy hagyja őket, ahogy vannak, és csak figyelmeztet. A `vp hooks`-ra és a `vp staged`-re kézzel kell átállni. - **Már nvm-mel, asdf-fel vagy Voltával kezeled a Node-ot.** A globálisan telepített `vp` alapból magához veszi a Node.js és a csomagkezelő kezelését. Ha maradnál a megszokott eszközödnél, a `vp env off` kikapcsolja ezt. - **Régi Vite.** A migráció legalább Vite 7-et és Vitest 4-et vár. Régebbi projektnél előbb ezekre kell frissíteni, és általában az a nagyobb munka. Egy dolgot viszont be kell vállalni: mostantól egyetlen csapat kiadási ütemétől függsz. Az InfoQ idéz egy Hacker News-hozzászólót, aki öt Vite-főverziót számolt össze 2022 és 2026 között, mindegyikben visszafelé nem kompatibilis változásokkal, és a Vite+-t is főleg emiatt kritizálják. Ezen a Vite+ sem segít, csak annyit ér el, hogy öt külön frissítés helyett egyet csinálsz, amit előtte együtt teszteltek. Szerintem így is megéri, de ezzel tisztában kell lenni. ### Segítsek? Ha van egy Laravel-, Vue- vagy React-projekted, ahol a frontend eszközei az évek alatt szétcsúsztak (ütközik az ESLint a Prettierrel, régi a Vite, lassú a CI), szívesen átviszem Vite+-ra egy külön branchen, átnézhető diffel és működő CI-jal. [Írj nekem](https://pappfer.hu/hu/#contact). --- **Források** - [VoidZero: a Vite+ 1.0 bejelentése](https://voidzero.dev/posts/announcing-vite-plus-1-0) - [Vite+ dokumentáció: első lépések](https://viteplus.dev/guide/) - [Vite+ dokumentáció: migrációs útmutató](https://viteplus.dev/guide/migrate) - [VoidZero: az eredeti Vite+-bejelentés és a licenszváltozás](https://voidzero.dev/posts/announcing-vite-plus) - [VoidZero: csatlakozás a Cloudflare-hez](https://voidzero.dev/posts/voidzero-cloudflare) - [Laravel News: a Laravel starter kitek már Vite+-szal jönnek](https://laravel-news.com/laravel-starter-kits-vite-plus) - [InfoQ: 1.0-s verzióhoz ért a Vite+](https://www.infoq.com/news/2026/10/cloudflare-viteplus-stable/) - [Oxc: linter-benchmark](https://github.com/oxc-project/bench-linter) és [formázó-benchmark](https://github.com/oxc-project/bench-formatter) ## Az AI megírja, a kód ellenőrzi: esettanulmány egy WooCommerce-appról URL: https://pappfer.hu/hu/blog/llm-guardrails-woocommerce/ Published: 2026-10-23 Last modified: 2026-10-24 A [TiaDor Stúdió](https://tiador.hu/) a feleségem debreceni kreatív stúdiója: festős workshopokat és gyerekprogramokat árul WooCommerce-termékként. Korábban minden eseményt kézzel kellett összerakni a WordPress adminban: cím, leírás, dátum, ár, helyek száma, SEO-cím, meta leírás, slug, kép. Most a telefonján csinálja egy kis appban, amit én írtam: bemásolja a szöveget, amit amúgy is megírt a Facebookra, hozzáteszi a plakátot, a többit pedig kitölti egy nyelvi modell. Abban nincs semmi különös, hogy egy LLM kitölti a SEO-mezőket, ezt bárki összerakja egy délután alatt. Az érdekesebb az, ami élesben elromlott. Szinte minden javításnál ugyanaz történt: elvettem egy feladatot a modelltől, és megírtam sima Pythonban. ### Mit csinál az app? A technológia szándékosan unalmas: Vue 3 PWA a Cloudflare Pagesen, [FastAPI](/hu/python-fejleszto/) backend Dockerben egy VPS-en, adatbázis nincs. A backend csak közvetít a WordPress és a WooCommerce REST API felé, saját adatot nem tárol: minden a webshopban van. Egy esemény feltöltése két lépésből áll, és ez a szétválasztás a projekt legfontosabb döntése: 1. Kitölti a minimumot (fotó, név, leírás, dátum, ár), és megnyomja az „AI generálás ✨” gombot. A backend elküldi a modellnek a szöveget és az 1280 pixelesre kicsinyített plakátot. Visszakapja a SEO-címet, a meta leírást, a rövid leírást, a slugot, a kategóriákat, a címkéket, és ha a szövegben vagy a plakáton talált, a dátumot és az időtartamot. 2. Minden generált értéket átírhat. A WordPressbe csak akkor kerül fel bármi, amikor a „Közzététel” vagy a „Feltöltés piszkozatként” gombra bök: ekkor az app átméretezi és feltölti a képet, és létrehozza a terméket a Yoast- és ACF-mezőkkel együtt. [Image: Az ellenőrző lépés: az „AI által kitöltve” rész minden mezője átírható, mielőtt bármi felkerülne.](https://pappfer.hu/img/blog/llm-guardrails-woocommerce-review.webp) Ha a modell épp nem érhető el, az űrlap akkor is működik, a SEO-mezőket kézzel is ki lehet tölteni. Az az AI-funkció, ami miatt egy kisvállalkozás nem tud publikálni, többet árt, mint amennyit használ. ### Hat feladat, amit a kód vett vissza Mindegyik hiba legalább egyszer élesben is megjelent, mielőtt kijavítottam. Valójában ez az esettanulmány lényege. **1. Slug.** A prompt azt kérte a modelltől, hogy írjon ékezet nélküli magyar slugot. Szeptemberben a „Gyertyadíszítő” szóból `gyertyadisito` lett, elveszett egy „z”, és ez az URL élesbe került, meg is osztották. Az ékezetek eltávolítása egyértelmű, gépiesen megoldható feladat, nem kell hozzá nyelvi modell. A slug elejét most egy rövid függvény állítja elő a végleges címből. (Az `ő`-höz és az `ű`-höz külön cseretábla kell, mert az `é`-vel ellentétben Unicode NFKD-vel nem bonthatók szét.) A modell slugjából már csak a dátumos végét használom. **2. Címkék.** A modell néhány hetente kitalálta egy meglévő címke új írásmódját: `oszi-szunet` mellé `osziszunet`, `korvaszon` mellé `korvazszon`. Mindegyikből egy szinte üres címkeoldal lett. Két lépésben javítottam. A prompt most megkapja az oldal 60 leggyakoribb címkéjét, mentés előtt pedig minden címkét összepárosítok egy meglévővel: előbb ékezet, kisbetű-nagybetű és kötőjel nélküli kulcs alapján, elírásnál `difflib`-bel, 0,88-as küszöbbel. Új címke csak akkor jön létre, ha tényleg új. **3. Kategóriák.** Nem volt elég felsorolni őket a promptban, a modell így is visszaadott nem létező slugokat. Most az OpenAI szigorú structured outputs módját használom: maga a JSON-séma csak a webshop valódi kategóriáit engedi meg a `category_slugs` mezőben (`enum`), és ezt a listát minden kérésnél frissen állítom össze. A modell akkor sem tud nem létező kategóriát visszaadni, ha akarna. **4. Rossz cím.** Ez volt a legkínosabb. Néhány élő eseménynél a helyszínnél egy másik cég utcacíme szerepelt. A lemásolt események egy régi piszkozatból örökölték, ami még azelőtt készült, hogy a prompt megkapta volna a stúdió valódi címét. A prompt kijavítása a már elmentett adatokon nem segít, ezért most minden mentéskor lefut egy ellenőrzés: ha a helyszínnél nem az esemény saját címe áll, a kód kicseréli a helyesre. **5. A hét napjai.** Ha egy eseményt új időpontra másolunk le, az „október 25-én, szombaton” típusú mondatokat át kell írni, a számtól függő ragokkal együtt. Ezt szándékosan a modellnél hagytam: a valódi leírásokban van „szeptember 13-i” és „Október 29-30.” is, egy reguláris kifejezés ezek egy részét szó nélkül kihagyná. A hét napját viszont a kód számolja ki, és készen adja át a modellnek. Utána a kód átnézi az átírt szöveget, és ha maradt benne régi dátum, figyelmeztetést mutat egy „szerkesztés” gombbal, és nem menti el szó nélkül. **6. Formázás.