Audit Facts es el punto de entrada para la exploración y el análisis del comportamiento sin procesar del módulo Audit. Incluye tres pestañas: Session Browsing, Token Analysis y Behavior Analysis. Este tema describe las funciones y el uso de la página Audit Facts.
Descripción general de la página
Audit Facts describe directamente las sesiones sin procesar, las solicitudes y respuestas de modelos, las llamadas a herramientas, los resultados de herramientas y los comportamientos en tiempo de ejecución que reporta el Agent. No depende de que el interruptor de auditoría de riesgos esté habilitado. Cuando este interruptor está desactivado, Risk Audit y Entity Investigation solo muestran datos históricos de riesgo. Sin embargo, Audit Facts sigue disponible para comprobar los resultados de ingesta, solucionar problemas de contexto y analizar tendencias de tokens y de comportamiento.
La parte superior de la página ofrece filtros unificados: alcance de datos, tipo de Agent e intervalo de tiempo de consulta. Actualmente, el alcance de datos incluye dos opciones: AI Application Audit y AI Runtime Audit. El intervalo de tiempo de consulta predeterminado corresponde a los últimos 7 días.
Estructura de la página
La página Audit Facts contiene tres pestañas:
|
Pestaña |
Descripción |
|
Session Browsing |
Filtra sesiones por host, usuario, aplicación de Agent, IP del host del Agent, herramienta, Session ID y otras dimensiones. También permite consultar las líneas de tiempo de contexto. |
|
Token Analysis |
Analiza los tokens de entrada, los tokens de salida, el total de tokens, la distribución por modelo, las tendencias temporales y las sesiones con mayor consumo. |
|
Behavior Analysis |
Analiza la actividad del Agent, las solicitudes de modelos, las llamadas a herramientas, la ejecución de comandos, las interacciones externas, los errores y las clasificaciones de sesiones desde una perspectiva neutral de comportamiento. |
Session Browsing
Session Browsing utiliza un diseño dividido en dos paneles:
Panel izquierdo: lista de sesiones que muestra aquellas que coinciden con las condiciones de filtro.
Panel derecho: detalles completos del contexto de la sesión seleccionada.
Estadísticas de nivel superior
La parte superior de la página muestra estadísticas generales para el alcance de filtro actual:
|
Métrica |
Descripción |
|
Sessions |
Número total de sesiones coincidentes |
|
Events |
Recuento total de eventos sin procesar |
|
Turns |
Número de rondas de interacción entre el usuario y el Agent |
|
Steps |
Número de pasos de ejecución del Agent |
|
LLM Request |
Número de solicitudes al modelo LLM |
|
Input Tokens |
Recuento total de tokens de entrada del modelo |
|
Output Tokens |
Recuento total de tokens de salida del modelo |
|
LLM Response |
Número de respuestas del modelo LLM |
|
Tool Call / Result |
Número de llamadas a herramientas y resultados devueltos |
Condiciones de filtro
Session Browsing admite las siguientes dimensiones de filtrado:
|
Filtro |
Descripción |
|
Time range |
Se ubica en el filtro unificado de la parte superior de Audit Facts. El valor predeterminado son los últimos 7 días. |
|
Agent type |
Se ubica en el filtro unificado de la parte superior de Audit Facts. |
|
Host |
Filtra por el host de ejecución del Agent. |
|
User |
Filtra por la dimensión de usuario. |
|
Agent application |
Filtra por el nombre de la aplicación. |
|
Agent host IP |
Filtra por la dirección IP del host de ejecución del Agent. |
|
Tool |
Filtra por las herramientas utilizadas. |
|
Session ID |
Filtra o localiza una sesión mediante un Session ID específico. |
Los campos de filtro permiten consultar valores candidatos después de introducir un prefijo. Devuelven los valores coincidentes junto con el recuento de sesiones.
Localización de sesiones
La página localiza las sesiones principalmente mediante filtros. Seleccione o introduzca la sesión objetivo en el filtro Session ID. También puede ir a Audit Facts desde páginas como Risk Audit y Entity Investigation para consultar el contexto de la sesión correspondiente.
Lista de sesiones
La lista de sesiones muestra información resumida de las sesiones coincidentes:
|
Campo |
Descripción |
|
Session ID |
Identificador único de la sesión |
|
Tool summary |
Herramientas principales utilizadas en la sesión |
|
Host / Agent application |
Host de ejecución y nombre de la aplicación |
|
User / Agent type |
Identificador de usuario y tipo de Agent |
|
Agent host IP |
Dirección IP del host de ejecución del Agent |
|
Event |
Recuento total de eventos sin procesar |
|
Turn |
Recuento de rondas de interacción |
|
Step |
Recuento de pasos de ejecución |
|
Req / Resp |
Recuento de solicitudes y respuestas de LLM |
|
Tool Call / Result |
Recuento de llamadas a herramientas y de resultados |
|
Last active |
Marca de tiempo del evento más reciente |
La lista se encuentra paginada. Haga clic en una fila para mostrar el contexto de la sesión en el panel derecho.
Detalles del contexto de la sesión
Al seleccionar una sesión, el panel derecho muestra la línea de tiempo completa de eventos correspondiente.
Tipos de eventos
La línea de tiempo muestra los siguientes tipos de eventos sin procesar:
|
Tipo de evento |
Etiqueta |
Descripción |
|
Other event |
other |
Eventos de metadatos a nivel de sesión |
|
LLM Request |
Request |
Solicitud enviada al modelo, incluidos los mensajes de entrada |
|
LLM Response |
Response |
Respuesta devuelta por el modelo, incluida la salida del asistente |
|
Tool Call |
tool call |
Invocación de herramienta iniciada por el Agent, con el nombre de la herramienta y sus parámetros |
|
Tool Result |
tool result |
Resultado devuelto tras la ejecución de la herramienta |
Información del evento
Cada evento muestra la siguiente información:
Event ID: identificador único a nivel global.
