AI Agent审计日志的关键字段

AI Agent 的审计日志，重点不是保存模型“想了什么”，而是完整回答一次执行中的五个问题：谁发起、哪个 Agent 执行、依据什么授权、调用了什么资源、最终造成了什么结果。只记录“某技术账号调用成功”，无法区分人工操作、代理行为与委任关系，也无法证明权限使用是否符合业务目的。

身份与关联字段

身份字段至少应区分发起请求的用户、Agent 身份、Agent 实例或版本标识，以及被调用的工具身份。若存在“用户—业务 Agent—工具 Agent—目标系统”的多级调用，还应保存每一层的委任关系，不能只留下最后一个执行账号。

一次任务可能触发多次工具调用，因此需要使用会话标识、任务标识、请求标识、父调用标识和统一关联标识，将入口请求、审批、工具调用与最终结果串联起来。没有这些字段，跨系统调查往往只能看到彼此孤立的事件。

授权与动作字段

日志应记录工具或 API、操作名称、目标系统、目标资源、实际使用的角色和授权范围。授权信息还应包括授权结果、匹配的策略规则，以及审批编号或工单编号。这样才能判断“允许执行”究竟来自哪条规则，而不是事后凭结果推测权限依据。

业务目的和触发来源同样重要。任务类型、关联指令或流程编号，可以帮助审计人员判断操作是否确有业务依据。对于读取、创建、更新、删除、外部发送和权限变更，应明确记录动作类型；其中删除、批量修改、权限变更和对外发送通常需要更高风险等级与更严格的授权证据。

时间、结果与影响字段

时间字段不应只有一个时间戳，至少要区分指令接收、审批、工具调用和执行完成时间，以便还原事件顺序。结果字段则应覆盖成功、失败、拒绝、部分成功、超时、重试次数和最终状态，避免把“接口返回成功”误认为业务操作已经完整完成。

日志还应记录操作的影响范围、数据敏感程度、是否可逆和风险等级。更新或删除操作应保留必要的变更前后信息，或保存可核验变更内容的摘要；外部发送则需记录目标对象、发送渠道和发送结果。但日志不能成为新的泄露渠道，敏感内容应按要求脱敏、摘要化并限制访问。

审计日志的价值，最终取决于它能否重建责任链和授权链。字段设计应围绕身份、关联、授权、动作、结果与影响展开，并配合防篡改存储、访问控制、保留期限和调阅记录，才能从“事后档案”变成持续有效的安全控制。