** A Facebookról bemásolt szövegben minden bekezdés egyetlen sor, tele van láthatatlan, nulla szélességű szóközökkel, és a WordPress az egészet egyetlen, ``-ekkel teli tömbként jelenítette meg. Kérhettem volna a modelltől, hogy „formázza meg szépen”. Nem tettem, mert ha a modell átírhatja a szöveget, át is fogja írni. Ehelyett egy szabályalapú formázó alakítja HTML-lé a címkés sorokat, a listákat és az alcímeket, és egyetlen szót sem ír át. Mielőtt az élő eseményeken lefuttattam, 14 valódi leíráson ellenőriztem. ### Miben jó a modell? Mindezek ellenére a munka nagyját továbbra is a modell végzi, és jól. A stúdió hangján írja meg a meta leírást és a rövid leírást, leolvassa a plakátról a dátumot és az időpontot (egy valódi napközis tábor plakátjáról helyesen olvasta le, hogy „8:00–16:00”), és kijavítja az elírásokat. A javításokat listában adja vissza („hibás → javított”), és az eredeti szövegben csak ezeket a cseréket hajtom végre, így a megfogalmazás az övé marad. [Image: A javítások listában jönnek vissza, és csak ezek a cserék kerülnek a szövegbe.](https://pappfer.hu/img/blog/llm-guardrails-woocommerce-corrections.webp) A modell kiválasztása kevesebbet számított, mint a korlátok. Ugyanazokon a valódi termékeken összehasonlítottam a `gpt-6-luna`-t és a `gpt-6.1-sol`-t: a kategória-enum mellett mindkettő ugyanazokat a helyes kategóriákat és dátumokat adta. A nagyobb modell másfél-kétszer hosszabb leírásokat írt, és kétszer is oda nem illő címkét tett hozzá, így maradt a kisebb. A backend az Anthropic API-ját is támogatja, a váltáshoz egyetlen környezeti változót kell átírni. ### A szabály, amit bármelyik LLM-projektbe vinnék Ha egy szabályt pontosan meg lehet fogalmazni, annak a kódban a helye: ékezetmentesítés, milyen címkék és kategóriák léteznek, melyik a helyes cím, milyen napra esik egy dátum. A modell azt kapja, amihez ítélőképesség és nyelvérzék kell. A kimenete átmegy egy sémán és néhány ellenőrzésen, és élesítés előtt egy ember is ránéz. A fenti hibák mindegyikéből regressziós teszt lett. A backendnek 53 tesztje van, és a dátummal jelölt esetek többsége olyan hiba, ami élesben is előfordult. Ebben semmi különleges nincs. A szokásos fejlesztői fegyelem, csak most egy olyan alkatrész körül, ami az esetek néhány százalékában magabiztosan téved. Pont itt térül meg igazán. ### Segítsek? Ha egy meglévő PHP-, WordPress- vagy Python-rendszerbe szeretnél nyelvi modellt építeni, és fontosabb, hogy unalmasan megbízható legyen, mint hogy egy demón látványos, akkor pont ilyen [AI-integrációval](/hu/ai-integracio/) foglalkozom. [Írd meg, min dolgozol](https://pappfer.hu/hu/#contact). --- **Források** - [OpenAI: Structured Outputs](https://platform.openai.com/docs/guides/structured-outputs) - [Python dokumentáció: difflib.get_close_matches](https://docs.python.org/3/library/difflib.html#difflib.get_close_matches) - [Python dokumentáció: unicodedata.normalize](https://docs.python.org/3/library/unicodedata.html#unicodedata.normalize) - [WooCommerce REST API dokumentáció: termékek](https://woocommerce.github.io/woocommerce-rest-api-docs/#products) ## PHP2Shell: azonnali teendők minden PHP-szerveren URL: https://pappfer.hu/hu/blog/php2shell/ Published: 2026-10-21 Last modified: 2026-10-23 **Frissítés, október 23.:** A PHP csapata egy harmadik hibára is figyelmeztetett (CVE-2026-115560), amit az október 21-i kiadások nem javítanak. Csak egy szokatlan beállításnál jön elő (részletek [lent](#ha-ma-nem-tudsz-frissiteni)), a PHP szerint valószínűtlen, és támadásról sem tudni. A következő rendes kiadásig egyetlen sor véd ellene, ami lehet, hogy már be is van állítva nálad: `session.upload_progress.enabled = 0`. Ha 21-én beállítottad, hagyd bent, akkor is, ha már frissítettél. Október 21-én a PHP fejlesztői soron kívüli javítást adtak ki két kritikus sebezhetőségre, a CVE-2026-109618-ra és a CVE-2026-109619-re. A két hibát összefoglalóan **PHP2Shell** néven emlegetik. Mindkettő lehetővé teheti, hogy a támadó bejelentkezés nélkül kódot futtasson a szerveren; a CVSS 4.0 szerinti értékelésük 9,2. A mod_php-hoz bemutatott támadás még az alkalmazáskód indulása előtt lefut, ezért egy WordPress-, Laravel- vagy bővítményfrissítés önmagában nem oldja meg a problémát. Magát a PHP-t kell javítani. Ez nem az a hiba, amely ráér a következő karbantartási ablakig. A részletek már a hivatalos kiadás előtt kiszivárogtak, nyilvános exploitkód kering, a Cloudflare támadási forgalmat észlelt, az európai kiberbiztonsági szervezetek pedig a javítások telepítésére szólítanak fel, az internet felől elérhető rendszerekkel kezdve. A Cloudflare WAF-szabályai hasznos plusz védelmet adnak, de a PHP frissítését nem váltják ki. Ha a céged weboldala vagy webalkalmazása Laravelen, Symfonyn, WordPressen, Drupalon, Magentón vagy bármilyen más PHP-alapú rendszeren fut, ez a mai teendőlistád. ### Röviden 1. Frissítsd a PHP-t **8.5.12, 8.4.27, 8.3.36 vagy 8.2.35** verzióra, vagy a Linux-disztribúciód javított csomagjára. 2. **Indítsd újra** a PHP-FPM-et vagy az Apache-ot, hogy tényleg a javított verzió szolgálja ki a kéréseket. 3. Állítsd be a `session.upload_progress.enabled = 0` sort, és hagyd bent a PHP következő rendes kiadásáig, akár frissítettél, akár nem. 4. Nézd át a naplókat és a futó folyamatokat is: a frissítés nem tesz semmissé egy korábbi betörést. 5. PHP 8.1-en vagy régebbin vagy? Olvasd el az utolsó részt, mert neked nagyobb a gondod. ### Érintett vagy? Ha sérülékeny PHP-verzió szolgálja ki a webes kéréseket, kezeld érintettként a rendszert addig, amíg a pontos csomagot és konfigurációt nem ellenőrizted. A figyelmeztetés kiterjed a PHP-FPM-re, az Apache mod_php-ra, a php-cgi-re, a FrankenPHP-ra és a LiteSpeedre. A PHP csapata a **mod_php**-nál tartja a legnagyobbnak a kockázatot: a bemutatott támadáshoz ott egyetlen, bejelentkezés nélküli kérés is elég. Ellenőrzéskor két dolgon szoktak elcsúszni: **A parancssor félrevezethet.** A `php -v` a parancssori PHP verzióját mutatja, ami nem feltétlenül az, amit a webszerver futtat. Azt a szolgáltatást nézd meg, amelyik ténylegesen a kéréseket kezeli: ```bash systemctl list-units 'php*-fpm*' # milyen FPM-verziók futnak php-fpm8.3 -v # a saját verzióddal ``` **A disztribúció verziószámai nem fognak egyezni.** Az Ubuntu, a Debian és a Red Hat a saját csomagjaiba építi be a biztonsági javításokat, így egy már javított szerver is kiírhatja például, hogy `8.3.6`. Ne a számokat hasonlítsd össze, hanem keresd meg a CVE-t a csomag változásnaplójában: ```bash # Debian / Ubuntu apt changelog php8.3-fpm | grep -E 'CVE-2026-10961(8|9)' # RHEL / Alma / Rocky rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961(8|9)' ``` Mindkét CVE-hez kell megerősítés. A changelog átnézése jó első ellenőrzés, de nem mindenhol döntő bizonyíték: a tárolók eltérően vezetik a változásnaplót, néhol pedig a CVE-azonosító sem kerül bele. Ha bármelyik hiányzik, vesd össze a telepített csomag pontos verzióját a disztribúció biztonsági közleményével. Az Ubuntu például minden támogatott kiadáshoz külön megadja a már javított csomagverziót. ### Hogyan frissíts? **Saját VPS (Ubuntu vagy Debian, akkor is, ha Forge vagy Ploi kezeli)** ```bash sudo apt update && sudo apt upgrade sudo systemctl restart php8.3-fpm # minden futó FPM-verziót indíts újra sudo systemctl restart apache2 # ha mod_php-t használsz ``` **Docker.** A hivatalos `php` image-eket a javítással újraépítették. A te image-ed viszont csak akkor frissül, ha te is újraépíted: ```bash docker build --pull --no-cache -t your-app . docker run --rm your-app php -v ``` Utána telepítsd újra. Ha digest alapján rögzíted az alap image-et, előbb azt frissítsd. **Megosztott tárhely.** Itthon a legtöbb kisebb céges oldal ilyen tárhelyen fut. A frissítést nem te végzed el, de a kockázat a tiéd. Írj a tárhelyszolgáltatódnak: *„Telepítettétek már a CVE-2026-109618 és CVE-2026-109619 javítását azon a szerveren, ahol az oldalam fut?”* Amíg nem kapsz egyértelmű igent, ne tekintsd lezártnak. **Serverless és PaaS.** Válts a szolgáltatód javított futtatókörnyezetére, amint elérhető, és telepítsd újra az alkalmazást. ### Frissítés után keress behatolásra utaló nyomokat A frissítés bezárja a hibát, de nem mondja meg, hogy valaki megelőzött-e. Nézd át legalább a nyilvános bejelentést megelőző óráktól kezdve a webszerver, a PHP, a hitelesítési rendszer és a végpontvédelem naplóit. Gyanús lehet a PHP vagy a webszerver által indított szokatlan folyamat, egy ismeretlen fájl, felhasználó vagy időzített feladat, illetve olyan kimenő kapcsolat, amelyet az alkalmazás normálisan nem kezdeményez. Ha találsz valamit, előbb őrizd meg a naplókat és válaszd le a gépet a hálózatról. A weboldal fájljainak visszamásolása nem elég, ha a támadó megszerezte a PHP worker jogosultságait vagy hozzáfért az alkalmazás titkaihoz. A jelszavakat és API-kulcsokat tiszta gépről cseréld le; ha lehet, a szervert megbízható image-ből építsd újra. ### Ha ma nem tudsz frissíteni A PHP csapata ideiglenes védekezést is javasol, ha néhány óra vagy nap kell a frissítésig. Ezek egyes támadási útvonalakat zárnak le, de **nem tesznek biztonságossá**. Tekintsd őket átmeneti megoldásnak a frissítésig, ne helyette. ```ini ; php.ini-be vagy a szerverkonfigurációba. A .user.ini és az ini_set() NEM jó: ; túl későn lépnek életbe. session.upload_progress.enabled = 0 post_max_size = 8M ; 32M, ha az alkalmazásnak kell fájlfeltöltés upload_max_filesize = 6M ; maradjon a post_max_size alatt memory_limit = -1 ; előbb olvasd el a lenti megjegyzést fatal_error_backtraces = 0 ; csak PHP 8.5 ``` FPM-poolban így add meg az egyes beállításokat: `php_admin_value[session.upload_progress.enabled] = 0`. Így az alkalmazás nem tudja felülírni őket. Utána indíts újra minden workert. **Az első sort frissítés után is hagyd bent.