TDIR 洞察响应与运营闭环

本 Skill 负责业务流程、结论写回和工单跟进。洞察理解、疑点分析、对话搜证及最终人工定性统一使用 ../tdir-insight-review/SKILL.md；按疑点补充的结构化遥测调查（tdir hunt investigate）、自由遥测查询与 BTI/VDC 能力统一由 review 选择，不在本流程另写一套研判或取证步骤。

执行时遵守 ../tdir-shared/SKILL.md 的认证、输出与写操作契约。默认直接使用 tdir insights 和 tdir tickets，先读相关叶子帮助，设置 TDIR_CLI_AGENT=1。用户仅要求分析时可独立使用 review；已要求写回或完整响应时由本 Skill 继续业务流程，写操作仍须确认具体内容。

受理与业务分诊

• 用户未给目标时用 tdir insights queue 获取近 7 天创建、未完成的洞察运营工单；只看自己时加 --owner <处理人>。标题以【EMDR】开头的是 EMDR 工单，其余是抽检工单；EMDR 在前、抽检在后，同类按创建时间正序。向用户列出工单号、EMDR/抽检、标题、处理人、DDL、洞察 ID 和 AI 结论，供其选择；已选定目标时直接继续。抽检不查已下架的 insight_sampling。
• 主动巡检可补充 tdir insights list --human-verdict none --risk-min 8、--score-min 9、--topic endpoint_agent_threat 或 --topic silver_fox；候选入队不代表真实事件成立。
• 分诊默认先进入第一层：快速了解（只读 MySQL 已有数据）：若用户给出工单号或洞察 ID（如“针对这个工单，告诉我终端发生了什么”），先用 tdir tickets get <ticket_id> 取得 insight_uuids[]，再用 tdir insights get <insight_uuid> 与 tdir insights report <insight_uuid> --kind l1（配合按需 tdir endpoints get <machine_id> --source <source> --platform <platform>）直接读取 MySQL 中已有的洞察摘要、结构化研判结论（.verdict）与 L1 研判报告，秒级向运营人员呈现事件描述与研判结论；分诊与快速了解阶段不下载 AI 研判证据包（evidence download）也不调用 tdir hunt 执行遥测搜证。复用已取得的结果，不因切换 Skill 重查。
• 明确本次范围：1. 仅快速查看了解；2. 直接提交已有人工结论；3. 初步调查（默认不拉取证据包，用在线关联与 tdir hunt investigate 等工具快速核查疑点）并反馈；4. 深入调查（拉取证据包到本地深入分析）并包括客户交付说明与工单答疑。聚类成员交给 review 核实来源结论的适用性，不凭源头结论跳过成员核验；相关洞察可共同讨论，一次只写回已确认的目标洞察。
• 租户类型（tenant_kind：emdr / standard / unknown）在汇报终端与洞察背景时如实说明（unknown 时说明 TENANT_KIND_UNAVAILABLE）；人工结论确认与写回、查询关联运营工单及评论答疑按同一闭环执行。

研判与人工定性