处置手册
知识库。上传手册与 SOP 作为检索上下文，同步本实例的 Splunk 对象，解法库与纠错约定，关键词或语义检索。
处置手册是 App 的知识库（KV copilot_kb）。模型在生成 SPL、解读、调查时用 search_kb 检索它，命中的片段作为参考上下文进入提示词；纠错约定每次都注入。所有版本可用。
文档
上传内容为文本（粘贴或从 .md、.txt 读取），包含标题、正文、最多 6 个标签。.pdf 与 .docx 需要先转换为文本。文档按段切块存储；开启 embeddings 时向量化，未开启时走关键词。列表按来源筛选：手动上传、Splunk 对象、纠错。
检索页签直接试一条问题，显示 Top-K 命中与分数（有 embeddings 时为余弦相似度，没有时为关键词重合）。
同步 Splunk 对象
1.8.0 起，同步 Splunk 对象把本实例已有的对象写入知识库，一个对象一条文档（metadata.source = splunk_object）：
| 类型 | 采集内容 |
|---|---|
| saved searches | 名称、描述、SPL、cron、app |
| lookups | 定义、字段、前 3 行样例（| inputlookup，大于 50 MB 的跳过） |
| 宏 | 名称、定义、参数 |
| 数据模型 | 对象与字段 |
| 仪表盘 | 标题与面板中的 <query> |
| eventtypes 与 tags | 名称与定义 |
按 app/name 幂等，内容 hash 未变时不重写；Splunk 自带的管道 app 跳过。首次执行对每个 lookup 采样，大实例需要几分钟；之后秒级完成。[kb_sync] enabled = 1 时每 24 小时（interval_hours）自动执行。
效果示例：问「最近 7 天登录失败的主机及负责人」，同步前模型编造 owner="未知"；同步后自动写出 | lookup asset_owner host OUTPUT owner team，因为模型知道该 lookup 存在及其列。
解法库
解法库页签列出智能查询中跑出过结果的（问题、index、SPL）三元组：置信度、命中次数、最近使用。相似问题（同 index，相似度不低于 [solutions] min_score）生成时作为示例注入，首页显示参考了 N 条已验证解法。行内可禁用（不再作为示例）、删除、在首页试跑。收到负面反馈的解法自动降级。
纠错约定
来源筛选纠错显示智能查询中确认过的约定（「统计登录失败时用 sshd 的 Failed password 事件」），关联 index 与 sourcetype。修改文本即刻生效；删除后不再注入。
权限
检索对 viewer 开放。上传需要 analyst，同步与删除需要 admin，见三档角色。