审计与证据链

wesgine 的审计日志与证据链机制，为合规场景提供不可篡改的操作记录。

证据链（Evidence Chain）

每个 Run 生成一条哈希链：

每个事件（工具调用、模型响应、治理决策）产出一个证据节点
节点包含前一节点的哈希，形成链式结构
链断裂 = 数据被篡改

API 端点

GET /cells/{id}/observe/evidence

返回 JSONL 流格式的证据链数据。

注意：此端点需要 cell:admin 权限（INV-OBS-09）。不按 actor 过滤——证据链是逐 Run 的 hash chain，切片后缺环无法校验。

审计导出

GET /cells/{id}/audit/export

参数：

format：jsonl 或 csv
from / to：时间范围

GET /cells/{id}/audit/summary

返回审计摘要统计。

权限：同样需要 cell:admin，不按 actor 过滤。

治理审计

Governance 三步管道的每个决策都被记录：

步骤	记录内容
Hardline	灾难命令拦截事件
Sandbox	DenyPaths / NetworkPolicy 违规
Zone	效果分类结果 + GovernMode 决策

Zone 分类

Zone	含义
Green	允许，仅记录
Yellow	根据 GovernMode 决策
Red	条件允许，完整审计

Run 追踪

GET /cells/{id}/observe/runs                    Run 列表
GET /cells/{id}/observe/runs/{runID}            Run 详情
GET /cells/{id}/observe/runs/{runID}/tools      工具调用追踪
GET /cells/{id}/observe/traces                  Run 追踪摘要

工具调用记录

每个工具调用记录：

工具名称与参数
执行结果
耗时
Actor 归属
Zone 分类

崩溃日志

GET /cells/{id}/observe/crash-log
GET /admin/observe/crash-log

进程级崩溃事件记录，包含：

崩溃时间
Cell ID
错误信息
恢复状态

跨 Cell 聚合（Admin）

GET /admin/observe/snapshot         Hypervisor 级快照
GET /admin/observe/per-cell-stats   各 Cell 统计
GET /admin/observe/provider-latency Provider 延迟
GET /admin/observe/runs             跨 Cell Run 列表

这些 Admin 端点仅返回聚合/只读视图，不暴露 Cell 内业务数据。