接入 AI 系统运行时日志-Agent 观测与优化 AgentLoop(AgentLoop)-阿里云帮助中心

AI 系统运行时日志通过 eBPF 在 Linux 内核层采集 AI Agent 的模型交互、进程、文件和网络等运行时行为，无需修改 Agent 应用代码。本文介绍如何在接入中心配置 AI 系统运行时日志，并验证数据是否正常写入。

适用场景

AI 系统运行时日志适用于以下场景：

希望以低侵入方式发现 Linux 主机或容器中运行的 AI Agent。
需要采集未接入 LoongSuite Pilot 或语言与框架探针的 Agent、Agent 框架和自研 Agent 运行时行为。
需要将模型交互与进程、文件访问、命令执行和网络活动关联分析。
希望在不重启业务的情况下更新采集范围和 AgentSight 探测规则。

eBPF 可能无法直接获取原生 Session、Turn、Step 标识及框架内部状态。需要这些上下文时，可以同时使用 LoongSuite Pilot 或语言与框架探针，具体选择方法参见选择 AI Agent 接入方式。

支持范围

AI 系统运行时日志支持接入中心当前开放的 Linux 主机、Docker 和 Kubernetes 场景。eBPF 对常见 Linux 运行时具有通用覆盖能力，但目标程序使用特殊 TLS 实现或当前不支持的运行时时，LLM 载荷采集可能受限。

接入步骤

开始前，确认满足以下条件：

已开通 AgentLoop 服务并创建智能体空间。
已在目标 Linux 主机、容器或集群中部署需要采集的 AI Agent。
具备安装或更新 LoongCollector、执行接入命令和管理机器组的权限。
目标环境满足接入页面展示的操作系统、内核和网络要求。

完成确认后，执行以下步骤：

登录 AgentLoop，在左侧导航栏单击接入中心。
在 AI 节点接入中单击AI 系统运行时日志。
根据 Agent 的部署环境选择 Linux 主机、Docker 或 Kubernetes 等使用场景。

配置采集范围。

参数	说明
Project	当前智能体空间绑定的 SLS Project，只读。
Logstore	运行时日志写入的 Logstore，固定为 `ebpf-event`，只读。
机器组	选择或创建需要采集的目标机器组。

配置 AgentSight 探测规则。未修改配置时，系统使用推荐的默认规则；修改任一规则后，以当前配置覆盖对应的默认规则。各规则的含义和配置方法在下方配置 AgentSight 探测规则中说明。
按需开启数据脱敏。脱敏能力和支持的数据类型在下方数据脱敏中说明。
根据页面提示，在目标环境中安装或更新 LoongCollector 和采集配置。

配置 `AgentSight` 探测规则

命令行白名单

采集器通常可以自动识别 AI Agent 并将其纳入采集。若目标进程未被识别，可以通过命令行白名单补充规则。每条规则包含 Agent 类型和命令行参数模式；命中规则的进程会被标记为对应的 Agent 类型。

命令行黑名单

命令行黑名单用于排除不需要采集的进程模式，优先级高于命令行白名单。

域名白名单

域名白名单用于决定哪些网络活动进入候选采集范围。默认规则包括百炼、OpenAI 和 Anthropic 等常见模型服务域名；使用其他模型服务商或自定义 AI 网关时，可以补充对应域名。

流量进入候选采集范围不表示其 Payload 协议一定能够解析。若只能看到网络活动而无法看到完整模型交互，确认目标协议和运行时是否在当前支持范围内。

数据脱敏

运行时日志可能包含手机号、邮箱、API Key 等敏感信息。在接入配置中可以按需开启端侧数据脱敏，脱敏范围覆盖手机号、身份证号、邮箱地址、IP 地址、座机电话和银行卡号等数据类型。数据脱敏默认关闭，启用后脱敏数据仍保留必要上下文，可用于审计和问题排查。

接入验证

完成接入后，在 SLS 控制台检查 ebpf-event Logstore 是否已经写入目标主机或容器的最新数据。若 Logstore 中已有数据，再进入审计管理或审计事实，确认目标节点、Agent 或进程能够在对应时间范围内查询。

常见问题

Logstore 中没有数据

确认 LoongCollector 和采集配置已经安装或更新成功。
确认目标主机或容器属于所选机器组。
确认查询时间范围覆盖接入后的运行时间。
确认目标环境满足页面展示的操作系统、内核和网络要求。

目标 Agent 未被识别

先确认目标进程正在运行。若采集器未能自动识别，可以在命令行白名单中增加 Agent 类型和命令行参数模式。

采集到了不需要的进程

在命令行黑名单中增加需要排除的进程模式。黑名单优先于白名单。

只能看到网络活动，无法看到完整模型交互

检查模型服务域名是否已进入域名白名单，并确认目标程序使用的协议和运行时是否在当前支持范围内。域名白名单只改变候选采集范围，不保证 Payload 能够解析。