审计接入指南

支持的 Agent 类型

当前审计模块支持以下 AI Coding Agent 的会话日志接入：

接入步骤

1. 进入 AgentLoop 控制台，在左侧导航栏单击接入中心。

2. 在 AI 可观测 区域，找到目标 Agent 类型卡片（如 Qoder、Cursor、Claude Code 等），单击进入接入配置。

3. 选择使用场景：主机、Kubernetes 或 Docker。

4. 配置接入参数：

   参数	说明
   应用名前缀	用于标识一组 Agent 实例，生成服务名称，例如 ai-coding-prod
   连接方式	公网方式或阿里云内网方式
   智能体空间初始化	初始化当前 AgentSpace，绑定 CMS Workspace 和 SLS Project
   Project	当前 AgentSpace 绑定的 SLS Project（只读）
   日志存储位置	应用侧审计日志写入 agent-event / agent-event-webtracking，具体以接入中心生成的采集配置为准
   机器组	选择或创建采集目标机器组

5. 配置数据处理选项：

   • 数据脱敏（可选）：支持对手机号、身份证、邮箱、IP 地址、座机电话、银行卡号等敏感信息进行脱敏处理。脱敏默认关闭，用户可根据需要开启。

6. 单击完成接入，系统将自动生成安装命令。在目标主机或集群执行安装命令，完成 Pilot 部署和采集配置。

接入验收

接入完成后，可以在 SLS 控制台查看 agent-event / agent-event-webtracking 是否有数据写入，也可以在审计管理页面查看对应 Agent 应用的最近数据时间。进入审计事实后，按 Agent 类型或应用名称筛选，确认可以看到上报的 Session、模型请求响应和工具调用数据。

采集的数据类型

AI 应用接入采集的审计日志包含以下事件类型：

功能说明

AI 节点 Runtime/eBPF 接入通过 eBPF 技术在内核层观测 Agent 运行时行为，不需要修改应用代码。它可以：

• 识别主机上运行的 AI Agent 进程及其类型。

• 捕获 LLM API 请求特征（模型、Token 等）。

• 监测文件读写、网络连接等进程级行为。

• 发现未接入正式会话日志的 Agent 活动。

接入步骤

1. 在接入中心的 AI 可观测 区域，单击 AI 节点 Runtime/eBPF 卡片。

2. 选择使用场景：主机、Kubernetes 或 Docker。

3. 配置节点范围参数：

   参数	说明
   Project	当前 AgentSpace 绑定的 SLS Project（只读）
   Logstore	固定为 ebpf-event（只读）
   机器组	选择或创建采集目标机器组

4. 配置 AgentSight 探测规则：

   • 命令行白名单：定义需要纳入采集的 Agent 进程规则。每组包含"Agent 类型"和"命令行参数模式"。命中白名单的进程将被标记为对应的 Agent 类型。

   • 命令行黑名单：定义需要排除采集的进程模式。黑名单优先于白名单。

   • 域名白名单：定义需要纳入采集的网络访问域名模式。访问白名单域名的进程也会被纳入采集。

   未填写任何配置时，系统使用推荐默认值。填写任一项后，以当前配置完整覆盖对应默认列表。

5. 配置数据脱敏选项（可选），与 AI 应用接入一致。

6. 完成接入配置。

接入验收

eBPF 接入完成后，在 SLS 控制台查看 ebpf-event Logstore 是否有数据写入即可确认接入成功。