Cảnh báo và thông báo

Gateway và control plane biến những gì chúng thấy thành event: request bị chặn hoặc bị gắn cờ (detection.blocked, detection.flagged), lỗi upstream, đăng nhập thất bại, khóa 2FA, thay đổi role, SSO, policy và upstream. Rule cảnh báo, đặt theo từng tổ chức, lọc event và báo cho đúng người:

• Kênh: Telegram, Slack, Microsoft Teams, email (SMTP), webhook có ký (HMAC, cho SIEM hoặc dịch vụ của bạn), agent A2A (ví dụ agent SOC), và chuông trong admin UI.
• Rule: loại event cùng điều kiện tùy chọn viết bằng cú pháp policy, ví dụ attrs.score >= 0.95 && "jailbreak" in attrs.categories; ngưỡng trong một khoảng thời gian (5 lần chặn trong 5 phút), giãn tần suất, gom theo project hoặc loại tấn công, giờ yên lặng, tự đóng cảnh báo.
• Người nhận: user, nhóm hoặc role. Mỗi người tự liên kết Telegram, Slack hoặc email và chọn mức nghiêm trọng tối thiểu.
• Gửi: qua outbox có gửi lại (2 giây đến 30 phút, 6 lần), tôn trọng Retry-After, có nhật ký gửi trong UI. Secret của kênh nằm trong biến môi trường, không lưu trong cơ sở dữ liệu và không lộ trong thông báo lỗi.
• Không làm chậm request: event được ghi sau khi đã trả response. Khi bộ đệm đầy, event bị bỏ (guardspec_events_dropped_total) thay vì làm chậm request.

Cách bật: đặt các biến SMTP_*, TELEGRAM_*, SLACK_* và ALERTS_*, rồi dùng nhóm trang Alerts trong admin UI (biểu tượng chuông ở thanh bên): rule, kênh, nhóm, lịch sử cảnh báo và nhật ký gửi. Chi tiết ở docs/alerts.md (tiếng Anh).

Nguồn: README.vi.md#cảnh-báo-và-thông-báo @ ca69dad29f02