** Október 23-án a PHP egy újabb közleményt adott ki a CVE-2026-115560-ról, amit a sürgősségi kiadások nem javítanak. Ehhez az kell, hogy az alkalmazás a konfigurációban `php_binary`-re vagy `php_serialize`-ra állítsa a `session.serialize_handler`-t, majd a `session_start()` előtt `ini_set()`-tel visszaváltsa `php`-ra, és közben a session upload progress funkció is be legyen kapcsolva. Ez ritka, de nem kell minden alkalmazást átnézned ahhoz, hogy biztonságban légy: a `session.upload_progress.enabled = 0` ezt is lezárja, a javítás pedig a következő rendes kiadásban jön. Ha kíváncsi vagy, hogy valamelyik alkalmazásod csinál-e ilyet, keress rá a kódban: ```bash grep -rn 'serialize_handler' --include='*.php' . ``` **A `memory_limit = -1`-ről:** furcsán hangzik, és valóban kompromisszum. Megszünteti azt a memórialimit-hibát, amelyre az egyik sebezhetőség épül, cserébe viszont egyetlen kérés felélheti az összes memóriát. Ezért párosítsd egy konténer- vagy cgroup-memórialimittel, amely csak a túlfutó workert állítja le. A figyelmeztetés kifejezetten óv attól, hogy erre `RLIMIT_AS`-t vagy `RLIMIT_DATA`-t használj, mert azok maguk is kiválthatják a sebezhető hibát. Korlátozd a kérések méretét a webszerveren vagy a proxyn is (Nginxben például `client_max_body_size 8m;`). Javítsd ki azokat a végzetes hibákat és időtúllépéseket is, amelyeket kívülről ki lehet váltani: a feltöltés- és importkezelőkben vagy a callbackekben. ### Régi PHP-verziót használsz? A PHP projekt a 7.4, 8.0 és 8.1 ágakat már nem támogatja, de ennél a hibánál kivételt tett: mindháromhoz kiadott minimális forráskód-visszaportolást. Erre építve a külső csomagkarbantartók is tudtak javított binárisokat készíteni. Ha Debianon a [Deb.Sury.org](https://deb.sury.org/) csomagjait, Ubuntun pedig az `ondrej/php` PPA-t használod, Ondřej Surý a javítást a régi PHP-ágak csomagjaiba is visszaportolta. Vagyis itt nem kell saját PHP-t fordítanod: frissíts a tárolóból, indítsd újra az összes érintett FPM-poolt vagy Apache-ot, majd ellenőrizd a **telepített csomag** verzióját és változásnaplóját. Attól, hogy a tárolóban már megjelent a javítás, a szervered még nem frissül automatikusan. A tükrök is késhetnek: a kiadás napján a Launchpad PPA néhány ágnál még javítatlan csomagot adott. Az `apt-cache policy php8.3-fpm` paranccsal (a saját verzióddal) nézd meg, hogy a telepítésre jelölt verzió már a javított-e. Ez a két CVE-t kezeli, de nem teszi újra támogatottá a PHP 7.4-et, 8.0-t vagy 8.1-et. Más ismert és később felfedezett hibák javítása továbbra sem garantált, ezért a verzióváltást érdemes külön feladatként betervezni. A reális lehetőségeid: - **Frissíts a csomagforrásodból.** Az Ubuntu (20.04-en és régebbin az Ubuntu Pro kiterjesztett biztonsági támogatásával), a Deb.Sury/`ondrej/php` és egyes LTS-szolgáltatók már régi PHP-ágakhoz is adnak javított csomagokat. Ellenőrizd a fenti changelog-paranccsal és a szolgáltató közleményével is. - **Állítsd be ma az ideiglenes védekezést**, de csak átmeneti megoldásnak tekintsd. - **Válts jelenleg támogatott PHP-ágra.** Hogy ez mennyi idő, az alkalmazástól és a függőségeitől függ. Egy karbantartott Laravel-projekt gyorsan mozdulhat; egy régi egyedi rendszert előbb fel kell mérni és tesztelni, csak utána lehet felelősen becsülni. Ha eddig halogattad ezt a frissítést, ez a hét megmutatta, hogy a halogatásnak ára van. ### A valódi tanulság Egy biztonsági javítás csak attól kezdve véd, hogy telepítetted, és a kiadás meg a telepítés között eltelt minden óra nyitott ajtó. Ezek után érdemes világos választ adni három kérdésre: - Tudod, melyik szervereden milyen PHP-verzió fut? - Tudod egy órán belül frissíteni és újraindítani az éles rendszert úgy, hogy közben nem kell visszatartanod a lélegzeted? - Van valaki, akinek ténylegesen ez a dolga, amikor egy ilyen figyelmeztetés megjelenik? Ha bármelyikre az a válasz, hogy „nem igazán”, ezt még a következő figyelmeztetés előtt rendezd. Mert lesz következő. ### Segítsek? Papp Ferenc vagyok, debreceni szabadúszó full-stack fejlesztő. Több mint 15 éve építek és tartok karban PHP- és Laravel-alkalmazásokat, magyar, európai és amerikai ügyfeleknek. Ha még ma át kell nézni és frissíteni egy szervert, vagy egy régi PHP-alkalmazást kell támogatott verzióra hozni, [keress meg](https://pappfer.hu/hu/#contact). --- **Források** - [php.net: hivatalos biztonsági közlemény](https://www.php.net/archive/2026.php#2026-10-21-5) - [php.net: tájékoztató közlemény a session upload progressről (CVE-2026-115560)](https://www.php.net/archive/2026.php#2026-10-23-1) - [ENISA: közös közlemény a kritikus PHP-hibákról](https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities) - [Ubuntu: javított csomagverziók és frissítési útmutató](https://ubuntu.com/blog/php2shell-vulnerability-fixes-available) - [Cloudflare: WAF-védelem és észlelt támadási forgalom](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/) - [Sansec: PHP2Shell-elemzés és nyilvános exploit](https://sansec.io/research/php2shell) - [deb.sury.org: egyeztetés a backportokról a kiadás napján](https://codeberg.org/oerdnj/deb.sury.org/issues/145) - [Tenable: PHP2Shell GYIK](https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote) - [watchTowr: kihasználási kísérletek](https://watchtowr.com/intelligence/php-remote-code-execution-php2shell/) - [Huntress: gyorsreagálású elemzés](https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities) - [Computer Weekly: kritikus PHP-hibák weboldalak millióit veszélyeztetik](https://www.computerweekly.com/news/366652446/Critical-PHP-flaws-puts-millions-of-websites-at-risk-of-takeover) --- # German (de) ## Ferenc Papp — Senior Full-Stack- & KI-Entwickler | Debrecen URL: https://pappfer.hu/de/ Last modified: 2026-10-23 Senior Full-Stack Entwickler & AI Solutions Engineer. Skalierbare Web-Apps mit Laravel, Vue.js & Python sowie produktionsreife generative KI- und LLM-Integrationen. ### Ferenc Papp — Senior Full-Stack Entwickler & AI Solutions Engineer Ich entwickle skalierbare Web-Ökosysteme und produktionsreife KI-Integrationen. Seit Oktober 2024 arbeite ich dediziert mit DataExpert und der Schwesterfirma Rubiklab an Vorzeigeprojekten — und verbinde Full-Stack-Engineering (Laravel, Vue.js, Python) mit angewandter generativer KI und Large Language Models. Availability: Offen für ausgewählte Freelance- & Beratungsprojekte ### Wer ich bin Ich bin Senior Full-Stack-Entwickler und AI Solutions Engineer aus Debrecen, Ungarn, mit über 15 Jahren Berufserfahrung. Ich entwerfe robuste, skalierbare Webanwendungen und entwickle produktionsreife generative KI-Systeme — und verbinde dabei klassische Full-Stack-Entwicklung mit den neuesten LLM-Technologien. Seit Oktober 2024 arbeite ich dediziert für eine eng verbundene Unternehmensgruppe: DataExpert (Muttergesellschaft) und Rubiklab (Schwesterfirma). Bei DataExpert konzipiere und entwickle ich skalierbare, leistungsstarke Progressive Web Apps mit Laravel-Backend und Vue.js-Frontend, gestützt auf Python-Skripte und Microservices. Bei Rubiklab arbeite ich als Senior AI Solutions Engineer an generativen KI-Integrationen und Forschung & Entwicklung — einschließlich ihres hauseigenen Produkts LabIQ. Meine Schwerpunkte sind das Fine-Tuning und Benchmarking von Large Language Models, semantische Suche mit Vektordatenbanken und Embeddings, LLM-basierte Mehrklassen-Klassifikation sowie das Tuning generativer KI-Hyperparameter (Temperature, Top-k/Top-p) für zuverlässiges, deterministisches Verhalten. ### Leistungen - **Skalierbare Web-Ökosysteme**: Leistungsstarke Webanwendungen und Progressive Web Apps. Laravel-Backend, Vue.js-Frontend, Python-Skripte und Microservices. Saubere Architektur, getesteter Code, auf Skalierung ausgelegt. - **Produktionsreife KI-Integrationen**: LLM-gestützte Funktionen, die in Produktion gehen — keine Demos. RAG-Pipelines, semantische Suche, Vektordatenbanken, Embeddings und agentische Workflows — zuverlässig und in echte Produkt-Workflows integriert. - **Generative KI — Forschung & Entwicklung**: LLM-Fine-Tuning und Benchmarking, Embeddings-basierte Suche, LLM-gesteuerte Mehrklassen-Klassifikation und Hyperparameter-Optimierung (Temperature, Top-k/Top-p) für deterministische, reproduzierbare Ergebnisse. - **Technische Beratung & Partnerschaften**: Architektur-Reviews, KI-Strategie, Technologieauswahl und Leistungsoptimierung — für fokussierte Engagements neben meinen aktuellen Verpflichtungen. ### Tech Stack - **KI & LLM**: LLM-Integration, LLM-Fine-Tuning & Evaluierung, Semantische Suche, Vektordatenbanken, Embeddings, Mehrklassen-Klassifikation, RAG-Pipelines, Hyperparameter-Tuning, Agentische Workflows, OpenAI API, Anthropic API, LangChain - **Backend**: PHP, Laravel, Symfony, Yii2, Python, FastAPI, MySQL, PostgreSQL, MongoDB, Redis - **Frontend**: Vue.js, React, Next.js, JavaScript, TypeScript, Svelte, HTML5/CSS3, Tailwind CSS, PWA - **DevOps & Tools**: Linux, Docker, Git, CI/CD, AWS, Nginx, Deployer - **Mobil & PWA**: Progressive Web Apps, Offline-First, React Native, Ionic ### Erfahrung - **2024 – Heute — DataExpert — Senior Full-Stack Developer**: Konzeption und Entwicklung skalierbarer, leistungsstarker Progressive Web Apps für Vorzeigeprojekte. Laravel-Backend, Vue.js-Frontend, Python-Skripte und Microservices. - **2024 – Heute — Rubiklab — Senior AI Solutions Engineer**: Generative KI-Integrationen und Forschung & Entwicklung, einschließlich des hauseigenen Produkts LabIQ. LLM-Fine-Tuning und Benchmarking, semantische Suche mit Vektordatenbanken und Embeddings, LLM-basierte Mehrklassen-Klassifikation sowie Hyperparameter-Optimierung (Temperature, Top-k/Top-p) für deterministische Ergebnisse. - **2017 – Heute — Selbstständig (Einzelunternehmer) — Full-Stack Entwickler & Technischer Berater**: Meine selbstständige Tätigkeit als Einzelunternehmer: maßgeschneiderte Webanwendungen und KI-Integrationen — LLM-gestützte Funktionen, RAG-Pipelines und Vektorsuche — sowie Umfragesysteme für Marktforschungskunden in der EU und den USA. - **2015 – 2017 — Fathom Minds — Senior PHP Entwickler**: Leitung der Webanwendungs- und API-Entwicklung mit Yii2. Aufbau der Git-Infrastruktur für das Entwicklungsteam. - **2014 – 2015 — Oktafone — Frontend Entwickler**: Startup-Webanwendungsentwicklung mit AngularJS, JavaScript, HTML5 und CSS3. - **2011 – 2014 — Freiberufler (pappfer.hu) — PHP Entwickler**: Websites für Privatpersonen und Unternehmen mit PHP, Yii, Laravel und WordPress. Facebook-, LinkedIn-, Box.com- und Stripe-Integrationen. - **2011 — British Telecom — Service Desk Analyst 2nd Line**: Konfiguration von Netzwerkgeräten (Router, Switches) für den globalen Netzwerksupport. Englischsprachige Kommunikation mit Kunden weltweit. - **2010 – 2011 — IT Services Hungary — Contact Center Server Administrator**: Linux- und Windows-Serveradministration, Avaya IP-Telefonverwaltung. Mitentwicklung eines PHP-Automatisierungstools mit über 3 Stunden täglicher Zeitersparnis — Innovationspreis. - **2009 – 2010 — Concept Solutions — PHP Entwickler**: Remote PHP-Entwicklung. Wartung und Verbesserung bestehender Codebasen, Erfahrung mit verschiedenen Architekturen und Implementierungsmustern. ### Referenzen - "Zuverlässig und schnell. Wir arbeiten seit Jahren mit ihm zusammen. Er hat mehrere unserer Websites von Grund auf erstellt. Ich kann ihn nur empfehlen." — Mészáros Tibor, Sentonard Media - "Exzellenter Entwickler und sehr einfach in der Zusammenarbeit. Hervorragende Kenntnisse von PHP-Frameworks, ausgezeichnetes Englisch, sehr guter Kommunikator und sehr zuverlässig." — Phil Guegan, CEO & Gründer, Infogems - "Ferenc ist ein sehr talentierter Entwickler. Er hat schnell verstanden, was gebraucht wurde, und alles (und mehr) geliefert, was ich erwartet habe. Ich würde gerne wieder mit ihm arbeiten." — DanD, Kunde via Upwork ### Häufig gestellte Fragen **Für welche Art von Engagements stehen Sie derzeit zur Verfügung?** Mein Hauptfokus liegt auf Vorzeigeprojekten mit DataExpert und Rubiklab, daneben übernehme ich in begrenztem Umfang auch freiberufliche und beratende Aufträge — Webanwendungen, KI-Integrationen und technische Beratung. Schreiben Sie mir zu Ihrem Projekt, ich sage Ihnen, ob es passt. **Was bedeutet für Sie eine produktionsreife KI-Integration?** Keine Demo. Es bedeutet LLM-gestützte Funktionen, die zuverlässig, beobachtbar, kostenbewusst und dort deterministisch sind, wo es zählt — aufgebaut auf soliden RAG-, Semantik-Such- und Vektordatenbank-Grundlagen und in echte Produkt-Workflows integriert. **Bieten Sie LLM-Fine-Tuning und Evaluierung an?** Ja. Ich optimiere und benchmarke Large Language Models, entwerfe LLM-basierte Mehrklassen-Klassifikationssysteme und baue Evaluierungs-Pipelines, um Modelle für eine bestimmte Aufgabe objektiv zu vergleichen. **Wie machen Sie generative KI-Ausgaben zuverlässig und deterministisch?** Durch das Tuning von Hyperparametern wie Temperature und Top-k/Top-p, das Strukturieren und Einschränken von Ausgaben, das Verankern von Antworten per Retrieval sowie Evaluierung und Leitplanken — so liefert dieselbe Eingabe verlässliche, reproduzierbare Ergebnisse. **Was ist Ihr zentraler Technologie-Stack?** Laravel, Symfony und Yii2 im Backend; Vue.js und React im Frontend; Python und FastAPI für KI-Services. Im KI-Bereich: LLM-Integration und Fine-Tuning, Embeddings, semantische Suche, Vektordatenbanken und RAG-Pipelines. **Arbeiten Sie mit internationalen Kunden?** Ja. Ich arbeite remote mit Teams in der gesamten EU und den USA und kommuniziere fließend auf Englisch und Ungarisch über Zeitzonen hinweg. ### Kontakt aufnehmen Sie bauen etwas Ambitioniertes im Web- oder KI-Bereich? Lassen Sie uns sprechen. - E-Mail: pappfer@pappfer.hu - Standort: Debrecen, Ungarn - Antwortzeit: Innerhalb von 1–2 Werktagen ## Laravel Entwickler URL: https://pappfer.hu/de/laravel-entwickler/ Last modified: 2026-10-24 Ich bin Ferenc Papp, Senior Full-Stack-Entwickler mit über 15 Jahren Erfahrung und Laravel als bevorzugtem Backend. Ich entwerfe und entwickle skalierbare, gut getestete Laravel-Anwendungen — von APIs und Multi-Tenant-SaaS-Plattformen bis zum Backend leistungsstarker Progressive Web Apps. Ich übernehme die volle Verantwortung: Architektur, Datenbankdesign, Queues und Jobs, Drittanbieter-Integrationen, Tests und Deployment. Ob neues Produkt oder erfahrene Verstärkung für eine bestehende Laravel-Codebasis — ich liefere sauberen, wartbaren und skalierbaren Code. ### Was ich mit Laravel baue - REST- und JSON-APIs für Web- und Mobile-Clients - Multi-Tenant-SaaS-Plattformen und Admin-Panels - Skalierbare Backends für Progressive Web Apps (mit Vue.js) - Zahlungs-, CRM- und Drittanbieter-API-Integrationen - Queues, geplante und Hintergrund-Jobs - KI- / LLM-Funktionen in Laravel-Apps integriert ### Warum mit mir arbeiten Ich habe Laravel-Systeme von MVPs bis zu Multi-Tenant-SaaS konzipiert und ausgeliefert — Sie erhalten also fundierte Senior-Entscheidungen bei den schwierigen Teilen (Datenmodellierung, Performance, Queues, Security), nicht nur funktionierenden Code. Ich verantworte die Arbeit von Anfang bis Ende, getestet und wartbar. ### Häufig gestellte Fragen — Laravel Entwickler **Arbeiten Sie an bestehenden Laravel-Projekten?** Ja — ich steige regelmäßig in bestehende Codebasen ein: neue Features, Performance, Testabdeckung oder Aufräumen von Legacy-Code. **Welche Laravel-Tools nutzen Sie?** Modernes Laravel: Eloquent, Queues, Horizon, Sanctum/Passport, Pest/PHPUnit und CI/CD. Bei Bedarf auch Symfony und Yii2. