在 SRE 团队信任根因结论之前，先证明 AI 事故 Agent 确实看对了证据的 replay 层。

1. 工程师已经从仪表盘转向 AI 和 CLI 做事故调查，所以在这种新界面成为默认入口之前，trust layer 必须先建起来。
2. Coralogix 超过一半的企业客户已经用 AI Agent 或自有模型做事故调查，这说明这个品类现在就有真实的生产用户。
3. 现代 AI 系统带来的遥测量正在暴涨，手工审计每一条 AI 调查路径在经济上已经行不通。
4. AI 驱动的根因分析现在依赖对实时、无采样遥测数据的直接访问，这就带来了新的需求：得先验证 Agent 是否真的用了正确的生产证据。
5. 七位数客户支出和快速收入增长说明，可观测性预算已经为 Agent 时代的工具打开了口子；一层聚焦的 trust layer 可以直接搭现有预算线，而不是另造预算。

催化因素。 Coralogix 的数据已经说明，事故调查正在从仪表盘迁到 AI 与 CLI 界面；与此同时，遥测数据量暴涨，让团队根本不可能靠人工在生产规模上逐条验证 Agent 的推理过程。

产品接到现有 observability 栈后，会把每次 AI 主导事故的完整调查图谱记下来：提示词、工具调用、查询过的服务、拿到的证据、怀疑过的原因以及人工覆盖。它会把历史 sev-1 和 sev-2 事故拿来重放，测试新模型、新提示词或外部 Agent，看它是否足够快地找到正确根因，且证据覆盖是否充足。只要调查链条偏弱，系统就会指出漏查了哪些查询、忽略了哪些部署变更、或是哪些 runbook 步骤太脆，并把它们直接转成 runbook 补丁或升级规则。在线上，平台会给每个实时事故打 trust score；一旦 Agent 证据太薄、互相矛盾，或落在批准模式之外，就必须让人确认。这样，中端团队就能在不替换遥测 backend 的前提下，把 Datadog、Grafana、OpenSearch 或 Coralogix 上的 AI 响应真正用起来。

差异化。 现有可观测性厂商会监控系统，也越来越多地推出自己的 AI 调查 Agent，但它们天然更想提高自家平台里的 Agent 使用率，而不是中立地判断这次调查到底好不好。通用 LLM 评测工具懂提示词，却不懂事故 Agent 跨服务、部署和多种遥测类型时，应该按什么顺序收集生产证据。这个创业公司要做的是工程 Agent 的中立认证层，护城河则来自 replay 数据集、调查图谱以及每家客户独有的失败模式。

待完成任务

flowchart LR
  Buyer[SRE 团队] --> Pain[不敢信 AI 给出的根因调查]
  Pain --> Product[事故 replay 与评分层]
  Product --> Outcome[更快且更安全的 AI 主导事故响应]

高管要点

• 这个切口是真实存在的，因为事故调查已经从仪表盘转向 CLI 和 Agent 界面，但团队仍缺一套中立方法，来证明 Agent 在人类行动前是否看对了证据。
• 预算就在现有的 observability 和事故响应支出里：周边平台已经靠事故协同、on-call、Agent tracing 和评测赚钱，所以创业公司可以吃现成预算线，而不是重新造一个品类。
• 竞争极其激烈，横跨 observability 套件、事故管理平台和 Agent eval 栈；因此公司只有在拿住跨厂商 replay、证据覆盖评分和审批闸门时才有机会赢，而不是只做通用 tracing。
• 最难的问题不是把遥测收上来，而是把历史事故、工具调用 trace 和 postmortem 结果拼成一层值得工程管理者信任的认证系统，用来决定 AI 主导的响应路径该放行还是拦下。

市场定义

一个面向 AI 主导事故响应的跨栈 trust layer：它重放历史事故，给证据覆盖和根因质量打分，并在响应者行动前为实时 Agent 建议加上闸门。

用户与买方

主要用户是已经在尝试 AI 辅助调查的云原生 SaaS 与金融科技公司的 SRE、平台和事故管理团队。经济买家通常是工程副总裁、SRE 负责人或平台工程总监，因为这笔支出同时压在 observability、incident management 和 AI platform 预算上。

购买触发点

• 最近一次 sev-1 或 sev-2 事故暴露出 AI 助手给出了有争议的诊断，或调查路径不完整，于是管理层要求在更大规模推广前先拿出证明。 [1][4][64]
• 团队发现协同税和复盘苦活吃掉了 MTTR 的很大一块，因此管理层想要既提速、又不牺牲可审计性的自动化。 [6][45][67]
• 安全与治理审查要求组织先证明 Agent 行为可被人工监督、可被监控、可被追溯，之后才会让它碰关键运营环节。 [10][12][14]

支付意愿

付费意愿应来自现有的可靠性和 AI 工程预算：PagerDuty 和 incident.io 已经按用户为事故工作流收费，LangSmith 和 Langfuse 也按 seat、trace 或用量收费，因此 trust layer 可以被包装成现有事故或 agent-ops 支出中的一小块，而不是新增大类。 [46][62][77][86]

