用途：当输入 token 支出异常或数额巨大（如 30 天 2.4B tokens）时，用数字回答三个问题——token 去了哪里、哪些消耗方占主导、哪些配置或提示词改动能降低消耗。按会话、cron 触发和工具流量审计总量。
主要能力：只读审计脚本按任务/模型/提供商给出总计，含 cache-read 与 cache-write 列、加权单次均值、top 会话、cron 异常项、活跃工具结果体积及工具占比、超大结果计数。
用法：python3 ~/.hermes/skills/agent-ops/input-token-analysis/scripts/audit.py --days 30；其他 profile 用 --db ~/.hermes/profiles/<name>/state.db；自定义 cron 台账用 --cron-audit 与 --jobs。建议流程：先跑基线，再对每个候选杠杆做预检（hermes config get <key> 读实时值，对照已安装构建或文档确认机制），按 token 与成本分别排序前 3 消耗方并映射到已验证杠杆，按影响排序提出改动（含预期节省与回滚路径），配置改动走 hermes config set（直接改 config.yaml 被工具阻止），30 天后用一次性 cron 复跑做增量核对。
适用场景：大额且无法解释的月度/周度输入 token 账单、应用节流改动后测量增量、排查 cron 任务失控。
限制：纯本地遥测无法看到提供商侧缓存；API 计费争议应查提供商用量面板。input_tokens 语义因提供商而异，跨提供商不可直接比较；cache_read 大于 input 说明该提供商把缓存排除在 input 外。部分提供商完全不报告缓存字段，本地无法测量缓存占比；cache-share 为 0 不等于无缓存。token_count 列常为 NULL，用 LENGTH() 测量，字符数约为 tokens/4 只是粗略代理。按扩展能力，详细统计应以脚本实测为准。