审计事实是审计模块的原始行为浏览与分析入口，包含 Session 浏览、Token 分析和行为分析三个 Tab。本文介绍审计事实页面的功能和使用方法。
页面概述
审计事实直接描述 Agent 上报的原始会话、模型请求响应、工具调用、工具结果和运行时行为，不依赖风险审计开关开启。风险审计开关关闭时，风险审计和实体调查可能只展示历史风险数据；审计事实仍可用于验证接入效果、排查上下文和分析 Token / 行为趋势。
当前页面顶部提供统一筛选：数据范围、Agent 类型和查询时间范围。数据范围当前提供 AI 应用审计和 AI 运行时审计两个范围；查询时间范围默认最近 7 天。
页面结构
审计事实页面包含三个 Tab：
Tab | 说明 |
Session 浏览 | 按主机、用户、Agent 应用、来源 IP、Tool、Session ID 等维度筛选会话，并查看上下文时间线。 |
Token 分析 | 统计输入 Token、输出 Token、总 Token、模型分布、时间趋势和高消耗 Session。 |
行为分析 | 从中性行为视角统计 Agent 活跃度、模型请求、工具调用、命令执行、外部交互、错误和 Session 排名。 |
Session 浏览
Session 浏览采用左右分栏布局：
左侧：Session 列表，展示筛选条件匹配的会话。
右侧：选中 Session 的完整上下文详情。
顶部统计指标
页面顶部展示当前筛选范围内的整体统计：
指标 | 说明 |
Session 数 | 匹配的 Session 总数 |
Event 数 | 原始事件总数 |
Turn 数 | 用户-Agent 交互轮次数 |
Step 数 | Agent 执行步骤数 |
LLM Request | LLM 模型请求数 |
Input Tokens | 模型输入 Token 总量 |
Output Tokens | 模型输出 Token 总量 |
LLM Response | LLM 模型响应数 |
Tool Call / Result | 工具调用数和返回结果数 |
筛选条件
Session 浏览支持以下筛选维度：
筛选条件 | 说明 |
时间范围 | 位于审计事实顶部统一筛选，默认最近 7 天 |
Agent 类型 | 位于审计事实顶部统一筛选 |
主机 | 按 Agent 运行主机筛选 |
用户 | 按用户维度筛选 |
Agent 应用 | 按应用名筛选 |
来源 IP | 按采集源 IP 筛选 |
Tool | 按使用的工具筛选 |
Session ID | 按指定 Session ID 筛选或定位会话 |
筛选框支持输入前缀后查询候选值，返回匹配的值和 Session 数量。
定位方式
当前页面主要通过筛选器定位会话。用户可以在 Session ID 筛选框中选择或输入目标 Session，也可以从风险审计、实体调查等页面进入审计事实，查看对应会话的上下文。
Session 列表
Session 列表展示匹配的会话概要信息：
字段 | 说明 |
Session ID | 会话唯一标识 |
Tool 摘要 | 该 Session 使用的主要工具列表 |
主机 / Agent 应用 | 运行主机和应用名 |
用户 / Agent 类型 | 用户标识和 Agent 类型 |
来源 IP | 采集源 IP |
Event | 原始事件总数 |
Turn | 交互轮次数 |
Step | 执行步骤数 |
Req / Resp | LLM 请求数 / 响应数 |
Tool Call / Result | 工具调用数 / 结果数 |
最近活跃 | 最近一次事件时间 |
列表采用分页展示，点击一行后在右侧展示 Session 上下文。
Session 上下文详情
选中一个 Session 后，右侧展示该 Session 的完整事件时间线。
事件类型
时间线中展示以下类型的原始事件：
事件类型 | 标识 | 说明 |
其他事件 | other | Session 级别的元数据事件 |
LLM 请求 | Request | 发送给模型的请求，包含 messages 输入 |
LLM 响应 | Response | 模型返回的响应，包含 assistant 输出 |