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## Vue.js Entwickler URL: https://pappfer.hu/de/vuejs-entwickler/ Last modified: 2026-10-24 Ich entwickle schnelle, wartbare Frontends mit Vue.js — von interaktiven Dashboards und SaaS-Oberflächen bis zu installierbaren, offlinefähigen Progressive Web Apps. Als Full-Stack-Entwickler verbinde ich das Frontend durchgängig mit robusten Laravel- oder Python-Backends. Komponentenarchitektur, State-Management, Performance, Barrierefreiheit und saubere APIs zwischen Front- und Backend — ich decke das Gesamtbild ab. Das Ergebnis ist eine schnell ladende, skalierbare und wartbare Oberfläche. ### Was ich mit Vue.js baue - Single-Page-Apps, Dashboards und SaaS-Oberflächen - Installierbare, Offline-First Progressive Web Apps (PWA) - Komponentenbibliotheken und Design-System-Umsetzung - Frontends, angebunden an Laravel- / FastAPI-Backends - Performance- und Core-Web-Vitals-Optimierung - KI-gestützte UI-Funktionen (Chat, Suche, Assistenten) ### Warum mit mir arbeiten Full-Stack-Perspektive: Ich verstehe das Vue-Frontend und das Backend dahinter, daher sind Integrationen sauber und ohne Schuldzuweisungen. Über 15 Jahre produktive Softwareentwicklung, klare Kommunikation auf Englisch und Ungarisch. ### Häufig gestellte Fragen — Vue.js Entwickler **Machen Sie auch das Backend?** Ja — ich bin Full-Stack. Ich liefere das Vue.js-Frontend und das Laravel- oder Python-Backend zusammen, oder nur das Frontend, wenn Sie ein Backend-Team haben. **Vue 2 oder Vue 3?** Vue 3 mit Composition API und modernem Tooling (Vite, Pinia). Bestehende Vue-2-Apps pflege oder migriere ich ebenfalls. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## React Entwickler URL: https://pappfer.hu/de/react-entwickler/ Last modified: 2026-10-24 Ich entwickle moderne Frontends mit React — Next.js-Webanwendungen und React-Native-Mobile-Apps. Senior Full-Stack-Entwickler mit über 15 Jahren Erfahrung, der das Frontend an robuste Laravel- oder Python-Backends anbindet. Von serverseitig gerenderten Next.js-Seiten und SPAs bis zu plattformübergreifenden React-Native-Apps liefere ich saubere Komponentenarchitektur, solides State-Management und gute Performance. Ein Entwickler, der ein React-Produkt vom Web bis zum Mobile bringt und mit dem Backend verbindet. ### Was ich mit React baue - React-Single-Page-Apps und Dashboards - Next.js-Web-Apps (SSR / SSG) mit guten Core Web Vitals - React-Native-Cross-Platform-Mobile-Apps - Komponentenbibliotheken und Design-Systeme - Frontends, angebunden an Laravel- / FastAPI-Backends - KI-gestützte UI-Funktionen (Chat, Suche, Assistenten) ### Warum mit mir arbeiten Full-Stack im React-Ökosystem und im Backend dahinter, sodass Web, Mobile und API synchron bleiben. Über 15 Jahre produktive Softwareentwicklung, durchgängig mit TypeScript, klare Kommunikation auf Englisch und Ungarisch. ### Häufig gestellte Fragen — React Entwickler **React, Next.js oder React Native?** Alle drei — React für SPAs, Next.js für serverseitig gerenderte Web-Apps und React Native für plattformübergreifendes Mobile. Ich wähle das Passende für Ihr Produkt. **Bauen Sie auch das Backend?** Ja — ich bin Full-Stack. Ich liefere das React-Frontend (oder die Mobile-App) und das Laravel- oder Python-Backend zusammen. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## KI- & LLM-Integration URL: https://pappfer.hu/de/ki-integration/ Last modified: 2026-10-23 Ich integriere Large Language Models in echte Produkte — keine Demos. RAG-Pipelines, semantische Suche mit Vektordatenbanken und Embeddings, LLM-basierte Klassifikation und die Engineering-Disziplin, die generative KI zuverlässig, beobachtbar und kostenbewusst macht. Ich arbeite in Python (FastAPI, LangChain, LangGraph) und binde KI-Funktionen in bestehende Web-Apps ein (Laravel, Vue.js). Ich tune Hyperparameter wie Temperature und Top-k/Top-p, untermauere Antworten per Retrieval und ergänze Evaluierung und Leitplanken, damit dieselbe Eingabe verlässliche, reproduzierbare Ergebnisse liefert. ### Was ich baue - RAG-Pipelines über Ihre Dokumente und Daten - Semantische Suche mit Vektordatenbanken und Embeddings - LLM-basierte Klassifikations- und Extraktionssysteme - Fine-Tuning, Benchmarking und Modellvergleich - Deterministische, evaluierte LLM-Funktionen (Temperature, Top-k/Top-p) - KI-Funktionen integriert in Laravel- / Vue-Apps und APIs ### Warum mit mir arbeiten Ich verbinde über 15 Jahre produktive Webentwicklung mit praktischer generativer KI-F&E (derzeit als Senior AI Solutions Engineer). Das bedeutet KI-Funktionen, die tatsächlich live gehen, sauber integrieren und im Produktivbetrieb bestehen — keine steckengebliebenen Proofs of Concept. ### Häufig gestellte Fragen — KI- & LLM-Integration **Welche Modelle und Tools nutzen Sie?** OpenAI- und Anthropic-APIs, LangChain / LangGraph, FastAPI und Vektordatenbanken wie Pinecone oder pgvector — passend zu Use-Case und Budget. **Können Sie KI in meine bestehende App integrieren?** Ja. Ich integriere LLM-Funktionen (Suche, Chat, Klassifikation, Automatisierung) in bestehende Laravel-, Vue.js- oder Python-Systeme samt nötigem Backend. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## KI-Suchmaschinenoptimierung URL: https://pappfer.hu/de/ki-suchmaschinenoptimierung/ Last modified: 2026-09-12 Immer mehr Menschen fragen einen Assistenten statt einer Suchmaschine — und der Assistent antwortet aus den wenigen Quellen, die er lesen, abrufen und als vertrauenswürdig einstufen konnte. Answer Engine Optimization (AEO), auch Generative Engine Optimization (GEO) genannt, ist die Arbeit, eine dieser Quellen zu werden. Das ist zuerst ein technisches und erst danach ein Marketing-Problem. KI-Systeme crawlen, zerlegen, embedden und bewerten Ihre Inhalte — entscheidend ist deshalb die maschinenlesbare Schicht unter dem Design: ein verbundener schema.org-Entitätsgraph, Abschnitte, die auch als einzelne Chunks verständlich bleiben, Fakten dort, wo ein Retrieval sie tatsächlich findet, und sauberer Zugang für die KI-Crawler selbst. ### Was ich mache - KI-Sichtbarkeits-Audit: Was Assistenten heute über Sie sagen — und die technischen Gründe dafür - schema.org-Entitätsgraph — Organization, Person, Service, FAQ und Breadcrumbs, über @id verknüpft - llms.txt und llms-full.txt, damit Assistenten Ihre Seite lesen statt sie zu scrapen - Abrufbare Inhaltsstruktur: chunk-sichere Abschnitte, Antwort zuerst, echte Ankerlinks - Crawler- und Indexierungs-Setup: eine korrekte robots.txt, IndexNow-Übermittlung, ehrliche Sitemap-Daten - Messung: Zitate und Assistenten-Traffic über die Zeit verfolgen ### Warum mit mir Ich baue genau die Systeme, die diese Antworten erzeugen. RAG-Pipelines, Embeddings, semantische Suche und LLM-Evaluation sind mein Tagesgeschäft als Senior AI Solutions Engineer — ich optimiere danach, wie Retrieval wirklich funktioniert, nicht nach einer Checkliste. Diese Website ist die Referenzimplementierung: llms.txt und llms-full.txt, ein verknüpfter JSON-LD-Graph, IndexNow-Übermittlung und Sitemap-Daten, die sich nur bei echten Inhaltsänderungen bewegen. ### Häufig gestellte Fragen — KI-Suchmaschinenoptimierung **Worin unterscheidet sich AEO von SEO?** Sie überschneiden sich, und keines ersetzt das andere. Klassisches SEO entscheidet, ob Sie ranken; AEO entscheidet, ob ein Assistent Sie lesen, einordnen und zitieren kann. Sauberes HTML, strukturierte Daten und schnelle Seiten dienen beidem — AEO ergänzt maschinenlesbare Zusammenfassungen, Entitätsverknüpfung und chunk-sichere Inhalte. **Garantieren Sie, dass ChatGPT mich empfiehlt?** Nein — und wer das garantiert, verkauft Ihnen etwas. In diesen Systemen gibt es keinen Ranking-Regler. Was ich tun kann: jeden technischen Grund beseitigen, aus dem ein Assistent Sie überspringt oder falsch versteht, und die Aussagen, die zitiert werden sollen, explizit, überprüfbar und leicht abrufbar machen. **Wie lange dauert es bis zur Wirkung?