风险审计

顶部统一筛选

风险审计顶部筛选用于控制所有风险 Tab 的查询范围：

各专题 Tab 可以继续提供自己的局部筛选。例如概览支持风险类别、模型供应商、用户、主机/容器和来源 IP；数据泄漏、敏感文件等专题还可以提供风险类型、风险子类、严重性、目的域名、目的 IP、Tool 或敏感文件动作等筛选。

数据状态

各图表与指标卡独立展示查询状态，不使用 Tab 级全局状态：

• 加载中：区块内展示查询占位。

• 查询失败：区块内展示空态或错误占位，指标卡数值区显示失败状态。

• 部分模块失败不影响其他模块继续展示已返回的数据。

核心信息

概览展示以下信息：

概览聚合展示已生成的高保真风险事件，帮助用户快速判断风险水位和优先调查方向。

核心指标

筛选与归因

数据泄漏 Tab 默认提供风险类型、风险子类、严重性和模型 Provider 筛选；目的域名、目的 IP、用户、Host、来源 IP、Tool 等放入更多筛选。点击归因卡片行会写入对应筛选，并联动指标、趋势、归因和风险明细。

风险明细

风险明细以聚合风险和证据明细的形式展示：

• risk_type 表示泄漏方式。

• risk_subtype 表示敏感数据类型，例如 secret.alibaba_cloud_ak、secret.ssh_private_key、pii.credit_card、pii.id_card、pii.phone、pii.email。

• evidence_values 保存结构化证据值，用于展示命中的敏感值、外发目标、模型 Provider 或相关片段。

• entities 用于实体聚合、实体调查和调查回放，不作为证据摘要的唯一来源。

核心指标

敏感文件页不单独展示"敏感文件变更"总指标；create / edit / delete 三项相加就是总量。

口径

敏感文件页展示高保真 sensitive_file_mutation。普通读取、cat、grep、list、加载配置、把密钥作为命令参数使用、存在性探测或无法确认动作与路径绑定的命令不进入敏感文件风险队列。

敏感文件证据主要通过 risk_subtype、evidence_values 和关联原始事件展示。路径分类、动作、严重性和置信度由 detector 契约确定。