日志服务：采集 AI Agent 可观测（AgentSight）日志

功能概述

input_agentsight 插件通过 eBPF 在内核层挂载 SSL/TLS 探针与进程观测，捕获 Agent 进程与 LLM 服务之间的加密流量，从而在不修改 Agent 代码的前提下实现端到端可观测。支持采集的数据包括：

• 请求 messages 与响应 messages

• 模型名、Token 用量、耗时、状态码

• 工具定义（tool definitions）

支持基于域名白名单识别访问大模型 API 的进程，内置常见大模型 API 域名。

适用范围

使用 input_agentsight 插件前，请确认满足以下条件：

• 服务器操作系统内核版本为 Linux 5.10 及以上。该插件依赖 eBPF 技术进行系统层观测，低于 5.10 的内核不支持相关特性。已验证支持的环境包括 Alibaba Cloud Linux 3、Ubuntu 22.04、Ubuntu 24.04。可执行以下命令查看当前内核版本：

  uname -r

• 已在服务器上安装 LoongCollector 最新版本（不低于 v3.3.9）。AgentSight 采集能力依赖较新版本的 LoongCollector，请务必升级到最新版后再进行配置。

• 已在目标服务器上部署并运行待观测的 Agent 工具（如 OpenClaw、Hermes 等）。

• Agent 可执行文件需满足 eBPF 可定位条件（保留符号表或使用常见 SSL 库），否则无法采集加密流量。具体兼容性判断请参见技术附录。

• ACK 容器环境：若待观测的 Agent 运行在容器服务 Kubernetes 版（ACK）集群的 Pod 中，需额外满足以下条件：

  • 集群中的 LoongCollector 组件已升级到 v3.3.10 及以上版本。

  • 已在 ACK 控制台的组件管理页面开启 enableEBPF 开关。

  满足以上条件后，即可创建 AgentSight 采集配置，采集集群内 Agent 与 LLM 之间的交互日志。

创建 AgentSight 采集配置

1. 登录日志服务控制台。

2. 在接入数据区域，选择对应的 LoongCollector 采集配置入口，选择目标 Project 和 Logstore。

3. 在机器组配置页面，配置并应用目标机器组。

   重要

   创建机器组后立刻应用，可能因为连接未生效，导致心跳为 FAIL，可单击自动重试。

4. 进入数据源设置页签，设置配置名称并填写插件配置，然后完成后续步骤。插件类型固定为 input_agentsight，根据实际场景选择以下配置模式：

   • 仅观测内置默认 Agent 和域名：使用最简配置，全部走默认（注入内置默认白名单与默认域名列表）。

   • 需观测非默认域名的模型服务：使用自定义域名白名单，将目标域名显式加入列表。

   • 需精确匹配特定进程：使用自定义命令行白名单，按进程命令行筛选 Agent 并标记类型。

   • 需保留无法解析为 GenAI 语义的流量：开启原始 HTTP 流量上报，将未知协议的流量以原始 HTTP 形式保留。

   最简配置：仅指定插件类型，全部走默认配置（注入内置默认白名单与默认域名列表）。

   {
       "inputs": [
           {
               "type": "input_agentsight"
           }
       ]
   }

   自定义域名白名单：

   {
       "inputs": [
           {
               "detail": {
                   "ProbeConfig": {
                       "Https": [
                           "api.openai.com",
                           "api.anthropic.com",
                           "dashscope-intl.aliyuncs.com",
                           "dashscope.aliyuncs.com"
                       ]
                   }
               },
               "type": "input_agentsight"
           }
       ]
   }

   自定义命令行白名单：按进程命令行精确筛选目标 Agent 并标记其类型。

   {
       "inputs": [
           {
               "detail": {
                   "ProbeConfig": {
                       "CmdlineWhitelist": [
                           {
                               "AgentType": "openclaw",
                               "Args": ["node*", "*openclaw*"]
                           },
                           {
                               "AgentType": "claude-code",
                               "Args": ["node*", "*claude*"]
                           }
                       ]
                   }
               },
               "type": "input_agentsight"
           }
       ]
   }

   未知协议以原始 HTTP 流量上报：开启 ProbeConfig.RawHttpsFallback 后，AgentSight 无法解析为 GenAI 语义的流量（未知 API path、非标准 body）不再丢弃，而是以原始 HTTP 形式上报。

   {
       "inputs": [
           {
               "detail": {
                   "ProbeConfig": {
                       "RawHttpsFallback": true
                   }
               },
               "type": "input_agentsight"
           }
       ]
   }

   说明

   开启该配置后的行为如下：

   • RawHttpsFallback: true 输出的原始 HTTP 日志仅在 AgentSight 无法将流量解析为 GenAI 语义时产生，与 gen_ai.* 日志互斥，同一次流量最多产生其中一种。

   • 原始 HTTP 流量以 event.name=http.request 或 http.response 事件名上报。

   • 该功能仅在 LoongCollector v3.3.10 及以上版本中支持。

5. 创建索引并预览数据。可根据采集到的字段手动创建字段索引或单击自动生成索引。

6. 完成配置后，等待约 1 分钟索引生效，即可在 Logstore 查询分析页面查看采集到的日志。

7. 验证采集结果。正常采集时，日志中应包含以下关键字段：

   • gen_ai.agent.type：标识 Agent 类型（如 openclaw、hermes）。

   • gen_ai.model.request 和 gen_ai.model.response：分别对应请求日志与响应日志（EventStreamFormat 为 true 时）。

   • event.id：同一次 LLM 调用的请求与响应共享同一 ID。

   如果查询页面无数据，请参见使用限制与问题排查。

配置参数

采集范围判定逻辑

HTTPS 加密流量按下列固定顺序判定（进程级）：

1. 命中 CmdlineBlacklist → 不采集（黑名单优先）。

2. 未命中黑名单，且命中 CmdlineWhitelist → 纳入采集。

3. 仍未纳入，且进程访问域名命中 Https → 纳入采集。

4. 以上均未命中 → 不采集。

使用限制与问题排查

• 预览或查询页面无数据：请先确认服务器内核版本不低于 5.10（uname -r）、LoongCollector 已升级到 v3.3.9 及以上；再确认目标进程的命令行能被 CmdlineWhitelist 命中，或其访问的域名在 Https 列表内。可在本机执行以下命令查看真实命令行后再编写 glob 规则：

  tr '\0' ' ' < /proc/<PID>/cmdline; echo

• 此外，还可参见Logtail采集日志失败的排查思路进行排查。

技术附录

input_agentsight 基于 eBPF 采集，能否采集到某个 Agent 的 HTTPS 加密流量，取决于其可执行文件是否可被 eBPF 定位到 SSL 收发函数。可参考下表判断：