** Technische Änderungen werden in Tagen bis Wochen übernommen: IndexNow informiert Bing (die Basis von Copilot) innerhalb von Minuten, andere Crawler lesen nach eigenem Takt neu. Sichtbare Veränderungen in Assistenten-Antworten brauchen meist Wochen und hängen auch davon ab, wie viele bestätigende Informationen anderswo im Web über Sie existieren. **Was bekomme ich am Ende?** Eine funktionierende Implementierung in Ihrer Codebasis, kein PDF: den Entitätsgraphen, die llms.txt-Dateien, die Crawler-Konfiguration und die Inhaltsänderungen — dazu eine kurze schriftliche Begründung jeder Entscheidung, damit Ihr Team sie weiterpflegen kann. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## Python Entwickler URL: https://pappfer.hu/de/python-entwickler/ Last modified: 2026-10-23 Ich entwickle saubere, gut getestete Python-Services — FastAPI-APIs, Automatisierungsskripte, Datenpipelines und die Backends hinter KI/LLM-Funktionen. Senior Full-Stack-Entwickler mit über 15 Jahren Erfahrung. In Python baue ich KI und Microservices: FastAPI-Endpunkte, Background-Worker, Integrationen und LLM-Pipelines (LangChain, LangGraph). Ich verbinde sie sauber mit Web-Frontends und bestehenden Systemen, samt Tests und CI/CD. ### Was ich mit Python baue - FastAPI-Services und REST-APIs - KI- / LLM-Backends (RAG, Embeddings, Vektorsuche) - Automatisierungsskripte und Datenpipelines - Microservices und Systemintegrationen - Background-Worker und geplante Jobs - Python-Services, angebunden an Laravel- / Vue-Frontends ### Warum mit mir arbeiten Viele können in Python eine API aufrufen; weniger bauen auch das Webprodukt darum herum. Ich verbinde beides — so entstehen Ihre FastAPI-Services, KI-Pipelines und die App, die sie nutzt, gemeinsam und passen wirklich zusammen, mit Tests und CI/CD von Anfang an. ### Häufig gestellte Fragen — Python Entwickler **FastAPI oder Django?** Hauptsächlich FastAPI für Services und APIs — besonders rund um KI —, aber Django oder Flask sind möglich, wenn das Ihr Stack ist. **Bauen Sie Backend und Frontend?** Ja — ich bin Full-Stack. Ich liefere das Python- / FastAPI-Backend und das Vue.js- oder Laravel-Frontend durchgängig. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## Symfony Entwickler URL: https://pappfer.hu/de/symfony-entwickler/ Last modified: 2026-08-10 Senior PHP-Entwickler mit tiefer Symfony-Erfahrung. Ich entwickle robuste, gut strukturierte Symfony-Anwendungen und APIs und bin ebenso versiert darin, bestehende Enterprise-Codebasen zu modernisieren oder zu erweitern. Von Bundle-Architektur und Doctrine über Messenger-Queues, Security bis API Platform liefere ich wartbaren Symfony-Code mit automatisierten Tests und sauberen Integrationen. Bei Bedarf arbeite ich auch mit Laravel und Yii2. ### Was ich mit Symfony baue - REST- / API-Platform-Backends und Services - Enterprise-Webanwendungen und Admin-Tools - Doctrine-Datenmodellierung und Migrationen - Messenger-Queues und Hintergrundverarbeitung - Integration von Dritt- und Legacy-Systemen - Refactoring und Modernisierung bestehender Symfony-Apps ### Warum mit mir arbeiten Drei PHP-Frameworks im Produktiveinsatz (Symfony, Laravel, Yii2) bedeuten: Ich bin nicht dogmatisch — ich arbeite so, wie Ihr Team und Ihre Codebasis es bereits tun, und fühle mich in großen, langlebigen Enterprise-Systemen wohl, in denen Struktur und Stabilität am wichtigsten sind. ### Häufig gestellte Fragen — Symfony Entwickler **Arbeiten Sie an Legacy-Symfony-Projekten?** Ja — ich modernisiere, refaktoriere und erweitere bestehende Symfony-Anwendungen, inkl. Upgrades und höherer Testabdeckung. **Symfony oder Laravel?** Beides — ich wähle nach Ihren Anforderungen oder füge mich in den Stack Ihres Teams ein. Produktiv-Apps in Symfony, Laravel und Yii2. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## Yii2 Entwickler URL: https://pappfer.hu/de/yii2-entwickler/ Last modified: 2026-08-10 Senior PHP-Entwickler mit tiefer, praktischer Yii2-Erfahrung — APIs, Webanwendungen, Konsolenbefehle und geplante Aufgaben. Ich entwickle neue Yii-Apps und modernisiere oder erweitere bestehende. Ich habe produktive Yii2-Systeme ausgeliefert und Yii-basierte Entwicklung geleitet. Mit dem veröffentlichten Yii3 übernehme ich auch Yii3-Projekte — aufbauend auf jahrelanger Yii-Erfahrung. Bei Bedarf arbeite ich auch mit Laravel und Symfony. ### Was ich mit Yii baue - REST- und JSON-APIs mit Yii2 - Webanwendungen, Admin-Panels und Back-Office-Tools - Yii-Konsolenanwendungen und geplante Aufgaben - Dritt- und Zahlungsintegrationen - Wartung, Refactoring und Upgrade von Legacy-Yii-Apps - Yii3-Projekte, aufbauend auf tiefer Yii2-Erfahrung ### Warum mit mir arbeiten Viel meiner frühen Senior-Arbeit entstand in Yii — ich kenne seine Konventionen in- und auswendig. Über 15 Jahre produktives PHP mit Yii2, Laravel und Symfony, getesteter, wartbarer Code und klare Kommunikation auf Englisch und Ungarisch. ### Häufig gestellte Fragen — Yii2 Entwickler **Arbeiten Sie an Legacy-Yii2-Projekten?** Ja — Wartung, Erweiterung und Upgrade bestehender Yii2-Anwendungen sind ein Kernteil meiner Arbeit, inkl. höherer Testabdeckung und Aufräumen von Legacy-Code. **Machen Sie auch Yii3?** Ja. Ich habe tiefe Yii2-Erfahrung und übernehme Yii3-Projekte, indem ich dieselben Framework-Grundlagen auf die neue Version anwende. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## Freelance-Webentwickler in Debrecen URL: https://pappfer.hu/de/webentwickler-debrecen/ Last modified: 2026-08-10 Ich bin Ferenc Papp, freiberuflicher Senior Full-Stack-Webentwickler und ungarischer Einzelunternehmer mit Sitz in Debrecen. Mit über 15 Jahren Erfahrung entwickle ich individuelle Webanwendungen und KI-gestützte Funktionen für Unternehmen vor Ort sowie in der EU und den USA. Von Debrecen aus arbeite ich persönlich mit lokalen Unternehmen oder vollständig remote. Von der ersten Idee über Architektur und Entwicklung bis zum Launch übernehme ich Verantwortung und liefere sauberen, zuverlässigen, wartbaren Code. ### Womit ich helfen kann - Individuelle Webanwendungen und interne Tools - Moderne, schnelle, SEO-freundliche Websites - Laravel- / PHP-Backends und APIs - Vue.js- / React-Frontends und PWAs - KI- und LLM-Integration für Ihr Produkt - Technische Beratung und Code-Reviews ### Warum ein lokaler Senior-Entwickler Ein zuverlässiger Senior-Partner, den Sie tatsächlich treffen können — fließend in Ungarisch und Englisch, mit über 15 Jahren Produktionserfahrung. Klare Kommunikation, ehrliche Schätzungen und Code, der hält. ### Häufig gestellte Fragen — Freelance-Webentwickler in Debrecen **Arbeiten Sie nur mit Kunden in Debrecen?** Nein — ich bin in Debrecen ansässig und treffe lokale Unternehmen gern persönlich, arbeite aber remote mit Kunden in Ungarn, der EU und den USA. **Arbeiten Sie als Freelancer oder als Agentur?** Ich arbeite selbstständig als Freelancer und ungarischer Einzelunternehmer mit Sitz in Debrecen. Bei größeren Projekten arbeite ich bei Bedarf mit bewährten Spezialistenteams zusammen. **Nehmen Sie derzeit neue Projekte an?