调用审计
登录、查询、模型调用和设置变更的记录，含操作者、时间、索引、动作、结果和 token 用量。可以筛选、导出和转发到 SIEM。
调用审计显示网关写入 .rst_copilot_audit 索引的事件，位于 平台健康 > 调用审计。所有版本都可以使用，只有管理员可以查看。审计在 系统设置 中开启，未开启时页面显示 审计未启用。
调用概览
概览按 1 小时、24 小时 或 7 天 统计调用次数、失败次数和 耗时 P50 / P95，下方为调用量曲线和 动作分布。
筛选和导出事件
事件列表按 动作、结果、用户 和 索引 筛选，用户为精确匹配。导出 CSV 导出当前筛选结果。
选择一行的 查看详情，显示耗时、模型和 token 用量、脱敏后发送给模型的内容摘要，以及可复制的完整 JSON。
动作
| 动作 | 来源 |
|---|---|
| 登录、退出登录 | 登录页与账号菜单 |
| 生成查询、执行查询、解读、结果解读、日志解读、反馈 | 智能查询 |
| 调查、告警调查、分诊、批量分诊 | 实时告警、批量分诊 |
| 检测规则、生成检测规则、检测规则助手 | 检测规则 |
| 基线巡检 | 基线巡检 |
| 平台体检、体检解读 | 平台健康 |
| 字段字典、Kibana 跳转、事件报告、运营报告 | 对应页面 |
| 内容包生效、内容包回滚、版本暂存 | 在线更新 |
转发到 SIEM
审计事件可以同时转发到 syslog（RFC 5424）和 Webhook（POST JSON），在系统设置中配置，需要企业版许可。事件包含操作者、索引名和问题原文，因此 Webhook 目标的主机必须在 RST_AUDIT_WEBHOOK_ALLOWLIST 中，回环和链路本地地址一律拒绝。
保留期
审计索引默认不删除旧事件。设置 RST_ILM_BOOTSTRAP=1 后，网关在启动时创建 ILM 策略，保留天数由 RST_AUDIT_RETENTION_DAYS 设置，默认 180 天。