审计与事件

事件流

沙箱的每一步（agent.*、net.* ……）都进事件流，可实时订阅、可按前缀过滤：

rayrun events watch --sandbox <id> --kind 'agent.'
rayrun events watch --sandbox <id> --from-seq 42   # 补历史再挂实时

审计查询

rayrun audit query --kind 'agent.*' --limit 100
rayrun audit query --risk high            # 只看高风险记录

每条记录带 trust（host = 平台侧、guest = 沙箱内）与 risk（low / medium / high）， 可按此分级筛选。两种时间轴：降序翻页（--cursor）与升序增量（--from-seq）。

哈希链校验

rayrun audit verify

审计记录是只追加的哈希链 —— 这条命令逐条校验，能证明记录没有被事后篡改。

REST 等价物：审计。