** Ich bin derzeit in langfristige Projekte eingebunden und nehme keine kleinen oder privaten Website-Aufträge an. Für anspruchsvolle individuelle Webanwendungen, KI-Integrationen und technische Beratung habe ich begrenzte Kapazitäten. Kontakt aufnehmen: https://pappfer.hu/de/#contact ## KI- & LLM-Glossar URL: https://pappfer.hu/de/ki-glossar/ Last modified: 2026-09-12 50 Begriffe, die auftauchen, sobald ein großes Sprachmodell in ein echtes Produkt geht — geschrieben von einem Entwickler, der diese Systeme produktiv bringt, nicht von einem Marketing-Team. ### LLM-Grundlagen **Großes Sprachmodell (LLM)** (https://pappfer.hu/de/ki-glossar/#llm) Ein neuronales Netz, das auf sehr großen Textmengen trainiert wurde, um das nächste Token vorherzusagen. Dieser eine Mechanismus genügt für Zusammenfassung, Übersetzung, Klassifikation und Code — bedeutet aber auch: Das Modell erzeugt plausible Fortsetzungen, keine geprüften Fakten. **Token** (https://pappfer.hu/de/ki-glossar/#token) Die Einheit, die ein LLM tatsächlich liest und schreibt: grob ein Wortteil, im Englischen etwa vier Zeichen, im Deutschen oder Ungarischen deutlich ineffizienter. Kontextgrenze, Latenz und Abrechnung zählen in Token, nicht in Wörtern. **Kontextfenster** (https://pappfer.hu/de/ki-glossar/#context-window) Die maximale Tokenzahl, die ein Modell gleichzeitig berücksichtigen kann — System-Prompt, Konversation, abgerufene Dokumente und die eigene Antwort zusammen. Wird sie überschritten, fällt der älteste Inhalt weg; deshalb vergessen lange Chats still und leise Anweisungen. **Prompt** (https://pappfer.hu/de/ki-glossar/#prompt) Alles, was für eine Anfrage an das Modell geht: Anweisungen, Beispiele, abgerufener Kontext und die Nutzerfrage. In Produktion ist ein Prompt kein cleverer Satz, sondern ein versioniertes, getestetes Artefakt — eine Änderung wirkt wie eine Codeänderung. **System-Prompt** (https://pappfer.hu/de/ki-glossar/#system-prompt) Die dauerhafte Anweisung, die jede Anfrage einer Konversation rahmt: Rolle, Ton, Regeln, Ausgabeformat. Sie wiegt schwerer als die Nutzernachricht und ist damit der natürliche Ort für Leitplanken — und ein häufiges Ziel von Prompt Injection. **Temperature (Temperatur)** (https://pappfer.hu/de/ki-glossar/#temperature) Ein Sampling-Parameter, der steuert, wie viel Zufall bei der Wahl des nächsten Tokens erlaubt ist. Nahe 0 ist die Ausgabe wiederholbar und konservativ — genau richtig für Extraktion und Klassifikation; höhere Werte erkaufen Vielfalt mit Verlässlichkeit. **Top-p- und Top-k-Sampling** (https://pappfer.hu/de/ki-glossar/#top-p) Zwei Wege, die Auswahl der möglichen Tokens einzugrenzen. Top-k behält die k wahrscheinlichsten Kandidaten, Top-p (Nucleus Sampling) die kleinste Menge, deren Wahrscheinlichkeiten p ergeben. Sie zu verengen stabilisiert die Ausgabe meist besser als Temperature allein. **Halluzination** (https://pappfer.hu/de/ki-glossar/#hallucination) Eine flüssige, selbstbewusste Antwort, die schlicht falsch ist — eine erfundene Quelle, API-Methode oder Zahl. Kein Bug, der sich patchen lässt, sondern eine Eigenschaft der Next-Token-Vorhersage: Man managt sie mit Retrieval, Grounding, Ausgabevalidierung und Evaluation. ### RAG und Retrieval **RAG (Retrieval-Augmented Generation)** (https://pappfer.hu/de/ki-glossar/#rag) Zuerst die relevanten Passagen aus den eigenen Daten abrufen, dann das Modell ausschließlich daraus antworten lassen. So bekommt ein LLM Zugriff auf private, aktuelle oder zu umfangreiche Inhalte — und die Antwort wird auf eine Quelle zurückführbar. **Embedding** (https://pappfer.hu/de/ki-glossar/#embedding) Ein Zahlenvektor, der die Bedeutung eines Textstücks abbildet — ähnliche Bedeutungen liegen nah beieinander. Embeddings ermöglichen semantische Suche, Clustering und Deduplizierung, ganz ohne Schlüsselwort-Treffer. **Vektordatenbank** (https://pappfer.hu/de/ki-glossar/#vector-database) Ein Speicher, der in Millisekunden die nächstgelegenen Vektoren zu einem Anfragevektor findet — pgvector, Qdrant, Pinecone. Bei moderaten Datenmengen genügt meist eine Postgres-Erweiterung; ein eigener Dienst lohnt sich erst bei großem Volumen. **Semantische Suche** (https://pappfer.hu/de/ki-glossar/#semantic-search) Suche nach Bedeutung statt nach Zeichenkette, auf Basis von Embeddings. Sie findet das richtige Dokument auch bei anderer Wortwahl — und genau deshalb kann eine exakte Artikelnummer schlechter treffen als bei klassischer Stichwortsuche. **Chunking** (https://pappfer.hu/de/ki-glossar/#chunking) Das Zerlegen von Dokumenten in abrufbare Stücke. Die am meisten unterschätzte Entscheidung in RAG: Chunks, die eine Tabelle von ihrer Kopfzeile oder eine Antwort von ihrer Frage trennen, ruinieren das Retrieval — unabhängig von der Modellqualität. **Reranking** (https://pappfer.hu/de/ki-glossar/#reranking) Ein zweiter Durchgang, der die gefundenen Kandidaten mit einem langsameren, genaueren Modell neu ordnet, bevor sie das LLM erreichen. Zwanzig abrufen, neu ranken, fünf behalten: meist die günstigste einzelne Qualitätsverbesserung in einem RAG-System. **Hybride Suche** (https://pappfer.hu/de/ki-glossar/#hybrid-search) Die Kombination aus Stichwortsuche (BM25) und Vektorsuche mit anschließender Zusammenführung beider Trefferlisten. Sie deckt die blinden Flecken beider Verfahren ab: exakte Bezeichner und seltene Wörter hier, Umschreibungen und Synonyme dort. **Grounding und Quellenangabe** (https://pappfer.hu/de/ki-glossar/#grounding) Die Vorgabe, dass das Modell ausschließlich aus den gelieferten Quellen antwortet und zu jeder Aussage die Passage nennt. Quellenangaben sind kein Schmuck: Sie machen eine Antwort prüfbar — und eine falsche Antwort diagnostizierbar. **llms.txt** (https://pappfer.hu/de/ki-glossar/#llms-txt) Eine Textdatei im Wurzelverzeichnis, die KI-Assistenten eine strukturierte Zusammenfassung und eine Karte der wichtigen Seiten liefert — robots.txt, aber für Bedeutung statt Erlaubnis. Das Gegenstück llms-full.txt liefert den gesamten Inhalt in einem Abruf. ### Training und Tuning **Pre-Training** (https://pappfer.hu/de/ki-glossar/#pretraining) Der ursprüngliche, extrem teure Trainingslauf auf breitem Text, der die allgemeine Fähigkeit eines Basismodells erzeugt. Außerhalb der großen Labore macht das praktisch niemand; was die meisten Teams „Training“ nennen, ist eine der günstigeren Anpassungen darauf. **Fine-Tuning** (https://pappfer.hu/de/ki-glossar/#fine-tuning) Fortgesetztes Training auf eigenen Beispielen, damit das Modell ein Format, einen Ton oder eine enge Aufgabe übernimmt. Es lehrt Verhalten, keine Fakten — für eigene Daten nutzt man Retrieval; Fine-Tuning, wenn konsistent auf bestimmte Weise geantwortet werden soll. **LoRA und parameter-effizientes Tuning** (https://pappfer.hu/de/ki-glossar/#lora) Statt des ganzen Modells wird nur ein kleiner Satz zusätzlicher Gewichte trainiert — um Größenordnungen günstiger und mit geringerem Hardwarebedarf. Adapter lassen sich pro Kunde oder Aufgabe tauschen und auf einem gemeinsamen Basismodell stapeln. **RLHF (Reinforcement Learning aus menschlichem Feedback)** (https://pappfer.hu/de/ki-glossar/#rlhf) Ausrichtung eines Modells anhand menschlicher Präferenzurteile zwischen Antwortkandidaten. Erst dadurch wird aus einem reinen Textvorhersager ein Assistent, der Anweisungen befolgt und ablehnt, was abzulehnen ist. **Instruction Tuning** (https://pappfer.hu/de/ki-glossar/#instruction-tuning) Training auf Paaren aus Anweisung und Antwort, damit ein Modell zuverlässig das Geforderte tut, statt den Text fortzusetzen. Das ist der Unterschied zwischen einer Vervollständigungsmaschine und etwas, dem man eine Aufgabe übergeben kann. **Zero-Shot- und Few-Shot-Prompting** (https://pappfer.hu/de/ki-glossar/#few-shot) Zero-Shot fragt nur mit Anweisungen, Few-Shot legt einige ausgearbeitete Beispiele in den Prompt. Drei gute Beispiele schlagen regelmäßig eine Seite Fließtext-Anweisungen — und kosten weit weniger als Fine-Tuning. **Quantisierung** (https://pappfer.hu/de/ki-glossar/#quantization) Modellgewichte werden mit geringerer numerischer Präzision gespeichert, damit ein Modell auf kleinere Hardware passt und schneller läuft. Der Qualitätsverlust bleibt bis etwa 4 Bit für die meisten Aufgaben moderat — das macht selbst gehostete Modelle praktikabel. **Distillation** (https://pappfer.hu/de/ki-glossar/#distillation) Ein kleines, günstiges Modell wird auf den Ausgaben eines großen trainiert. Bei einer eng definierten Aufgabe erreicht es das große Modell nahezu — bei einem Bruchteil von Latenz und Kosten. Ein solider Weg, eine teure Pipeline wirtschaftlich zu machen. ### Agenten und Werkzeugnutzung **KI-Agent** (https://pappfer.hu/de/ki-glossar/#ai-agent) Ein LLM, das handeln kann — Werkzeuge aufrufen, Ergebnisse lesen, den nächsten Schritt bestimmen — statt nur Text zu erzeugen. Die eigentliche Arbeit ist selten das Schlussfolgern, sondern Grenzen, Berechtigungen und Abbruchbedingungen darum herum. **Agentischer Workflow** (https://pappfer.hu/de/ki-glossar/#agentic-workflow) Ein