TDIR 终端

执行时遵守 ../tdir-shared/SKILL.md 的认证、输出、写操作和安全契约。

默认直接使用 tdir endpoints，并先读取目标叶子命令帮助。看一台终端的顺序是：先详情，再历史洞察与研判结论，最后行为画像。

详情：tdir endpoints get <machine_id> [--source] [--platform]（失陷状态、风险、画像标签、活跃、租户类型）。
历史洞察与研判结论：tdir endpoints insights <machine_id>（summary 统计 + 按告警开始时间倒序分页）。
行为画像与进程树：tdir endpoints activity get <machine_id> --source <source>、tdir endpoints process-tree get <machine_id> --source <source>（--source 必填）。
当前失陷终端列表与详情：tdir endpoints compromised list 或 tdir endpoints compromised get <machine_id>。
失陷态势与原因归因一键汇总（tdir endpoints compromised summary 或 tdir endpoints compromised list --summary [--top 5]）：一次输出各来源域及 EMDR 的存量失陷与新增失陷终端数（scale：同时输出 machine 表 L1 定性台账终端数与洞察侧拆分的 human_confirmed_compromised_machines 人工确认失陷终端 / l1_determined_compromised_machines L1 定性失陷终端）、失陷租户 TOP5（top_tenants）、按 COALESCE(source_incident_uuid, incident_uuid) 归并的失陷场景 TOP5（top_scenes，明确标注人工确认 vs L1 独立定性/聚类传播）及四维失陷归因（attribution：攻击入口 threat_vectors、攻击意图 attack_intentions、攻击团伙 threat_actors、专题 topics 与识别率 recognition_ratio_pct）。

endpoints 是终端视角，不是主链中的检测或定性阶段。它以 machine_id 对齐终端台账、历史洞察、行为、进程树、Signal 与 Insight，不会把跨机共享实体自动解释成同一终端事件。

失陷统计与归属口径：有效失陷包含人工确认失陷（human_review_result='incident'）与未经人工排除的 L1 定性失陷（human_review_result IS NULL，含 L1 独立定性 / 相似聚类传播），经人工排除的记录不计入有效失陷。
终端标识说明：终端台账的失陷标识 machine.compromise_status = 1（get 的 compromise.status）由 L1 定性失陷（含聚类传播）驱动标记，人工复核结果不联动修改 machine 表状态。汇报时需区分“L1 定性失陷终端台账”与洞察侧“人工确认失陷 + L1 定性失陷（已剔除人工排除项）”。失陷列表/详情由 CLI 本地构造 machine 表 SQL 并经 query_datasource 执行，没有 generate_sql。

tdir-endpoints