TDIR 洞察解读与研判

本 Skill 承担洞察理解、初步在线调查、基于 AI/Agent 研判（L1）疑点的深入挑战性复核和独立人工定性（L2），可独立使用，也供 ../tdir-insight-response/SKILL.md 的业务流程复用。为优化调查体验和响应速度，入口按用户诉求划分为三个渐进层次：1. 快速了解（默认入口） → 2. 初步调查（免取包在线查询） → 3. 深入调查（拉取证据包到本地深入分析）。L1 是 AI/Agent 自动研判，L2 指人工介入研判，本 Skill 生成结论不表示平台已记录人工结果，正式写回由 response 确认执行。执行时遵守 ../tdir-shared/SKILL.md 的认证与输出契约，使用 TDIR_CLI_AGENT=1，先读取相关叶子命令帮助。仅有本地材料且不补查时，无需先登录。需要线上洞察信息时，默认直接使用 tdir insights，再按层次与疑点选择其他领域命令。

三层渐进式调查模式（按诉求控制响应速度与深度）

1. 快速了解（默认）

用户只要求查看洞察、工单、终端发生的事件或已有 AI 结论时，读取平台已有信息后直接回答。

• 工单先读 tdir tickets get <ticket_id> 取洞察 UUID，再读 tdir insights get <uuid> 与 tdir insights report <uuid> --kind l1，按需读终端详情。
• 不下载证据包、不查遥测、不跨机排查、不查外部情报；源头报告按实际返回说明归属。

2. 初步调查（常规调查默认，免取包）

用户要求调查、分析或核查文件、进程、外联、告警及同机关联时，围绕具体疑点在线补证。

• 按问题选用洞察 signals/rules/entities/provenance/risk-paths、tdir hunt investigate 的具体调查方法、tdir hunt sql 或 tdir intel lookup。
• 默认不下载冻结证据包；给出在线发现、证据边界与初步结论。