异常告警
可用免费功能 · 「AI 解释该事件」属于 AI 功能
实时监控 看的是 CPU、内存这些读数；异常告警看的是「系统里刚刚被改了什么」：新落地的可执行文件、新加的启动项、新装的服务和软件。它是一条实时事件流，帮你回答「刚才是谁往我电脑里塞了东西」。
打开方式
主界面左侧导航「诊断 · AI」→ 异常告警。命令面板（Ctrl+Shift+P）里也有。
它盯哪些地方
| 来源 | 盯的是什么 |
|---|---|
| 文件 | C 盘 NTFS 的 USN 变更日志：文件创建、删除、重命名、修改 |
| 启动项 | 注册表 Run 键的变更 |
| 软件 | 注册表 Uninstall 键的变更（软件装上 / 卸掉） |
| 服务 | 注册表 Services 键的变更 |
读 USN 变更日志需要管理员权限 —— 这是 AgileMedic 启动就要管理员的原因之一（见 下载与安装）。
级别怎么定
| 级别 | 什么时候 |
|---|---|
| 严重 | System32 / SysWOW64 下的 .exe / .dll / .sys 被创建或覆写 —— 系统区被改 |
| 警告 | 其他位置有 .exe / .dll / .sys 被创建、覆写或追加 —— 新落地的可执行文件；新增启动项、服务或卸载条目 |
| 信息 | 其余文件变更 |
规则全在本地，不联网、不调 AI。普通文件读写会产生大量「信息」级事件，勾上 仅看可疑 就只看警告和严重。
面板里能做什么
- 顶部筛选：类型（信息 / 警告 / 严重）、来源（文件 / 启动项 / 软件 / 服务）、「仅看可疑」
- 统计卡：高危、中危、提示的条数，以及监控状态（实时 / 暂停）
- 暂停 / 继续：暂停期间收到的事件先缓存，点「继续」时回放进列表
- 清空告警：清掉列表
- 忽略 / 恢复忽略：先把某条事件从列表里藏起来，点「恢复忽略」找回最近一次忽略的
- 复制告警线索：复制选中事件的来源、级别、标题、详情和时间
- 复制告警快照：复制当前筛选条件、统计与可见告警列表，方便存档或贴给 AI
- AI 解释该事件：把这条事件交给 AI 判断是什么、要不要处理（AI 功能，需先 配置模型，提供免费试用，之后需授权）
列表只显示最新的一部分，匹配太多时会提示「仅显示最新 N 条」，用复制快照导出全部。
保留多少条
告警存在内存里的环形缓冲区，满了丢最旧的。条数在 通用设置 的「异常告警」里调：默认 1000，范围 100–10000，重启后生效。面板副标题里写的「上限 2000 条」是旧文案，以设置为准。
与阈值告警的区别
CPU 80% / 内存 90% 这类阈值告警和提交内存越过 92% 的提醒是 实时监控 发的托盘通知，不进这个面板。
相关阅读：实时监控 · 进程 / 启动项 / 服务 · AI 诊断