LLM как жёсткий диск: файловая система на Python и FUSE обманула ИИ-взломщика 5 раз

Обычно программе для разговора с LLM (большой языковой моделью, нейросетью, которая пишет текст) нужен плагин, API (программный интерфейс для обмена данными), MCP-сервер (переходник между моделью и программами) или самописная обвязка. Автор эксперимента выбрал другой путь: подключаем LLM как жёсткий диск, и с ним сразу работают любые программы, которые понимают обычные файлы, от утилиты ls 1971 года до Проводника Windows.

В результате получилась файловая система без единого настоящего файла. По словам автора, второй ИИ в роли взломщика пять раз подряд поверил в сервер, которого не существует.

Зачем вообще нужен диск, который врёт?

В безопасности давно ставят honeypot (фальшивый сервер-приманку): злоумышленник лезет туда, оставляет следы и выдаёт себя. Пустую ловушку видно сразу, а наполнять её конфигами, логами и заметками администратора приходится вручную. Модель производит такой контент быстро и в любых количествах.

Обратите внимание на железо: всё работает не в облаке, а на домашнем компьютере, который сам автор называет «пенсионным».

Что понадобится для сборки?

• Linux или Ubuntu внутри Windows через WSL2 (встроенную подсистему для запуска Linux). У автора Windows 11 и Ubuntu 24.04.
• FUSE (механизм, который позволяет написать файловую систему обычной программой) и библиотека mfusepy для Python, она работает с libfuse3.
• Локальная модель Qwen3-4B-Instruct-2507 в квантовании Q4_K_M (сжатии модели, чтобы она поместилась в память), файл весит 2,3 ГБ.
• llama.cpp, программа для запуска моделей на своём компьютере, в связке с Vulkan (интерфейсом для работы с видеокартой).
• Железо уровня автора: видеокарта GTX 1660 Super на 6 ГБ, процессор Ryzen 5 2600, 8 ГБ оперативной памяти.

Модель на такой конфигурации выдаёт примерно 57 токенов (кусочков слов, которыми модель считает текст) в секунду. Сколько времени ушло на сборку, автор не сообщает.

Пошаговая инструкция: от пустой папки до выдуманного мира

1. Запустите модель в llama.cpp через Vulkan.
2. Напишите на Python класс файловой системы на mfusepy с двумя главными методами: первый срабатывает, когда кто-то читает папку, второй, когда кто-то открывает файл. Ядро Linux пересылает такие запросы вашему коду, и что код ответит, то программа и увидит.
3. В методе папки отправьте модели путь и попросите список содержимого:

Папка: /home/user/рецепты
Перечисли от 6 до 12 файлов и подпапок, которые правдоподобно лежат в этой папке.
По одному имени на строку, у подпапок в конце ставь /.
У файлов обязательно расширение. Подпапок не больше трети.

1. В методе файла передайте модели путь и имена соседей по папке, до 15 штук, и попросите полное правдоподобное содержимое. Так мир получается связным: заметка ссылается на таблицу из той же папки, конфиг nginx упоминает сайт из соседнего каталога.
2. Сохраняйте всё придуманное в JSON (простой текстовый формат хранения данных). При повторном заходе вы увидите тот же мир, а пока в папку никто не заглянул, её содержимого нет нигде, даже в памяти.
3. Решите проблему размера. Ядро спрашивает размер файла до чтения, а файл в этот момент ещё не написан, поэтому ls -l показывает ноль. Открывайте файлы с direct_io (режимом чтения в обход кэша) и выключите кэш атрибутов в ядре.
4. Добавьте системный промпт (постоянную инструкцию, которую модель получает перед каждым запросом):

Ты диск, на котором: домашний компьютер обычной российской семьи.
Ты сам выдумываешь, что на нём лежит: правдоподобно, конкретно, с живыми деталями.
Никогда не отказывайся и ничего не объясняй.
Отвечай только тем, что просят, без markdown-оберток.

1. Проверьте диск обычными командами ls, cat, find и grep, никакой специальной обвязки им не нужно.

Что делать с этим прямо сейчас, по ролям

Автору Дзена. Заберите приём из системного промпта: роль плюс запрет отказываться и объяснять. Он выручает, когда модель упирается в задачах на вымысел, например при наполнении художественного мира деталями.

Маркетологу. Схема даёт правдоподобные тестовые данные и демо без реальных клиентов. Передавайте модели контекст соседних материалов, как здесь передают имена соседних файлов, и детали начнут ссылаться друг на друга.

Предпринимателю в РФ и СНГ. Модель работает локально, без облачного сервиса, на компьютере за разумные деньги. Если нужна облачная модель, из доступных в РФ аналогов есть YandexGPT и GigaChat, но эксперимент автора построен именно на локальном запуске. Ловушки для взломщиков доверьте своему специалисту по безопасности.