Logs de runtime do sistema de IA (eBPF) - AgentLoop: Central de Documentação do Alibaba Cloud

Os logs de runtime do sistema de IA (eBPF) usam eBPF para coletar comportamentos de runtime de agentes de IA na camada do kernel Linux, incluindo interações com modelos, processos, arquivos e atividades de rede, sem modificar o código da aplicação do agente. Este tópico descreve como configurar os logs de runtime do sistema de IA (eBPF) no Integration Center e verificar se a gravação dos dados ocorre corretamente.

Cenários

Os logs de runtime do sistema de IA (eBPF) aplicam-se aos seguintes cenários:

Descubra agentes de IA em execução em hosts Linux ou containers de forma não intrusiva.
Colete comportamentos de runtime de agentes, frameworks de agentes e agentes personalizados não integrados ao LoongSuite Pilot ou a sondas de linguagem e framework.
Correlacione interações com modelos a processos, acesso a arquivos, execução de comandos e atividades de rede.
Atualize o escopo de coleta e as regras de detecção do AgentSight sem reiniciar as cargas de trabalho.

Escopo suportado

Os logs de runtime do sistema de IA (eBPF) oferecem suporte a cenários com hosts Linux, Docker e Kubernetes disponíveis no Integration Center. O eBPF fornece cobertura geral para runtimes comuns do Linux. No entanto, a coleta de payloads de LLM pode ser limitada quando o programa alvo usa uma implementação TLS especial ou um runtime ainda não suportado.

O eBPF pode não obter diretamente identificadores nativos de Session, Turn e Step nem estados internos do framework. Para obter esse contexto, use também o LoongSuite Pilot ou sondas de linguagem e framework. Para mais informações sobre como selecionar um método de integração, consulte Select an AI Agent integration method.

Pré-requisitos

Antes de começar, verifique se as seguintes condições são atendidas:

O AgentLoop está ativado e há um espaço de agente criado.
Os agentes de IA a serem coletados estão implantados nos hosts Linux, containers ou clusters alvo.
Você tem permissão para instalar ou atualizar o LoongCollector, executar comandos de integração e gerenciar grupos de máquinas.
O ambiente alvo atende aos requisitos de sistema operacional, kernel e rede exibidos na página de integração.
No cenário de DaemonSet do Kubernetes, o componente LoongCollector no ACK foi atualizado para a versão 3.3.10 ou posterior, e a opção eBPF Collection está ativada na página de configuração do componente.

Procedimento de integração

Faça login no AgentLoop. No painel de navegação à esquerda, clique em Integration Center.
Na seção AI Node Integration, clique em AI System Runtime Logs.
Selecione um cenário conforme o ambiente de implantação do agente, como host Linux, Docker ou Kubernetes.

Configure o escopo de coleta.

Parâmetro	Descrição
Project	Projeto do Simple Log Service (SLS) vinculado ao espaço de agente atual. Somente leitura.
Logstore	Logstore onde os logs de runtime são gravados. Fixo como `ebpf-event`. Somente leitura.
Machine group	Selecione ou crie o grupo de máquinas alvo para coleta.

Configure as regras de detecção do AgentSight. Se você não modificar a configuração, o sistema usará as regras padrão recomendadas. Ao alterar qualquer regra, a configuração atual substituirá a regra padrão correspondente. Para mais detalhes, consulte Configure AgentSight detection rules.
Ative o mascaramento de dados conforme necessário. Para mais detalhes, consulte Data masking.
Siga as instruções na página para instalar ou atualizar o LoongCollector e a configuração de coleta no ambiente alvo.

Configurar regras de detecção do AgentSight

Lista de permissões de linha de comando

O coletor de dados geralmente identifica agentes de IA automaticamente e os inclui no escopo de coleta. Se o processo alvo não for identificado, adicione regras à lista de permissões de linha de comando. Cada regra contém um tipo de agente e um padrão de argumento de linha de comando. Processos correspondentes a uma regra recebem uma tag com o tipo de agente associado.

Lista de bloqueios de linha de comando

A lista de bloqueios de linha de comando exclui padrões de processos que não precisam de coleta. Essa lista tem prioridade sobre a lista de permissões.

Lista de permissões de domínio

A lista de permissões de domínio determina quais atividades de rede entram no escopo candidato de coleta. As regras padrão incluem domínios comuns de services de modelos, como Model Studio, OpenAI e Anthropic. Ao usar outros provedores de services de modelos ou um gateway de IA personalizado, adicione os domínios correspondentes.

A entrada de tráfego no escopo candidato de coleta não garante a análise do protocolo de payload. Se você visualizar atividades de rede, mas não conseguir ver interações completas com o modelo, verifique se o protocolo e o runtime alvo estão dentro do escopo atualmente suportado.

Coletar tráfego HTTPS bruto

Ao ativar Collect Https Raw Traffic, o tráfego que não pode ser analisado semanticamente como LLM — como caminhos de API desconhecidos ou corpos não padronizados — deixa de ser descartado e passa a ser reportado como HTTP bruto.

Nota

Este recurso é suportado apenas no LoongCollector 3.3.10 ou posterior.

Mascaramento de dados

Logs de runtime podem conter informações sensíveis, como números de telefone, endereços de e-mail e chaves de API. Conforme necessário, ative o mascaramento de dados no endpoint na configuração de integração. Os tipos de dados suportados incluem números de telefone, números de documentos de ID, endereços de e-mail, endereços IP, números de telefone fixo e números de cartões bancários.

O mascaramento de dados vem desativado por padrão. Após a ativação, os dados mascarados ainda retêm o contexto necessário para auditoria e solução de problemas.

Verificar a integração

Após concluir a integração, verifique se o Logstore ebpf-event no console SLS contém os dados mais recentes dos hosts ou containers alvo. Se houver dados no Logstore, acesse Audit management ou Audit facts e confirme se os nós, agentes ou processos alvo podem ser consultados no intervalo de tempo correspondente.

Perguntas frequentes

Ausência de dados no Logstore

Verifique se o LoongCollector e a configuração de coleta foram instalados ou atualizados com sucesso.
Confirme se os hosts ou containers alvo pertencem ao grupo de máquinas selecionado.
Certifique-se de que o intervalo de tempo da consulta abrange o período posterior à integração.
Valide se o ambiente alvo atende aos requisitos de sistema operacional, kernel e rede exibidos na página.

Agente alvo não identificado

Primeiramente, verifique se o processo alvo está em execução. Caso o coletor de dados não identifique o processo automaticamente, adicione o tipo de agente e o padrão de argumento de linha de comando à lista de permissões de linha de comando.

Coleta de processos indesejados

Adicione os padrões de processos a excluir na lista de bloqueios de linha de comando. A lista de bloqueios tem prioridade sobre a lista de permissões.

Atividades de rede visíveis, mas interações completas com o modelo indisponíveis

Verifique se o domínio do service de modelo consta na lista de permissões de domínio e se o protocolo e o runtime usados pelo programa alvo estão dentro do escopo atualmente suportado. A lista de permissões de domínio altera apenas o escopo candidato de coleta, sem garantir a análise do payload. Se for necessário manter o tráfego não analisável, ative Collect Https Raw Traffic para reportá-lo como HTTP bruto. Esse recurso exige o LoongCollector 3.3.10 ou posterior.

AgentLoop:Logs de runtime do sistema de IA (eBPF)