只建行为检测不会进风险视图：阿里云自定义审计规则要两段串起来

CodexQA 团队Oct 20, 20264 min read

阿里云 AgentLoop 的自定义审计要先有行为检测，再有事件关联，风险事件才会进概览。只建前一段只能在检测发现里看。删除不回收历史结果。原文没有准确率。

In this piece

AgentLoop 是阿里云的 Agent 观测与优化产品。文档《自定义审计规则》的页面日期是 2026 年 10 月 20 日。它讲的是怎么用企业自己的判定标准补审计，不讲模型准确率。规则可以由 Loopie 对话助手按你描述的行为和风险来生成，先出规则、执行任务和验证证据，审核后再保存应用。

检测发现和风险事件不是同一层

自定义规则分两类：

链路是：审计数据源，到行为检测规则，到检测发现，再到事件关联规则，最后才是风险事件。

要把一条新的自定义检测放进概览和风险浏览器的风险事件视图，必须先有行为检测规则，再有一条事件关联规则去引用它输出的风险类型或风险子类。关联规则生效之后，系统才根据检测发现生成风险事件。

只建行为检测规则时，结果只是中间产物，在风险浏览器的「检测发现」里能看到，不会出现在概览或风险事件视图。两类规则靠风险类型和风险子类接上。事件关联规则既能复用系统预定义的行为检测结果，也能处理自定义行为检测的输出。系统预定义的检测仍在审计管理的检测配置里管，不在这一页替换掉。

文档写了三条前提：智能体空间（AgentSpace）已经建好，而且审计数据已经接入；这个空间已经绑了可用的日志服务 SLS；当前账号有这个空间的管理权限。缺任何一条，后面的新建步骤不适用。

路径是 AgentLoop 控制台，审计，审计管理。检测配置卡片里有自定义规则，点「管理规则」。

审计管理页同时给出自定义规则总数、已启用数量和运行异常数量。这三个数只用来判断要不要进去处理，文档没有给异常的阈值。

规则管理页默认以事件关联规则为主。左边选一条关联规则，右边看「输入风险 → 关联条件 → 输出风险事件」。同时能看到和当前输入风险范围匹配的自定义行为检测规则。

页面下方另列行为检测规则，有「未被引用」和「全部」两个视图。未被引用的意思是：还没有事件关联规则使用它输出的风险类型或风险子类。文档写明这不表示规则本身已经失效。

右上角「新建规则」。在 Loopie 对话区写要检测的风险、适用范围和期望输出。文档的例子是检测 Agent 工具调用中的反弹 Shell 行为。然后等它完成采样、验证，并生成规则和任务。

左侧审核区要分别看概述、规则和关联分类，再到「验证与证据」里确认验证结果。点「审核并保存」，核对将要保存的检测规则、关联分类和执行任务，确认后才保存并应用当前版本。

保存完成不等于任务已经跑起来。任务可能仍是「应用中」。要回规则列表，以页面上的运行状态为准。

详情里能看摘要、运行状态、开关、关联分类和实现信息。启用或停用切的是规则所属任务的开关。多条规则如果共享同一个任务，页面会提示这次操作的影响范围，不能当成只关了眼前这一条。

名称和摘要可以改。检测逻辑要让 Loopie 重新对话、重新验证，再存成新版本。

删除分两种。任务里只有当前这一条规则，确认后可以直接删。任务里有多条规则，要先让 Loopie 生成「去掉当前规则之后」的完整任务，不能只把这一条抠掉。

删除后不能恢复。生效之后，这条规则不再产生新的检测结果。已经生成的检测发现和风险事件不会被删掉。删之前要确认影响范围。

Found it useful? Pass it on

WeChat

Scan with WeChat to open it on your phone and forward it.