AI 查日志，怎样让结论有据可查？

原创

Oxo Security
Oxo Security

Oxo Security

2026年10月14日 18:22
吉林

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、一条告警，为什么要翻三份日志

网关报出一次可疑账单读取，响应是 HTTP 200。认证日志显示身份已通过，应用审计却记录了拒绝。安全工程师要回答的是：谁发起、真正发生了什么，还有哪些证据接不上？

人工调查往往要先找请求编号，再跨文件对齐时间，最后把原始行搬进报告。相同 IP 下还有正常用户和失败尝试；把它们串成一条攻击链，结论可能从第一步就偏了。

这次准备了一条告警和三份离线合成日志：网关九行、认证十行、应用审计八行。账号、地址与账单均为虚构，不连接外部目标。独立真值放在输入目录之外，只用于复核，没有交给产品 Agent。

Oxo Operator 是面向安全工程师的 AI 工作区。这次直接使用 0.1.12 版本，沿用已有项目，新建没有旧对话的任务。项目里已有日志、告警和七行 README；README 说明素材范围、时间与关联风险、原件只读。简短输入是在这些已有素材上提需求，不是让 AI 凭空调查。

图 1：产品自行读取项目素材。

告警指向 req-a01。网关第二行是 200，认证第二行记录 user-a；审计第二行却是 DENIED，返回零条，账单所有者为 user-b。单看响应码或认证通过，都会漏掉业务结果。

二、先说清需求，把执行交给产品

实际输入共 116 个字符，先直接提出调查需求，再交代原件与旧结果的边界：

帮我查一下这条账单读取告警，看看谁做了什么、有没有成功，哪些地方还缺证据。把时间线、摘要和调查报告保存下来，方便我回原始日志核对。

按项目 README 的范围处理，只读原件，不看旧结果；新产物另存到 results-brief/。

用户没有指定脚本、字段格式、时间换算步骤或预填结论。产品自行查看目录，读取说明与四份素材、计算文件指纹，生成时间线、结构化摘要和中文报告。这次使用的是通用文件与命令工作流，不据此声称已有专用日志关联模块。

时间需要对齐，产品处理了带 +08:00 的时间、Z 结尾的时间和毫秒时间戳。同一候选请求的三层事件在 02:00:30.100、.200、.300，统一 UTC 后才能比较。另有一行只有“10:00:39.300”，没有时区，时间必须保留未知，不能按钟点塞进时间顺序。

请求编号也只是关联起点。req-collision 在认证日志中出现 user-a 和 user-c 两个身份；审计的 actor 不能自动替我们选择其中一个。相同 IP 也不能替代身份，user-b 正常读取自己的账单应保持独立。

三、产物生成后，再问证据够不够

初版先查错，修订后再验收

简短输入的初版产物识别出了告警目标的业务拒绝、导出审计缺失和编号身份冲突，但仍有需要复核的地方：时间线混入了没有原始行的“缺口事件”，无时区记录插在已知时间之间，报告还用认证失败解释业务审计缺失。

独立审阅发现问题后，先后追加了三轮简短复核意见，要求核对出处、保留未知、区分缺口与日志事件，再修正残留的引用和因果表述。产品在同一任务中实际修订。最终验收针对修订后的文件；不能把它写成一句话首次生成就全部正确。

图 2：已完成任务中打开最终报告，展示来源指纹与核对原则。

把结果、身份和时间分开判断

req-a01 和 req-a02 的 200 对应审计 DENIED、返回零条；req-a03 读取自己的 INV-07，审计为 OK、返回一条。req-a04 有网关与认证记录，却没有对应导出审计，只能保留业务结果未知。req-bad 认证被拒，也不能证明业务层未执行。

缺审计不等于未执行；没有时区也不等于业务结果未知。每一种缺口，都要留在它对应的判断里。

修订后的文件通过原检查的 16/16 项，也通过开发工作区另行实现的 14/14 项检查；两组有重叠，不能合称三十项独立检查。重复并丢行、篡改返回行数、猜时区、改错摘要结果的四个副本均被拒绝。二十七条原始事件完整保留，二十六条已知 UTC 排序，一条无时区记录留在末尾；三条窗口外明确标注，原件指纹未变。

时间未知也不抹去业务字段。审计第七行仍记载 OK、返回一条；未确认的是它在 UTC 中的时间，以及审计 actor 之外的身份佐证。业务结果、身份和时间需要分别判断。

这次能证明的是：在已准备的合成素材与项目说明上，用简短需求启动调查，产品能整理出可回到原始行的产物，并接受复核后的修订。没有人工耗时对照，也没有覆盖真实生产环境，不据此宣称效率提升或任意任务一句话就能完成。对工程师而言，交付还要留下缺口、冲突与复核记录，方便下一位同事继续查。

了解 Oxo Operator