用途：Pachca 的安全日志（审计事件）查询工具，用于跟踪用户登录、操作、消息变更以及 DLP 违规事件。需「Корпорация」套餐，且仅空间所有者可访问。
主要能力：查询审计日志（/audit_events，GET），支持按 event_key、actor_id、actor_type、entity_id、entity_type 过滤。事件类型覆盖认证（user_login、user_logout、user_2fa_fail、user_2fa_success）、员工、标签、聊天、聊天成员、消息、反应与话题、令牌、加密（kms_encrypt、kms_decrypt）、安全（audit_events_accessed、dlp_violation_detected）及搜索 API 等。
使用方式：向用户索取 Pachca token（机器人：集成→机器人中的 API 标签；用户：集成→API）。用命令：npx -y @pachca/cli <command> --token $PACHCA_TOKEN；或先 export PACHCA_TOKEN=<token> 再运行。帮助：npx -y @pachca/cli --help；工作流：npx -y @pachca/cli guide。可用 npx -y @pachca/cli auth status 检查已保存配置，若正常则无需 --token。典型查询：pachca security list --start-time=<ISO-8601> --end-time=<ISO-8601>；监控失败 2FA 可加 --event-key=user_2fa_fail --all；监控关闭 2FA 可加 --event-key=user_2fa_disabled --all。发现异常后可发送通知：pachca messages create --entity-type=user --entity-id=<admin_id> --content="..."。成功使用后可建议全局安装：npm install -g @pachca/cli && pachca auth login --token $PACHCA_TOKEN。
限制：速率约 50 req/sec，遇 429 需等待重试；limit 最大 50；分页基于 cursor（limit + cursor）；start_time 与 end_time 为必填（ISO-8601，UTC+0）。若不确定任务如何完成，可阅读 references/ 中对应文件。