品类动态

增长信号 11.7% CAGR

验证信号

• Coralogix 表示，超过一半的企业客户已经通过 CLI 和 agentic 界面使用 Olly 或自有 AI 模型来调查事故。
• Google SRE 公开描述过：他们会在缓解、根因分析和 postmortem 生成等环节使用 Gemini CLI。
• incident.io 已把 AI SRE 定位成实时事故调查引擎，而不再只是静态助手，这说明需求已经进入真实工作流。
• Datadog 关于超过一千家客户生产遥测的报告显示，多步、agentic 的 AI 工作负载已经普及到值得被系统化监控。

监管与技术约束

• 可信 AI 项目越来越要求：只要 AI 系统会影响关键运营，就必须有可追溯性、监控和治理材料。
• prompt injection 和不安全输出风险意味着，只要涉及实时 remediation 或高严重度建议，就必须上保守安全闸门和清晰审计轨迹。
• 不同云厂商暴露的监控与 Agent runtime 原语并不相同，所以跨平台归一化本身就是一道真实的工程题。
• 高质量 replay 的前提，是历史事故记录、工具调用 trace 和部署上下文能以一致格式被拿到。

这不是一张简单名单。Coralogix 和 Datadog 正把 observability 延伸到自家遥测栈内部的 AI 调查；PagerDuty、incident.io 和 Rootly 正沿着 AI 辅助事故运营继续深入；LangSmith、Langfuse、Arize、Braintrust、Portkey、Helicone 和 Weave 则吃住了相邻的 tracing/eval 工作流。真正的空档，是一层厂商中立的事故认证系统：它衡量 Agent 是否收集了足够的生产证据，是否值得人类信任。

为什么现有厂商不会默认胜出

• 云平台. Azure、Google Cloud 和 AWS 已经提供了监控、tracing 和 Agent runtime 控制，但它们只覆盖自家云，无法认证横跨第三方 observability 与 on-call 工具的跨栈事故调查。
• 可观测性套件. Coralogix 和 Datadog 能在自家平台里追踪和排查 AI 工作负载，但它们天然更想强化自家 Agent 的使用深度，而不是做一个中立裁判，判断一次调查是否已经足够完整。
• 事故管理平台. PagerDuty 和 incident.io 拿住了响应工作流、on-call 和 postmortem 界面，但它们的差异化核心仍是协同与自动化，不是严谨的跨工具 replay 与证据覆盖评分。
• Agent 可观测性与评测栈. LangSmith、Langfuse 和 Arize 证明 tracing 与评测已经是独立品类，但它们面向的是应用构建者和通用 Agent 质量，而不是拿历史故障真值集和人工 runbook 去认证事故响应 Agent。

Incident Agent Replay Layer 应先做成 AI 主导事故响应的中立认证层，而不是又一个 observability backend、聊天界面或自主修复 Agent。首个客户应是 200–1,500 人规模的云原生 SaaS 或金融科技公司，SRE/平台团队 5–15 人，技术栈是 Datadog 或 Grafana 加 Kubernetes，且内部或外部事故 Agent 已经开始进入 sev-1、sev-2 分诊。购买触发点通常有两个：要么最近一场事故里 Agent 给出了有争议的诊断，要么管理层要求把 AI 变成事故调查的默认第一步，同时又不能把运营风险抬高。切口是一套付费的 replay+评分部署：它评估 20–50 起历史事故，指出 Agent 漏掉了哪些证据，并在更大规模上线前先给买方一个审批闸门。市场数据支持一个聚焦但足够有分量的起步市场：TAM 约 $1.2B，SAM 约 $270.0M，模型里的第 3 年 SOM 为 $12.0M；后续扩张则取决于产品能否从离线认证走到实时 trust score，再进入修复治理。公司应当吃现有可靠性与事故响应预算，用“减少错误的 Agent 决策、加快模型变更审批、以更低风险改善 MTTR”来证明价值，而不是讲泛泛的 AI 提效故事。最大的战略风险是 observability 和 incident 现有厂商在公司建立起跨栈中立性之前，就把够用的 replay 和 trust 功能打包进来。第二个可能推翻假设的风险是，很多中端团队未必有足够标注完善的事故历史，导致 replay 覆盖率不够，因此早期试点必须先验证数据是否充足。

问题

• SRE 团队开始依赖 AI Agent 做事故调查的第一轮判断，但他们仍然无法证明，Agent 在给出行动建议前到底有没有看对遥测、部署上下文和 runbook。
• 现有的 observability、事故管理以及通用 LLM 评测工具各自只覆盖了一段流程，没有谁能以中立的跨栈系统身份，把历史事故重放一遍，再拿批准过的根因去核对证据覆盖。

解决方案

• 接入客户现有的 observability 与事故处理栈，记录每次 AI 主导事故的调查图谱，再重放历史 sev-1 和 sev-2 案例，判断 Agent 是否足够快地命中已批准的根因、且证据是否充分。
• 先以“只读为主”的认证模式起步，给出缺失证据解释、runbook 修补建议和人工审批闸门；等 replay 覆盖率证明 Agent 足够安全后，再扩到实时 trust score 与基于策略的升级。

