通用方法 · 深入
它出了事，你多久才会知道
「没有调查权」是当前的事实，不是你偷懒的借口
事故的代价，一半在事件本身，另一半在「你多久才知道」。这一页是上一页的补强篇：上一篇讲「什么算事故、按哪条路径升级」，这一篇只补一件上一篇没算过的东西 —— 时滞（从异常发生，到你第一次知道，中间那一段）。可核的事实摆在这里：某前沿实验室内部倒查出的安全事件约 24 起，其中已曝光案例「从发生到对外披露」最长间隔 201 天；同期三大州的前沿 AI 安全法只要求给出通俗语言的事件摘要，并不授予追问、调查与调档的权力。结论很朴素：出了事，没有人会替你查。所以要你补的不是更多监控，而是三样能给外人看的东西 —— ① 一份只有三个字段的事件台账 ② 一条「日志滚动覆盖之前必须落盘」的硬时刻 ③ 一份不问「是不是事故」也能交出去的留证清单。
方法 · 一图看懂
1
先把「事件」和「事故」分开 — 事件 = 记录下来的一个异常；事故 = 已认定责任与影响的那件。两者之间隔着的正是你要补的这段时间
2
只记两个时间戳 — 「发生时刻」与「你第一次知道的时刻」。两者之差就是你的时滞，一个能横向比较、能逐年压的数字
3
留证必须早于第三个时刻 — 日志被滚动覆盖、会话被压缩、临时文件被清掉的那一刻。晚于它，你连复盘都做不成
4
别把「等官方调查」写进预案 — 现行规则给的是披露义务，不是调查权。你的预案得自己走完一遍
时滞是怎么被拉长的
三个环节各自都能吃掉时间：① 发现环节 —— 没有人为「这条日志看起来不对」停下来，异常就这么流过去了；② 归属环节 —— 看到了异常，但没人确定它属于哪一次运行、哪一个账号、哪一份数据，于是先放着；③ 上报环节 —— 确定了，但不确定「这算不算事故」，于是等一个更权威的说法。三个环节的共同点是：都不需要任何人做错事。某实验室自述「仍有数 PB 的智能体活动日志待处理」，就是这三个环节叠加后的物理结果 —— 不是不想查，是数据量本身已经超过人肉排查的带宽。
一份只有三行的台账长什么样
字段少到你会真的去填，才有用。第一行 发生：ISO 时刻 + 一句话现象（照抄日志原文，不做解释）。第二行 知悉：ISO 时刻 + 你从哪知道的（告警 / 客户 / 自己翻出来）。第三行 处置：状态（未定 / 已定）+ 指向具体文件的证据路径。刻意不设的字段：影响评估、责任归属、事故等级 —— 这三个一旦进表，每一条都会卡在「等定性」，台账立刻死掉。它要的不是结论，是时间线能站得住。
原理 · 为什么有效
这套做法背后的原理只有一句：可核的时滞 ＞ 看起来严密的监控。监控告诉你「现在有没有异常」，它不告诉你「上一次异常是什么时候被你漏过去的」；而时滞是一个事后可核、可跨期比较的量 —— 你能拿它向上解释、向下压指标，也能在被追问时拿出时间线。反过来讲，「我加了监控」不是一份能交出去的东西：它没有时间戳，也没有第一次知道的时刻。
适用场景
适合已经在让 agent 无人值守干活、并且开始担心「出了事说不清」的人；不需要专门的审计工具，一个表格加一条定时落盘就够起步。不太适合两类情形：① 现阶段 agent 还只在你自己电脑上、跑一次看一次 —— 你先需要的是权限边界，不是时滞；② 组织已有专职的安全运营流程 —— 你要做的是把本文的三行台账接进去，而不是另起一套。
自测 · 5 问
我能不能说出上一次「异常发生」与「我知悉」之间的具体小时数？
我的日志在滚动覆盖之前，有没有一个确定会落盘的时刻？
台账里有没有「影响评估」这类字段，正卡着一堆待定性条目？
出事时我能拿出来的第一份东西，是时间线还是一句「我加了监控」？
我的预案里有没有一条写着「等官方调查结果」？
怎么上手 · 验证步骤
第一步只有一个动作：先给手上正在跑的那一个 agent 建台账，只填一条。回想最近一周任何一次「咦，这一步怎么不对」的瞬间，把当时的时刻和你注意到的时刻写下来 —— 哪怕两个时刻相隔 30 秒。先把空表填出第一行，比先设计字段重要。第二条再做：给日志落盘定一个时刻（比如每天固定时间把当天的运行记录复制到另一处），只做这一件，不必改任何代码。
自检动作：把台账的第一行拿给你团队里不知道这件事的人看，问他「你能从这三行里说出发生了什么、你什么时候知道的吗」。他答得出来 ⇒ 这张表合格；他反过来问你「这是什么意思」⇒ 说明你写的是给自己看的，不是能交出去的。