查一台装了本地大模型的电脑，光看默认路径根本找不全证据。
LM Studio 的模型目录看着是空的，顺着配置才摸到 D 盘。六个权重文件里，有个 9GB 的模型只下了一半就断了。这反而成了证据：说明使用者当时网络受限，只能换个小点的版本凑合用。
真正要紧的是那些没删干净的痕迹。对话 JSON 里躺着虚拟币交易平台的源码，SQLite 数据库里存着取证竞赛题。哪怕有人把会话文件整体清零，文件名和时间戳也还在。元数据往往比内容活得更久。
最绝的是日志层。这台机器开了两个高危配置，结果所有提问、系统提示词和工具定义全明文写了进去。连局域网里的其他 IP 调用记录都一清二楚。
最后拼出一条完整时间线：7 月建工作区，8 月啃源码，9 月底一天连升两次后端。顺带还排除了另一个平台——它虽然装了，但压根没下过模型。查本地大模型，抓证据得按“先易失后稳定”来，顺序错了关键数据就没了。