取证 Agent 根据分析问题选择工具、检查返回记录，并整理结论。它能够承担文件定位、数据库查询、时间转换等重复操作，但结论仍取决于检材范围、字段解释和计算方法。一次工具调用成功，只能说明该次操作完成了相应处理。
本专题以已有检材的分析为主要场景。文中的数据库、日志和接口回执均为教学材料。
从问题确定分析范围
“统计账号 X 在 1 月 1 日发送的消息数”包含几个需要落实到数据中的条件：X 对应哪个内部账号标识，日期采用哪个时区，消息状态是否包含发送失败，统计对象是数据库行还是不同消息。若这些条件尚未确定，直接搜索关键词或生成 SQL，容易得到数值正确、含义错误的结果。
任务开始时，应保存问题原文，再提取会影响查询的限定条件。下表是一份教学任务记录。
| 项目 |
示例内容 |
| 分析对象 |
检材 E01 中应用 A 的账号 X |
| 待查事实 |
指定自然日内成功发送的不同消息数 |
| 时间范围 |
2024 年 1 月 1 日，Asia/Shanghai |
| 对象标识 |
使用应用消息标识；其唯一性仍需验证 |
| 数据来源 |
消息表、账号映射表、消息状态定义 |
| 交付内容 |
数量、实际查询、参数、关键记录位置及范围限制 |
这里的“成功发送”是一项需要证据支持的条件。字段名叫 status，并不能直接说明哪一个值代表成功。其含义应由应用格式说明、已验证的解析逻辑或能够相互印证的样例确定。暂时无法解释时，任务记录应保留这个问题，不能由模型补出枚举含义。
模型 运行环境 Skill 与工具
一个可用的取证 Agent 通常包含模型、运行环境和工具。Skill 用于保存可重复使用的分析方法；执行记录保存本次任务实际发生的操作。它们承担的职责不同。
| 组成 | 在任务中的作用 | 需要检查的内容 |
| --- | --- |
