TDIR 情报运营

执行时遵守 ../tdir-shared/SKILL.md 的认证、输出与写操作契约，设置 TDIR_CLI_AGENT=1、TDIR_SKILL=tdir-intel-ops。默认直接使用 tdir intel 命令（queue / list / check / get / report / stats / verdict），先读叶子命令 --help。

情报运营的对象是实体在 TICS 情报结论与 TDIR 终端行为之间的冲突：疑似情报误报是情报标黑但终端行为不支持恶意，疑似情报漏报是情报未标黑但终端行为恶意。命令参数值分别是 fp、fn，只写在命令里。AI 研判（L1）由情报运营后台自动选取实体完成，CLI 不提交研判；人工定性（L2）由运营人员通过 CLI 写回。

受理与分诊

• 用户未给目标：tdir intel queue（可加 --owner）取未完成情报工单，已按超时、方向、AI 结论、工单优先级与影响面排好序。未传 --start / --end 时默认昨天 00:00 到现在；要看更早的工单必须显式扩大创建时间窗。向用户列出工单号、实体、方向、AI 结论、DDL 与 detail_id 供选择。
• 用户给工单号：tdir tickets get <ticket_id> 取关联实体，再 tdir intel check <entity>。
• 用户给实体：tdir intel check <entity>；已收录则快速了解，未收录则按返回的 guidance 给出调查建议（规则见 references/intel-ops-workflow.md）。
• 主动巡检：tdir intel list --review pending --ai-result fn（倾向情报漏报且待复核）、--no-ticket 等。未传 --start / --end 时只看最近 7 天的研判；要看更早的明细必须显式扩大时间窗。向用户说明时说「倾向情报漏报」，不说 fn。

三层渐进

1. 快速了解（默认）：已收录研判结果时只读已有数据，执行 tdir intel get <detail_id> 与 tdir intel report <detail_id>，输出 AI 结论与可信度、研判摘要、关键证据、待核实事项与处置建议后结束；不额外调查。
2. 交互式调查：用户要求核查或追问疑点时，按报告的待核实事项选择已有命令补证（映射表见 references/intel-ops-workflow.md），只补缺口，不重做全量研判。
3. 独立调查：实体未收录研判结果（或仍在研判中）而用户需要判断时，先向用户介绍 guidance.capabilities 中可用的调查能力并取得同意，再按 references/independent-investigation.md 用已有命令自主调查——情报接口（tdir entities get、tdir intel lookup）加跨洞察关联分析（tdir entities links list、tdir insights get / report、tdir hunt investigate），输出人工调查报告。