为什么我们会赢

• 公司卖的是跨 Datadog、Grafana、PagerDuty、incident.io、Kubernetes 和 GitHub 的独立认证，而不是帮某一家 observability 厂商把自家 Agent 用得更深。
• 把提示词、工具调用、已收集证据、批准根因和人工覆盖串起来的客户专属 replay 语料，会不断积累成差异化的调查数据集。
• 产品正好卡住买方上线前的核心阻碍：先证明 AI 调查员已经安全到值得信任，再让它在高严重度事故里成为默认入口。

里程碑

flowchart LR
  Wedge[事故 replay 切口] --> MVP[跨栈 replay 与评分 MVP]
  MVP --> Proof[Agent 信任与审批决策的证明点]
  Proof --> Expansion[实时 trust score 与治理扩张]

创始团队

实验路线图

风险评估

必须成立的条件

• 目标买家必须把错误的 AI 事故诊断视为一个需要预算兜底的可靠性风险，而不是暂时的学习曲线。
• 至少一半的合格线索必须能在 30 天内拿出足够的历史事故数据，做出可信的 replay benchmark。
• 一层厂商中立的认证能力，必须能足够频繁地赢过 Datadog、Coralogix、PagerDuty 或 incident.io 的捆绑方案，销售才会高效。
• 早期客户必须能从离线 replay 扩到实时 trust score，而不用公司搭一支定制化服务团队。
• 首批生产部署必须能支撑约 $75k+ 的年约，同时还能保住软件业务应有的毛利率。

待尽调问题

• replay 结果到底有多常真正改变 Agent 上线的 go/no-go 决策？
• 前 30 天要证明价值，究竟必须接入哪一组集成？
• 目标账户中位数到底有多少带标签的 sev-1、sev-2 历史？
• 最可能压缩定价或阻断部署的现有厂商捆绑方案是哪一个？
• 买家会不会在放行任何 remediation control 之前，先接受实时 trust gate？

模型合理性

• 收入引擎. 基准情形下，第 1 年收入来自 4 个付费账户；Q4Y2 达到 24 个生产客户；到 Q4Y3 在伙伴辅助扩张下增至 105 个客户，混合 ARPU 约为 $84K。
• 必须做对的事. 公司必须把 onboarding 锁在 Datadog 或 Grafana + PagerDuty 或 incident.io + Kubernetes + GitHub 这一组窄技术栈里，否则试点转正会被沉重的解决方案工作拖成服务型 burn。
• 模型会失效的条件. 如果销售周期拖向 9 个月，或买家始终把产品限定在 replay-only ACV，悲观情形会在第 3 年扩张曲线到来前先把现金烧穿。
• 下一轮融资证明点. 下一轮融资要看的，是 Q4Y2 前做到 24 个生产客户、交付带审批闸门的实时 trust score，并证明已有足够的伙伴来源 pipeline 支撑高效的第 3 年增长。

情景

敏感性

flowchart LR
  Leads[合格的 SRE 账户] --> Pilots[付费 replay 试点]
  Pilots --> Production[生产 trust layer]
  Production --> Expansion[更多服务 + 实时 trust score]
  Production --> Revenue[订阅与用量收入]
  Expansion --> Revenue
  Revenue --> GrossProfit[毛利润]
  GrossProfit --> Cash[现金与跑道]

警示项: 从 Q4Y2 的 24 个客户跳到 Q4Y3 的 105 个客户，前提是伙伴辅助 pipeline 跑通，且安全评审足够短——这两点公司都还没证明。 · 只有当 replay onboarding、evidence graph 搭建和安全打包足够标准化，避免组建重服务实施团队，毛利率才可能打到目标。 · 基准情形下，现金在 Q2Y3 低点约为 $585K，因此只要融资延迟或招聘前置，跑道就会很快变紧。 · 模型默认足够多潜在客户能拿出 20–50 起可用历史事故；如果数据充足性比预期更差，转化率和 ACV 都应下修。

• 可观测性厂商捆绑销售. Coralogix、Datadog、Grafana 等平台可能会把基础版 replay 和 trust scoring 直接塞进自家的 Agent 产品。 缓解措施: 保持跨异构 observability 栈的中立位置，并拿住买家在信任任何单一厂商 Agent 之前都需要的独立认证工作流。
• 事故历史太稀疏. 中端团队未必有足够多、标注足够好的历史事故，难以快速训练或基准化 Agent 质量。 缓解措施: 先从客户最严重的事故开始 replay，再用结构化 postmortem 导入补齐，并把跨客户的 benchmark 模板产品化，但不混用私有数据。
• 虚假信心风险. 如果平台高估了 Agent 的可靠性，客户可能会在真实故障时相信一个很弱的诊断，随后对产品失去信任。 缓解措施: 默认采用保守阈值，要求证据完整性检查，在 replay 覆盖率证明 Agent 安全之前始终把人工审批留在环内。