Eventos y evidencias

Usa esta página para leer los dos registros que OpenLatch conserva como evidencia: el registro de auditoría de cada cambio y cada acción de tu organización, y los eventos de ejecución que el cliente envía por cada acción de un agente.

Exportación del registro de auditoría

Exporta el registro de auditoría desde la página Audit Trail, en CSV o en JSON; consulta Revisar el registro de auditoría. Cada evento exportado lleva estos campos, en este orden.

Campo	Significado
timestamp	Cuándo ocurrió el evento
actor_name	El nombre de la persona que actuó, vacío en un evento escrito por el sistema
actor_email	La dirección de correo de esa persona
source	De dónde vino la acción: console, api, system o auth_sidecar
action	Qué se hizo, por ejemplo policy.updated
target_type	El tipo de objeto afectado
target_label	El nombre de ese objeto
status	El resultado: success, failure o denied
changes	Los campos que cambiaron, en JSON
site	El sitio de OpenLatch que registró el evento

La propia exportación queda registrada en el registro de auditoría. La cadena de hashes que enlaza cada evento con el anterior no forma parte de la exportación: compruébala en Settings › Audit Trail.

Eventos de ejecución

La página de eventos en directo de la consola lee cada evento de hook que envía el cliente con estos campos.

Campo	Significado
event_id	El identificador evt_ del evento, asignado por el cliente; la plataforma guarda un evento una sola vez por identificador y descarta una repetición
time	Cuándo disparó el agente el hook, según el agente
ingested_at	Cuándo la plataforma recibió y almacenó el evento
type	El evento de hook, con el nombre que le da el agente
platform	El producto de agente que disparó el hook, por ejemplo claude-code o codex-cli
host_id	El host en el que se ejecuta el agente, un identificador hst_
agent_id	El agente que envió el evento, un identificador agt_
session_id	La sesión a la que pertenece el evento, un identificador ses_
agentversion	La versión del agente
clientversion	La versión del cliente
os	El sistema operativo de la máquina
arch	La arquitectura del procesador de la máquina
localipv4	La dirección IPv4 local de la máquina
localipv6	La dirección IPv6 local de la máquina
publicipv4	La dirección IPv4 pública de la máquina
publicipv6	La dirección IPv6 pública de la máquina
tool_name	La herramienta que invocó el agente, en un evento de herramienta, con un nombre común a todos los agentes
tool_input	La entrada de la herramienta, como los argumentos de esa herramienta común
tool_response	La respuesta de la herramienta, en el evento posterior a su ejecución
olverdict	El veredicto registrado para el evento
olverdictshadow	El veredicto que habría producido una política en modo Monitor
olpolicyruleid	La regla de política que decidió la acción, o que la habría decidido en modo Monitor
olpolicybundlerev	La revisión del bundle de políticas con la que se tomó la decisión
olpolicyoffline	Verdadero cuando el cliente decidió con su bundle en caché porque su última actualización del bundle falló
raw_event	El evento tal como OpenLatch lo almacena, en el modelo de evento descrito más abajo

El evento almacenado

Abre un evento en la página de eventos en directo: su sección Raw event muestra el evento tal como OpenLatch lo almacena. Cada evento se almacena en un único modelo de evento, el mismo para todos los agentes. Los eventos ya almacenados en tu organización en el formato anterior se convirtieron a este modelo, y un cliente que todavía envía ese formato ve sus eventos rechazados. El registro de auditoría anota la conversión como Event History Conversion Started y Event History Converted, con el número de eventos convertidos y el de los que no se pudieron convertir. Cada evento que no se pudo convertir figura en el registro de auditoría como Unconvertible Events Exported, uno por evento, y sus changes contienen el evento original y el motivo por el que no se pudo convertir, de modo que las exportaciones CSV y JSON lo incluyen completo.

Campo	Significado
dataschema	El modelo de evento que sigue el evento, https://openlatch.ai/schemas/events/v3. Es un identificador, no una página que abrir
type	El evento de hook, por ejemplo una llamada a una herramienta antes o después de ejecutarse
id	El identificador evt_ del evento
source	El producto de agente que envió el evento
subject	La sesión, como identificador ses_
hostid	El host, como identificador hst_
agentid	El agente, como identificador agt_
data	La acción en sí, en los campos de abajo para una acción de un agente

Campo en data	Significado
harness_name	El producto del agente, por ejemplo claude-code o codex-cli
action_type	El tipo de acción, por ejemplo una llamada a una herramienta o una llamada MCP
tool_name	El nombre de herramienta común, el mismo para todos los agentes: un comando de shell es bash, sea cual sea el agente que lo ejecutó
payload_llm_tool	Los argumentos de la llamada a la herramienta y, una vez ejecutada, su resultado
payload_llm_mcp	El servidor, la herramienta, los argumentos y el resultado de una llamada MCP
payload_raw	La carga útil propia del agente, tal como la envió el cliente, conservada para la auditoría

Como los nombres de herramientas son comunes, la consola muestra una sola etiqueta por herramienta para todos los agentes: un comando de shell aparece como Bash y una edición de archivo como Edit, sea cual sea el agente que la hizo.

Dentro de data, los identificadores propios del agente conservan sus nombres: session_id es ahí el identificador de sesión que dio el propio agente, nunca un identificador ses_. Un evento almacenado antes de los identificadores actuales conserva los anteriores en su evento sin procesar, y la consola lo muestra con los actuales. Identificadores describe cada identificador.

Eventos rechazados

La plataforma responde a cada lote de eventos de un cliente evento por evento. Un evento que no supera sus comprobaciones se rechaza por separado, con un motivo, y los demás eventos del lote se almacenan.

Motivo	Qué ocurrió	Qué hacer
missing_required	Falta un campo que el modelo de evento exige	Actualiza el cliente en esa máquina
schema_invalid	El evento no se ajusta al modelo de evento	Actualiza el cliente en esa máquina
unknown_dataschema	El evento indica un modelo de evento que la plataforma no acepta	Actualiza el cliente en esa máquina a una versión publicada
client_too_old	El evento viene de un cliente más antiguo que los identificadores actuales	Reinstala el cliente en esa máquina; consulta Instalar el cliente
server_error	La plataforma no pudo almacenar el evento	Nada: el cliente vuelve a enviar el lote, y un evento ya almacenado nunca se almacena dos veces

No disponible

El canal de exportación a SIEM no está disponible. Ninguno de los dos registros se envía a un SIEM; exporta el registro de auditoría desde la consola.