Alertes

​

Concepts

• Alerte — la règle. Elle définit ce qu’il faut vérifier (le déclencheur), à quelle fréquence (l’intervalle d’évaluation), quand considérer qu’il y a un problème (logique composée), l’urgence (sévérité), et qui/où notifier (les canaux).
• Incident — ce qui se produit lorsqu’une alerte se déclenche. Une alerte ne peut avoir qu’un seul incident ouvert à la fois. Les violations répétées mettent à jour les preuves du même incident. Les incidents sont résolus par un opérateur ; la résolution automatique lorsque la règle cesse de se déclencher est prévue mais pas encore disponible.
• Canal — la destination d’une notification : e-mail, Slack, webhook générique ou dans le tableau de bord. Chaque alerte peut associer n’importe quelle combinaison.

​

Types de déclencheurs

​

1. metric_threshold

{
  "metric": "p95_latency_ms",
  "filter": { "environment": "production" },
  "window_secs": 900,
  "op": ">",
  "value": 5000
}

​

2. custom_sql

• Mode lignes (sans op/value) : l’alerte se déclenche dès que la requête retourne au moins une ligne.
• Mode valeur : la requête doit aliaser une colonne metric_value ; le dispatcher compare metric_value de la première ligne à value en utilisant op.

{
  "sql": "SELECT count() AS metric_value FROM agenteye.events WHERE event_type = 'error' AND ts >= now() - INTERVAL 1 HOUR",
  "op": ">",
  "value": 100
}

​

3. evaluation_score

{
  "score_key": "hallucination",
  "op": ">",
  "value": 0.6,
  "window_secs": 3600,
  "min_count": 5,
  "environment": "production"
}

​

4. eval_compound

{
  "combinator": { "at_least": 2 },
  "conditions": [
    { "score_key": "hallucination", "op": ">", "value": 0.8 },
    { "score_key": "helpfulness",   "op": "<", "value": 0.6 },
    { "score_key": "tone",          "op": "<", "value": 0.5 }
  ],
  "window_secs": 3600,
  "min_count": 5,
  "environment": "production"
}

• combinator : "any", "all", ou { "at_least": N }.
• conditions[] : chaque { score_key, op, value }, utilisant les mêmes opérateurs que les autres déclencheurs (>, >=, <, <=, ==).
• window_secs : la période de rétrolecture partagée appliquée à chaque condition (par défaut 3600).
• min_count : nombre minimum d’évaluations par condition avant que celle-ci puisse être en infraction ; une condition avec trop peu d’échantillons dans la fenêtre est considérée comme « non en infraction » (par défaut 1).
• environment : optionnel ; restreint chaque condition à un environnement.

​

5. per_event

{
  "event_type": "error",
  "lookback_secs": 60,
  "environment": "production",
  "tool_name": "bash",
  "agent_id": "caa",
  "error_type": "TimeoutError",
  "message_contains": "vertex-ai timed out"
}

​

Logique composée (M parmi N)

• eval_window : combien d’évaluations récentes examiner (par défaut 1)
• min_breaches : combien d’entre elles doivent être en infraction avant que l’alerte se déclenche (par défaut 1)

​

Intervalle d’évaluation

​

Canaux

​

E-mail

1. Le remplacement recipients[] par canal (lorsque non vide).
2. Le paramètre alerts.email_default_recipients (un tableau de chaînes e-mail).

​

Slack

• URL par défaut : alerts.slack_default_webhook (définie dans /settings).
• Remplacement par alerte : définissez webhook_setting_key du canal sur n’importe quelle autre clé de paramètre de type URL, ex. alerts.slack_oncall, alerts.slack_costs.

​

Webhook générique

{
  "schema_version": 1,
  "event": "alert.firing",
  "incident": { "id": "uuid", "url": "https://…/incidents/uuid", "opened_at": "2026-…" },
  "alert":    { "id": "uuid", "name": "errors > 50/hr", "severity": "critical" },
  "breach":   { "value": 73.0, "summary": "ErrorCount > 50 (observed 73.000)", "evidence": { … } }
}

​

Dans le tableau de bord

​

Cycle de vie des incidents

firing  ──ack──▶  acknowledged
   │                    │
   └────────────────────┴───── operator resolve ───▶  resolved

• firing — le dispatcher vient d’ouvrir l’incident ou a détecté une nouvelle infraction. La notification de déclenchement est envoyée exactement une fois (conditionnée par l’horodatage notified_firing_at sur l’incident).
• acknowledged — un opérateur a appuyé sur ack dans /incidents/:id. L’incident est toujours considéré comme ouvert ; les infractions suivantes mettront à jour ses preuves sans re-notifier.
• resolved — un opérateur a appuyé sur resolve. La résolution automatique lorsque la règle cesse d’être en infraction est prévue mais pas encore disponible, donc un incident ouvert reste ouvert jusqu’à ce qu’un opérateur le résolve.

​

Permissions requises

• alerts:read : consulter les règles d’alerte.
• alerts:write : créer, modifier, supprimer des règles d’alerte et déclencher une notification de test.
• incidents:read : consulter les incidents.
• incidents:write : ouvrir des incidents manuels (ad hoc) non liés à une alerte.
• incidents:ack : acquitter, assigner, commenter et résoudre des incidents.

Ancien alerts:ack. Les clés et opérateurs auxquels l’ancien jeton alerts:ack a été accordé continuent de fonctionner : il est traité comme incidents:ack (et implique incidents:read), donc les personnes d’astreinte existantes conservent leur accès sans avoir besoin de nouvelles informations d’identification. Émettez les nouveaux droits avec la famille incidents:*.

Sélecteur de destinataires e-mail. Le sélecteur de destinataires de l’éditeur d’alertes liste les membres de votre organisation pour que vous puissiez les choisir par nom. Il se charge pour tout opérateur disposant de alerts:read ou alerts:write ; consulter le répertoire de votre équipe à cette fin ne nécessite pas users:read, et le sélecteur retourne uniquement les adresses e-mail des membres, jamais les enregistrements utilisateur complets.

​

Configuration

• alerts.email_default_recipients (email_list) : tableau JSON de chaînes e-mail — les destinataires par défaut pour les canaux e-mail.
• alerts.slack_default_webhook (url) : URL du webhook entrant Slack par défaut.
• alerts.webhook_default_url (url) : URL du webhook générique par défaut.
• alerts.webhook_signing_secret (secret) : clé HMAC-SHA256. Toujours retournée comme "" dans la réponse GET ; saisissez une nouvelle valeur pour la renouveler.
• alerts.enabled_channels (channel_set) : l’ensemble des types de canaux externes dispatchés à l’échelle de l’organisation lorsqu’une alerte se déclenche ; par défaut les trois (email, slack, webhook). Supprimer un type ici supprime globalement ce canal pour toutes les alertes sans modifier chaque règle. Le canal dans le tableau de bord est toujours livré et n’est pas affecté par ce paramètre.

​

Vérifier une nouvelle alerte

1. Enregistrez-la comme activée avec au moins un canal de notification.
2. Sélectionnez test sur la page de détail de l’alerte et confirmez que chaque destination configurée reçoit la notification synthétique.
3. Après la première vraie infraction, confirmez que l’incident apparaît sous Incidents et que sa valeur mesurée correspond à la requête du tableau de bord correspondante.

​

Dépannage