Turn / Step: ronda de interacción y número de paso al que pertenece el evento.
Timestamp: hora exacta en la que ocurrió el evento.
Content summary: contenido clave que se muestra según el tipo de evento, como entradas de usuario, salidas de modelo, parámetros de herramientas y resultados.
Token Analysis
Token Analysis observa los costos de llamada a modelos y el consumo de contexto. Responde a preguntas como: ¿qué modelos, aplicaciones o sesiones consumieron más tokens? ¿El consumo se concentra en unas pocas sesiones largas o en solicitudes anómalas?
Token Analysis suele incluir la siguiente información:
|
Módulo |
Descripción |
|
Token overview |
Muestra los tokens de entrada, los tokens de salida y el total de tokens. |
|
Model distribution and trends |
Presenta el consumo de tokens por modelo y permite observar las tendencias temporales. |
|
Session ranking |
Enumera las sesiones con mayor consumo y permite ir a Session Browsing para consultar el contexto. |
|
Token bucket distribution |
Detecta contextos largos y consumos anómalos mediante rangos de consumo de tokens por turno o por sesión. |
Token Analysis es una vista de hechos de auditoría y no indica que se haya confirmado un riesgo de seguridad. Si detecta un consumo anómalo, utilice Session Browsing y Behavior Analysis para comprobar si existen llamadas en bucle, fallos repetidos de herramientas, contextos demasiado largos o solicitudes de modelo anómalas.
Behavior Analysis
Behavior Analysis observa la actividad del Agent desde una perspectiva neutral de comportamiento. Sus resultados no equivalen directamente a la detección de riesgos. Responde a preguntas como: ¿qué aplicaciones son más activas?, ¿qué herramientas se llaman con frecuencia?, ¿existen grandes volúmenes de ejecución de comandos, interacciones externas o errores de herramientas?
Behavior Analysis suele incluir la siguiente información:
|
Módulo |
Descripción |
|
Activity metrics |
Muestra resúmenes como Agents activos, recuento de sesiones, solicitudes de modelos y volumen total de comportamiento. |
|
Tools and commands |
Recopila estadísticas sobre llamadas a herramientas, ejecución de comandos, familias de comandos y errores de herramientas. |
|
External interactions |
Recopila estadísticas sobre comportamientos relacionados con destinos externos, dominios o interacciones de red. |
|
Session ranking and timeline |
Localiza sesiones con volúmenes de comportamiento anómalos y permite ir a Session Browsing para reproducir el contexto. |
Behavior Analysis ayuda a comprender las líneas base de comportamiento normal y también proporciona contexto para las investigaciones de riesgos. Por ejemplo, cuando Risk Audit detecta exfiltración de datos confidenciales, puede usar Behavior Analysis para comprobar si la misma aplicación o el mismo host también presenta interacciones externas anómalas o errores de herramientas.
Navegación entre páginas y ubicación de contexto
Audit Facts funciona como punto de entrada para consultar el contexto desde otras páginas de auditoría. Cuando necesite ver sesiones sin procesar desde Risk Audit, Entity Investigation o Audit Management, vaya a Audit Facts y consulte la línea de tiempo de eventos de la sesión correspondiente en Session Browsing.
Si navega desde Risk Audit, use la información de sesión en los detalles del riesgo para volver a la sesión original. Así podrá consultar las solicitudes y respuestas de modelos, así como las llamadas y resultados de herramientas antes y después de que ocurriera el riesgo. Al navegar desde Entity Investigation, verá el contexto de la sesión en la que apareció una entidad específica. Si llega desde Audit Management, comprobará si una aplicación o un host determinado generó datos de auditoría.
Esta función mantiene la continuidad de las rutas de investigación: puede volver a los hechos de auditoría sin procesar desde riesgos, entidades o estados de ingesta. Sin embargo, la página Audit Facts solo ofrece capacidades de exploración, filtrado y visualización de contexto. No proporciona funciones de anotación ni de resolución de riesgos.
Ejemplos de escenarios de uso
Escenario 1: Consultar el contexto sin procesar de un evento de seguridad
Consulte los detalles de un riesgo en Risk Audit.
Tome nota de la sesión asociada al riesgo o vaya directamente a ella.
En Session Browsing dentro de Audit Facts, consulte la línea de tiempo de eventos sin procesar de esa sesión.
Combine las solicitudes y respuestas de modelos con las llamadas y resultados de herramientas para comprender el proceso completo antes y después del evento de seguridad.
Escenario 2: Investigar un consumo anómalo de tokens
En Token Analysis dentro de Audit Facts, identifique una sesión con un consumo anormalmente alto.
Vaya a Session Browsing o localice la sesión en el filtro Session ID.
Revise los eventos LLM Request y LLM Response para comprobar si existen contextos demasiado largos o llamadas repetidas.
Use los eventos de llamada a herramientas para confirmar si hay llamadas en bucle o reintentos por fallos.
Escenario 3: Comprobar la integridad de los datos de ingesta
En la página Audit Facts, filtre por un intervalo de tiempo reciente y por el tipo de Agent objetivo.
Revise las estadísticas de nivel superior en Session Browsing para confirmar que el recuento de sesiones y de eventos coincide con lo esperado.
Abra una sesión específica para ver la línea de tiempo de eventos. Compruebe que los eventos Turn, Step, Request/Response y Tool Call/Result estén completos.
Si faltan eventos o los campos están incompletos, revise la configuración de ingesta y el estado de los componentes de recopilación.