mehrstufiger Prozess, in dem das Modell in einer Schleife plant, handelt und die eigene Arbeit prüft. Stark bei offenen Aufgaben, aber jeder zusätzliche Schritt vervielfacht Kosten, Latenz und Fehlerquellen — die meisten Produktionsprobleme löst eine feste Pipeline besser. **Tool Calling (Function Calling)** (https://pappfer.hu/de/ki-glossar/#tool-calling) Das Modell erhält eine typisierte Liste aufrufbarer Funktionen — Datenbankabfrage, API-Aufruf, Berechnung — und gibt statt Prosa einen strukturierten Aufruf zurück. So berührt ein LLM echte Systeme sicher und überprüfbar. **MCP (Model Context Protocol)** (https://pappfer.hu/de/ki-glossar/#mcp) Ein offenes Protokoll, das Modelle über eine gemeinsame Schnittstelle mit Werkzeugen und Datenquellen verbindet — eine einmal geschriebene Integration funktioniert so über Assistenten hinweg. Es ersetzt den maßgeschneiderten Klebecode pro Anbieter. **Multi-Agenten-System** (https://pappfer.hu/de/ki-glossar/#multi-agent) Mehrere spezialisierte Agenten arbeiten an einer Aufgabe, oft mit einem Koordinator. Hilft wirklich, wenn Teilaufgaben unterschiedliche Werkzeuge oder Rechte brauchen; sonst erzeugt es vor allem Kosten und Nichtdeterminismus, wo ein guter Einzelaufruf genügt hätte. **Guardrails (Leitplanken)** (https://pappfer.hu/de/ki-glossar/#guardrails) Die Prüfungen rund um das Modell: Eingabefilter, Validierung des Ausgabeschemas, Positivlisten erlaubter Aktionen, Budget- und Schrittgrenzen. Guardrails sind gewöhnliche, deterministisch testbare Software — und machen eine nichtdeterministische Komponente erst produktionsreif. **Human in the Loop** (https://pappfer.hu/de/ki-glossar/#human-in-the-loop) Menschliche Freigabe vor jeder teuren, unumkehrbaren oder kundenwirksamen Aktion. Die Entwurfsfrage ist nicht ob, sondern an welchen Schritten genau — bei zu vielen Freigaben rechnet sich die Automatisierung nicht mehr. **Orchestrierung** (https://pappfer.hu/de/ki-glossar/#orchestration) Die Schicht, die festlegt, was wann läuft: Retrieval, Modellaufrufe, Werkzeuge, Wiederholungen, Fallbacks und Zustand. Hier leben Frameworks wie LangChain oder LangGraph — nützlich, doch oft ist eine schlichte Zustandsmaschine die wartbarere Wahl. ### Evaluation und Qualität **Benchmark** (https://pappfer.hu/de/ki-glossar/#benchmark) Ein Standard-Testsatz zum Vergleich von Modellen. Gut für eine Vorauswahl, irreführend als Entscheidung: Öffentliche Benchmarks sickern in Trainingsdaten, und keiner misst Ihre Dokumente, Ihre Nutzer oder Ihre Definition einer guten Antwort. **Eval (Evaluation)** (https://pappfer.hu/de/ki-glossar/#eval) Die eigene automatisierte Testsuite für ein LLM-Feature: feste Eingaben, erwartete Eigenschaften, eine Kennzahl, die man über Modell- und Prompt-Änderungen hinweg verfolgt. Ohne Evals entwickelt man kein KI-Feature, man justiert es nach Gefühl. **Golden Dataset** (https://pappfer.hu/de/ki-glossar/#golden-dataset) Ein kuratierter Satz echter Eingaben mit geprüft korrekten Ausgaben, verantwortet von Fachexperten statt von Entwicklern. Hundert gut gewählte Fälle schlagen zehntausend zusammengesammelte — und erst dieses Asset macht jeden späteren Modellwechsel messbar. **LLM als Judge** (https://pappfer.hu/de/ki-glossar/#llm-as-judge) Ein Modell bewertet die Ausgabe eines anderen anhand eines Kriterienrasters. Das skaliert Evaluation auf Mengen, die Menschen nicht prüfen können — übernimmt aber die Verzerrungen des Judges und muss vor dem Vertrauen an menschlichen Bewertungen kalibriert werden. **Determinismus und Reproduzierbarkeit** (https://pappfer.hu/de/ki-glossar/#determinism) Ob dieselbe Eingabe zuverlässig dieselbe Ausgabe erzeugt. Vollständiger Determinismus ist mit gehosteten Modellen nicht erreichbar, doch Temperature nahe null, feste Prompts, fixierte Modellversionen und strukturierte Ausgaben kommen nah genug heran, um dagegen zu testen. **Precision und Recall** (https://pappfer.hu/de/ki-glossar/#precision-recall) Precision misst, wie viele der gelieferten Treffer korrekt waren; Recall, wie viele der korrekten gefunden wurden. Beide gehen zulasten des jeweils anderen — welches wichtiger ist, ist eine Geschäftsentscheidung: Ein übersehener Betrugsfall und ein falscher Verdacht kosten nicht dasselbe. **LLM-basierte Klassifikation** (https://pappfer.hu/de/ki-glossar/#classification) Ein Modell sortiert Texte in Kategorien — Tickets, Dokumente, Absichten — ohne dass ein eigener Klassifikator trainiert wird. Schnell gebaut und stark bei unsauberer Sprache; nötig sind ein fester Labelsatz, ein Konfidenzschwellwert und ein expliziter Weg für „keines davon“. **Observability und Tracing** (https://pappfer.hu/de/ki-glossar/#observability) Jeder Prompt, abgerufene Chunk, Werkzeugaufruf, Tokenzähler und jede Latenz wird pro Anfrage protokolliert. Meldet ein Nutzer eine schlechte Antwort, entscheidet das darüber, ob man sie in Minuten reproduziert oder einen Tag lang rät. ### Integration und Betrieb **Inferenz und Inferenz-API** (https://pappfer.hu/de/ki-glossar/#inference-api) Inferenz ist ein einzelner Lauf des Modells auf Ihrer Eingabe; die Inferenz-API der gehostete Endpunkt dafür. Behandeln Sie sie als Drittanbieter-Abhängigkeit mit SLA: Sie kann langsam, gedrosselt oder ausgefallen sein — Ihr Produkt muss dann sinnvoll reagieren. **Prompt Caching** (https://pappfer.hu/de/ki-glossar/#prompt-caching) Die verarbeitete Form eines langen, unveränderten Prompt-Präfixes wird über Anfragen hinweg wiederverwendet. Bei großem System-Prompt oder festem Dokumentensatz senkt das Kosten und Zeit bis zum ersten Token deutlich — sofern der stabile Teil zuerst steht. **Streaming** (https://pappfer.hu/de/ki-glossar/#streaming) Tokens werden gesendet, während sie entstehen, statt auf die vollständige Antwort zu warten. Das beschleunigt die Generierung nicht, senkt aber die wahrgenommene Latenz drastisch — und verlangt, dass der gesamte Stack inklusive Proxys ungepuffert durchreicht. **Rate Limit** (https://pappfer.hu/de/ki-glossar/#rate-limit) Die Obergrenze des Anbieters für Anfragen oder Tokens pro Minute. Sie ist die häufigste Ursache dafür, dass ein KI-Feature in der Demo läuft und zum Start scheitert — Queueing, Backoff und ein Fallback-Modell gehören deshalb ins Design, nicht ins Post-Mortem. **Tokenkosten** (https://pappfer.hu/de/ki-glossar/#token-cost) Abgerechnet wird pro Eingabe- und Ausgabetoken, zu unterschiedlichen Sätzen. Praktische Folge: Abgerufener Kontext, lange System-Prompts und Chatverlauf sind die echten Kostentreiber — eine unbegrenzte Konversation ist eine unbegrenzte Rechnung. **Latenz und Time to First Token** (https://pappfer.hu/de/ki-glossar/#latency) Die Gesamtdauer zählt weniger als der Moment, in dem der Nutzer etwas passieren sieht. Die Zeit bis zum ersten Token ist die Kennzahl, die sich zu optimieren lohnt: Streaming, Prompt Caching, kleinere Modelle für einfache Schritte, paralleles statt sequenzielles Retrieval. **Selbst gehostete vs. gehostete Modelle** (https://pappfer.hu/de/ki-glossar/#on-premise) Ein Open-Weights-Modell auf eigener Hardware bietet Datenkontrolle, stabile Preise und keine Anbieter-Abschaltungen; ein gehostetes Spitzenmodell mehr Leistung ohne Betriebsaufwand. Die meisten Systeme werden gemischt: lokal für Masse und Sensibles, gehostet für die harten Fälle. **Datenschutz in LLM-Systemen** (https://pappfer.hu/de/ki-glossar/#gdpr) Nach DSGVO ist das Senden personenbezogener Daten an einen Modellanbieter eine Verarbeitung durch Dritte: Es braucht Rechtsgrundlage, Auftragsverarbeitungsvertrag, bekannte Speicherregion und eine Antwort zur Aufbewahrung. Ob der Anbieter auf Ihren Daten trainiert, ist eine Vertrags-, keine Technikfrage. **AEO und GEO** (https://pappfer.hu/de/ki-glossar/#aeo) Answer Engine Optimization und Generative Engine Optimization: eine Website so aufbauen, dass KI-Assistenten sie abrufen und zitieren können — nicht nur Suchmaschinen sie ranken. Praktisch bedeutet das strukturierte Daten, maschinenlesbare Zusammenfassungen und chunk-sichere Inhalte.