工具调用 | tool call | Agent 发起的工具调用，包含工具名和参数 |
工具结果 | tool result | 工具执行的返回结果 |
事件信息
每条事件展示以下信息：
事件 ID：全局唯一标识。
Turn / Step：该事件所属的交互轮次和步骤编号。
时间戳：事件发生的精确时间。
内容摘要：根据事件类型展示关键内容（用户输入、模型输出、工具参数和结果等）。
Token 分析
Token 分析用于观察模型调用成本和上下文消耗，回答"哪些模型、应用或 Session 消耗了最多 Token，消耗是否集中在少数长会话或异常请求上"。
Token 分析通常包含以下信息：
模块 | 说明 |
Token 总览 | 展示输入 Token、输出 Token 和总 Token。 |
模型分布与趋势 | 按模型统计 Token 消耗，并观察时间趋势。 |
Session 排名 | 展示高消耗 Session，支持跳转 Session 浏览查看上下文。 |
Token 桶分布 | 按 Turn 或 Session 的 Token 消耗区间观察长上下文和异常消耗。 |
Token 分析是审计事实视图，不代表安全风险成立。若发现消耗异常，应结合 Session 浏览和行为分析确认是否存在循环调用、重复工具失败、超长上下文或异常模型请求。
行为分析
行为分析用于从中性行为视角观察 Agent 活动，不直接等同于风险检测结果。它适合回答"哪些应用最活跃、哪些工具被频繁调用、是否存在大量命令执行、外部交互或工具错误"。
行为分析通常包含以下信息：
模块 | 说明 |
活跃度指标 | 展示活跃 Agent、会话数、模型请求、总行为量等概览。 |
工具与命令 | 统计工具调用、命令执行、命令族和工具错误。 |
外部交互 | 统计外部目标、域名或网络交互相关行为。 |
Session 排名与时间线 | 定位行为量异常的 Session，并跳转 Session 浏览回放上下文。 |
行为分析可以帮助用户理解普通行为基线，也可以为风险调查提供背景。例如，风险审计发现敏感数据外发时，可以在行为分析中查看同一应用或主机是否同时存在异常外部交互或工具错误。
关联入口与上下文定位
审计事实可以作为其他审计页面的上下文查看入口。当用户在风险审计、实体调查或审计管理中需要查看原始会话时，可以进入审计事实，并在 Session 浏览中查看对应 Session 的事件时间线。
从风险审计进入时，用户可以根据风险详情中的 Session 信息回到原始会话，查看风险发生前后的模型请求、模型响应、工具调用和工具结果。从实体调查进入时，用户可以查看某个实体出现过的会话上下文。从审计管理进入时，用户可以验证指定应用或主机是否已经产生审计数据。
该能力面向的是调查路径的连续性：用户可以从风险、实体或接入状态回到原始审计事实，但审计事实页面本身只提供浏览、筛选和上下文查看能力，不承担风险标注或处置功能。
使用场景示例
场景一：从安全事件查看原始上下文
在风险审计中查看某条风险的详情。
记录或进入风险关联的 Session。
在审计事实的 Session 浏览中查看该 Session 的原始事件时间线。
结合模型请求、模型响应、工具调用和工具结果，理解安全事件发生前后的完整过程。
场景二：排查 Token 异常消耗
在审计事实的 Token 分析中，发现某 Session 消耗异常高。
跳转到 Session 浏览，或在 Session ID 筛选框中定位该 Session。
查看 LLM Request/Response 事件，观察是否存在超长上下文或重复调用。
结合工具调用事件确认是否存在循环调用或失败重试。
场景三：验证接入数据完整性
在审计事实页面中筛选最近时间范围和目标 Agent 类型。
查看 Session 浏览顶部统计指标，确认 Session 数和 Event 数是否符合预期。
打开具体 Session 查看事件时间线，确认 Turn、Step、Request/Response 和 Tool Call/Result 是否完整。
如果发现事件缺失或字段不全，检查接入配置和采集组件状态。