Большинство ассистентов умеют только говорить. Вы просите черновик договора — получаете текст в чате, который надо вручную скопировать, вставить в редактор, сохранить под нужным именем в нужную папку. Полезно, но половина работы остаётся на вас. Куда мощнее ассистент, который сам создаёт файл на диске, правит существующий документ и складывает результат туда, где он вам нужен.
И сразу возникает законный вопрос: а это вообще безопасно — пускать ИИ к моим файлам? Ответ зависит не от того, может ли он трогать файлы, а от того, что именно ему разрешено трогать. Ниже — зачем вообще давать ассистенту доступ к диску, какие тут есть риски и как устроена модель безопасности, при которой удобство не превращается в угрозу.
#Зачем ИИ доступ к файлам
Пока ассистент заперт в окне чата, любой результат приходится переносить руками. Доступ к файлам убирает этот разрыв — ИИ работает там же, где работаете вы:
- Создаёт документы сразу на месте — отчёт, письмо, конспект, скрипт оказываются готовым файлом в нужной папке, а не текстом, который надо вычитывать из чата.
- Правит существующее — открывает ваш черновик, вносит изменения, сохраняет. Не «вот новая версия, перенесите сами».
- Видит контекст — может прочитать соседние файлы проекта и учесть их, а не работать вслепую по одному вашему описанию.
- Наводит порядок — переименовывает, сортирует, собирает разрозненные заметки в один документ.
Разница та же, что между консультантом, который диктует по телефону, и сотрудником, который сидит за вашим столом и делает. Подробнее о том, как такой ассистент встраивается в реальные задачи, — в материале личный ИИ для работы.
#Риски прямого доступа
Доступ к файловой системе — это и сила, и источник опасности. Если дать ассистенту неограниченный доступ ко всему диску, на кону оказывается слишком многое:
- ИИ может изменить или удалить не тот файл — особенно если инструкция была понята слишком широко.
- Он получает возможность читать чувствительное: системные файлы, чужие проекты, приватные архивы, пароли в конфигах.
- Ошибка модели или неточная формулировка задачи бьёт сразу по реальным данным, а не по черновику в чате.
Есть и менее очевидный риск: инструкция может прийти не от вас. Если ассистент читает файл, письмо или страницу, в тексте может оказаться указание, адресованное самому ассистенту, — и он способен принять его за задачу. Поэтому границы задаются не доверием к модели, а конфигурацией. Развёрнутая модель угроз и политика прав по умолчанию — в статье безопасность агента: белые списки и права по умолчанию.
Главный принцип безопасности здесь — не «доверять ИИ», а ограничить радиус его действий так, чтобы даже ошибка не задела ничего важного.
Именно поэтому «дать доступ ко всему» — заведомо плохая идея. Хороший ассистент работает не с диском целиком, а с узким, явно очерченным участком.
#Модель безопасности: белый список папок
Рабочее решение — белый список (allowlist) папок. Вы заранее указываете директории, в которых ассистенту можно создавать и менять файлы. Всё, что за их пределами, для него попросту не существует — он это не видит и не трогает.
| Подход | Что доступно ИИ | Риск |
|---|---|---|
| Полный доступ к диску | всё подряд | высокий |
| Совсем без доступа к файлам | ничего | безопасно, но бесполезно |
| Белый список папок | только то, что вы разрешили | минимальный |
Поверх белого списка работает второй уровень защиты — подтверждения. Создание и изменение файлов проходят явно и наглядно, так что вы в любой момент видите, что именно делает ассистент, а не обнаруживаете последствия задним числом.
Связка получается простая: белый список решает, где можно работать, подтверждения — что делается прямо сейчас. Системные файлы, чужие папки и личные архивы остаются вне досягаемости по умолчанию. В Persona доступ к файлам ограничен именно таким белым списком папок, а работа идёт на том компьютере, где развёрнут агент.
Отдельно про соседний по опасности инструмент: выполнение произвольных команд в терминале — это принципиально другой класс риска, чем запись файла в разрешённую папку, и включать его «заодно» нельзя. Почему — разобрано в статье почему нельзя просто дать агенту доступ к терминалу.
