AI로 감사 로그에서 의심스러운 활동 검토하기, 데이터 무보존
에이전트가 하루치 관리자 이벤트를 읽고, 의심스러운 이벤트 순서를 이벤트 ID와 권장 대응과 함께 표시합니다.
- 읽기 전용 연결
- 데이터 무보존
- 예산 상한
실제 실행 보기
2026년 10월 7일에 기록된 실제 실행을 다시 재생합니다. 모델: openai/gpt-6-luna.
- 대기 중예산 $0.03 예약됨
- MicroVMmicroVM ready
- MicroVMworker started · shell off · web off
- 연결ops GET /audit-log
- 결과
ops GET → 200 - MicroVMmicroVM destroyed
- 성공모델 호출 2회, 토큰 3,902개기록된 출력 (영어)
Verdict: High-severity suspicious activity: [email protected]’s account had a linked off-hours access and privilege/data-access sequence from an IP not seen in its earlier events.
Severity Event IDs Why unusual Recommended response high ev013–ev020 Three failed logins were followed by a successful login using a recovery code at 23:14 UTC, outside the stated 08:00–19:00 UTC business hours. From the same IP, the account then granted admin access to an external address, exported 48,210 rows, created an API key, and that address logged in. Contain the account and review its sessions, recovery-code use, role change, export, and API key; revoke access or credentials as appropriate. No finding for the rest of the log.
- 워커 폐기됨$0.003879 청구, $0.026121 반환
이 실행에서는 데이터 무보존이 켜져 있었습니다.
직접 실행하기
요청이 모두 채워진 상태로 플레이그라운드에서 샘플을 엽니다. 내 계정에서 표시된 예산 안에서, 같은 읽기 전용 샘플 시스템을 대상으로 실행됩니다.
이 샘플의 예산: $0.03
작동 방식
감사 로그는 민감하므로 이 실행은 데이터 무보존과 읽기 전용 연결을 사용합니다. 에이전트는 정확한 이벤트 ID를 짚고, 그 순서가 왜 이례적인지(업무 시간 외, 다단계 인증 생략, 권한 변경, 대량 내보내기) 설명하며, 특정인을 지목하지 않습니다.
에이전트가 할 수 있는 일과 할 수 없는 일
권한은 요청의 일부입니다. 여기에 나열되지 않은 것은 실행에서 사용할 수 없습니다.
| 설정 | 허용 범위 |
|---|---|
| 연결 | ops: ephemer.al/api/samples/ops-api에서 GET만 허용 |
| 웹 | 꺼짐 |
| 셸 | 꺼짐 |
| 파일 | 없음 |
| 데이터 무보존 | 켜짐: 추적이 기록되지 않으며 출력은 한 번만 반환됩니다 |
| 예산 | $0.03, 하드 캡 |
| 시간 제한 | 60초 |
자격 증명은 머신 안으로 들어가지 않습니다. 브로커가 각 호출에 자격 증명을 추가하고 위의 메서드를 강제합니다.
코드
샘플이 보내는 정확한 요청입니다. EPHEMERAL_API_KEY를 내 조직의 멤버 키로 설정하세요.
curl -X POST $EPHEMERAL_URL/v1/runs \
-H "Authorization: Bearer $EPHEMERAL_API_KEY" \
-H "Content-Type: application/json" \
-H "Idempotency-Key: $(uuidgen)" \
-d @request.json전체 요청 본문 request.json
파일이 인라인으로 포함된 같은 본문입니다.
{
"prompt": "Review the audit log from GET /audit-log on the ops connection and the business hours it states. Reply in Markdown, at most 200 words: a one-line verdict, then a table of suspicious findings with severity (high, medium, low), the event IDs, why they are unusual, and a recommended response. Treat patterns, not single events, as findings: an off-hours login alone is low. Say 'no finding' for the rest of the log in one line. Describe behavior of accounts, never accuse a person. Use only what the data returns and never guess; if a call fails or a field is missing, say so.",
"connections": {
"ops": {
"type": "http",
"url": "https://ephemer.al/api/samples/ops-api",
"auth": {
"type": "bearer",
"token": "sample_read_key"
},
"allowed_methods": [
"GET"
],
"instructions": "GET /audit-log returns the date, a note on business hours, and events with id, at (UTC), actor, action, target, ip, result and sometimes reason, mfa, rows or role."
}
},
"shell": false,
"timeout_seconds": 60,
"max_cost_micros": 30000,
"zero_data_retention": true
}