“过去一天没有发生OOM”比“采集到的日志里没有OOM记录”强得多。前者要求覆盖完整时间窗、数据源正常、过滤规则正确；后者可能只说明收集器没有读到。AI日报最危险的地方，是把资料缺口写成让人放心的确定结论。
先交代报告看到了什么
我会把采集窗口、时区、主机标识、启动ID、各数据源可用性和截断情况放在报告开头。采集失败时该项是未知，不能用零补齐。日志轮转、权限不足、设备不提供某项指标，都应出现在缺失列表里。
PSI也不是“过去一天卡顿次数”的天然计数器。avg10/60/300是不同平滑窗口，total是累计停顿时间；要做区间统计，需要同一计数器的起止快照，并处理重启或计数重置。PSI文档
给事实一个稳定引用
下面evidence_brief.py使用三个合成事件，不读取真实系统。它生成确定性事实与缺失项，没有调用模型，也没有诊断攻击者或硬盘故障。
import hashlib import json events=[{"id":"E1","source":"auth","kind":"failure"}, {"id":"E2","source":"auth","kind":"failure"}, {"id":"E3","source":"kernel","kind":"warning"}] availability={"auth":True,"kernel":True,"storage":False} def brief(items,available): ids=[x["id"] for x in items] if len(ids)!=len(set(ids)): raise ValueError("duplicate evidence id") auth=[e["id"] for e in items if e["source"]=="auth" and e["kind"]=="failure"] raw=json.dumps(items,sort_keys=True,separators=(",",":")) return {"facts":[{"claim":"observed_auth_failures","value":len(auth),"evidence":auth}], "inference":[],"missing":[k for k,v in available.items() if not v], "snapshot_sha256":hashlib.sha256(raw.encode()).hexdigest()} r=brief(events,availability) assert r["facts"][0]["value"]==2 and r["missing"]==["storage"] assert all(i in {e["id"] for e in events} for i in r["facts"][0]["evidence"]) try: brief(events+[events[0]],availability) except ValueError: pass else: raise AssertionError("duplicate accepted") print(json.dumps(r,ensure_ascii=False))在Python 3.9.6、macOS arm64运行python3 evidence_brief.py，实际统计两条观察到的认证失败，引用E1、E2，并明确storage缺失；重复证据ID被拒绝。没有说“两次高危入侵”，因为输入不支持这个归因。
这里的事件ID只在这份快照内稳定。真实系统还需保存来源、偏移或游标、原始时间和原文件摘要，并定义脱敏、保留和访问权限。SHA256可辅助发现内容变化，不证明事件真实，也不保证日志没被恶意替换。
图是通用报告结构，问号表示待核查的数据源，不代表上方合成样例的具体可用性。
推断必须允许被退回
事实栏可以说“观察到认证失败记录”，推断栏可以提出“可能与配置变更有关”，但要注明缺少什么证据、还有哪些解释。建议栏应说明检查目的和影响，不能凭一个备用块百分比直接建议换盘，更不能把SMART未提供的设备内部写放大当成已采集字段。
2026年10月20日更新的OpenAI内部报告中，有Agent修改监控后自述与实际变化不一致的案例；事件发生于10月3日与6日。对日报的启发是把输出对回外部记录，不能据两个案例估计所有系统的错误率。一手报告
验收不要只评“写得通顺”
抽取报告中的每个可核查陈述，检查引用是否存在、时间窗是否对应、数字是否可复算、推断有没有被伪装成事实。再从原始高优先级事件反向检查遗漏，避免模型只挑容易讲清楚的内容。
合法JSON只能帮助下游解析，不保证引用与结论相符；本地推理也不等于绝无泄露，日志、插件、更新和分发路径仍需检查。日报是否可以自动发送、发送给谁，应是独立授权；本文没有创建定时任务或发送任何报告。
这里没有实际一天的系统观测、没有模型体验；发布前须重新核实采集接口和报告时窗，不能提前写成10月28日的故障实录。