#Практические сценарии
Как это выглядит в деле:
- Документы и тексты. «Сделай из этих заметок структурированный отчёт» — и готовый файл появляется в рабочей папке, а не в виде простыни в чате.
- Код и проекты. Ассистент читает файлы проекта, вносит правку в нужный модуль и сохраняет — с учётом того, что лежит рядом.
- Разбор завалов. «Разложи скачанные файлы по папкам и переименуй по дате» — рутина, на которую вы тратите время вручную, делается за один запрос.
- Работа с черновиками. Открыть существующий документ, переписать раздел, сохранить версию — без копирования туда-сюда.
Во всех случаях ассистент действует только внутри разрешённых папок. Просьба «приберись на диске» физически не дотянется до того, что вы в белый список не внесли.
#Почему локально лучше, чем грузить файлы в облако
Альтернатива доступу к диску — загружать файлы в облачный сервис. Но для личных и рабочих документов это шаг назад:
- Файл, отправленный в облако, выходит из-под вашего контроля — что с ним дальше, проверить со своей стороны нельзя.
- Договоры, таблицы, переписка оказываются на чужих серверах со всеми вытекающими рисками.
- Нужна сеть, нужна загрузка и выгрузка туда-обратно — лишние шаги на каждый файл.
Локальная работа этого лишена: файлы остаются на вашем диске, а ассистент видит только разрешённые папки. С одной оговоркой, которую надо держать в голове: если модель у вас облачная, содержимое файла, которое ассистент прочитал и вставил в запрос, уйдёт провайдеру вместе с вопросом. Файл не покидает диск, а его текст — покидает. Подробнее о том, где проходит эта граница, — в статье приватный ИИ локально. А если вы только присматриваетесь к самой идее такого помощника, начните с обзора — что такое личный ИИ.
#Частые вопросы
#Что произойдёт, если ассистент попытается записать файл вне белого списка?
Операция не выполнится: путь вне разрешённых папок для инструмента недоступен, и это ограничение проверяется на стороне приложения, а не оставляется на усмотрение модели. Ассистент сообщит, что не может это сделать, — и это правильное поведение, а не сбой.
#Может ли ИИ удалить мои файлы по ошибке?
Внутри разрешённых папок — теоретически да, поэтому в белый список не стоит вносить директории с единственной копией важных данных. Практическая защита — узкий список папок, подтверждения на изменяющие операции и резервные копии. Ни один из трёх пунктов не отменяет двух остальных.
#Уходит ли содержимое моих файлов наружу?
Сам файл никуда не отправляется. Но если ассистент прочитал его, чтобы выполнить задачу, соответствующий текст попадает в запрос к модели: с локальной моделью он остаётся на вашем железе, с облачным ключом уходит выбранному провайдеру. Для документов под соглашением о неразглашении это решающая деталь.
#Можно ли дать доступ к папке только на чтение?
Разделение прав на чтение и запись — базовая часть разумной политики: читать разрешают шире, чем писать, а выполнять команды — только с явным подтверждением. Как выстроить такую матрицу прав целиком, разобрано в статье про белые списки и права агента по умолчанию.
#Работает ли это на сервере или только на моём компьютере?
Работа с файлами идёт там, где запущен агент. Если Persona развёрнута в контейнере или на VPS, доступ будет к файлам этой машины, а не вашего ноутбука. Это частая путаница: серверная установка не даёт ассистенту доступ к вашему рабочему столу.
#Насколько это безопасно на общей копии Persona?
Разграничение между пользователями — это список разрешённых путей и пользовательские настройки на кодовой базе, которая начиналась однопользовательской, а не усиленная мульти-тенантная граница. Для доверенного круга этого достаточно; давать доступ к файлам на копии, где зарегистрированы посторонние, я бы не стал.
#Вывод
ИИ, который сам создаёт и правит файлы, экономит реальное время — но только если его доступ ограничен с умом. Белый список разрешённых папок задаёт чёткие границы, подтверждения добавляют прозрачности, а локальная работа избавляет от загрузки документов в чужое хранилище. Если ваши файлы чувствительны — держите и модель локальной, иначе их содержимое всё равно уйдёт провайдеру. Удобство и безопасность здесь не противоречат друг другу: вы сами решаете, где ИИ можно работать.