本文聚焦于 AI Agent（智能体）快速落地过程中日益突出的安全事件报告问题。随着 Agent 在真实业务中被广泛部署，针对它们的 AI 特有攻击与相应安全事件不断增多，而现有的安全事件报告框架（如传统漏洞披露、CERT/CSIRT 事件分类）大多是围绕传统软件与网络系统设计的，无法刻画 Agent 的行为特征、运行上下文和责任边界。作者指出，事件报告如今不仅是安全工程问题，更是法律合规、治理、问责与审计的基础设施，因此必须针对 Agent 的独特性进行重构。 在方法上，论文由两位编辑作者系统对比了「AI 系统」与「AI Agent」的差异，并汇集 23 位来自学术界与产业界的专家意见，通过专家研讨/征询的方式提炼出：当 Agent 的安全性受到损害时，需要报告哪些信息要素。文中给出的候选报告要素包括 Agent 的记忆（memory）及其访问记录、实际与潜在的自主性（autonomy）等级、工具调用（tool usage）情况等——这些在传统事件报告中通常缺失，却直接决定了事件的复现、归因与影响评估。 基于这些发现，作者提出了一系列开放研究问题，例如：如何以可扩展、低成本的方式高效记录事件；如何判断某个漏洞或事件是否会在不同 Agent、不同模型或不同部署环境中泛化。专家反馈还揭示了报告体系自身的新风险：上报数据可能导致敏感信息泄露，报告基础设施本身也可能成为攻击目标，从而衍生出额外的研究需求。最后，文章梳理了事件报告中的隐私与合规要求，并给出了面向 Agent 安全可信部署的研究方向。 该文属于立场/议程设定类（position & research agenda）论文，适合 AI 安全研究者、SOC/事件响应团队、AI 治理与合规人员、以及负责 Agent 平台架构与审计的工程师阅读，用于指导内部 Agent 事件分类与取证字段设计。

该论文研究的是基于主机的入侵防御系统（IPS）在高性能网络环境下面临的日志子系统瓶颈问题。作者指出，现代高速网络中，应用日志管道本身可能成为性能瓶颈，攻击者可以通过产生大量流量（例如DNS请求）淹没日志处理流程，导致关键审计记录被丢弃，从而绕过依赖日志检测的IPS（如Fail2Ban）。论文首先通过实验证明，监控BIND9的Fail2Ban部署在不到65 Mbps的DNS流量下即可被击败，说明传统日志框架无法支撑高速检测需求。进一步，作者将IPS架构中的核心组件替换为高性能等价物（iptables与eBPF、正则匹配改用Hyperscan）后，发现日志后端本身成为新的瓶颈。为此，论文提出了FIPS（Fast IPC for Logging），一种专为高性能日志设计的新型进程间通信机制。FIPS绕过内核，将日志消息复制降到最低；采用每线程无锁共享内存环形缓冲区，支持多个独立消费者以各自速度读取同一日志流。FIPS提供原生API，并可作为syslog接口的即插即用替代品。基于BIND 9的评估显示：FIPS相比禁用日志几乎不引入额外开销；相比其他日志框架能记录更多请求；与文件日志相比，能让IPS封禁恶意客户端的速度快2.5倍，并在每秒100万请求的压力下维持多达2^16个攻击客户端。该研究的核心贡献在于系统化揭示了日志框架对IPS有效性的影响，并提供了可落地的解决方案FIPS，为高速网络环境下入侵检测的流量捕获与审计提供了新思路。本文仅基于论文摘要分析，未验证具体实验细节与源代码实现。

本文针对现有系统审计架构在事件覆盖率和日志可用性之间的两难问题展开研究。传统审计机制通常以内核模块或系统服务的形式实现，在记录高细粒度事件时往往面临严重的性能开销，导致系统管理员必须在“记录更多事件”与“保证业务响应速度”之间做出取舍。作者指出，现代操作系统审计（如 Linux Audit、Windows ETW）在事件量激增时会造成日志丢失、延迟或系统停顿，从而削弱安全监控的完整性和实时性。为解决上述问题，论文提出一种重新设计的系统审计架构，核心思路是将事件采集、规范化、关联与存储流程解耦，并通过同步日志可用性机制确保安全分析人员能够及时获取一致、完整的审计记录。该方法强调在保持高事件覆盖率（即不遗漏关键安全事件）的同时，实现日志的同步可读性，避免因异步缓冲或批量刷写导致的监控盲区。论文的主要贡献包括：提出一种新型审计流水线架构，支持系统级事件的全面捕获；设计高效的同步日志接口，降低事件传输延迟；通过实验评估证明该架构在事件吞吐量、日志完整性和性能开销方面优于现有方案。适合系统安全、操作系统内核、蓝队监控基础设施以及SIEM集成方向的研究人员和工程师阅读，能够为构建高性能、高可靠的主机审计系统提供理论依据和设计参考。