用途：审计并报告 AIC 日志中的 MCP 服务器活动，包括认证事件、用户归属的操作以及 API 流量。当用户询问 MCP 服务器做过什么、谁在何时调用了哪些工具时触发。
主要能力：通过 getLogSources 和 queryLogs 工具检索并解读 AIC 审计日志。查询前先确认当前时间，以保证时间范围准确。可识别 MCP 活动标记：初始认证客户端 AICMCPClient（am-authentication，PKCE/设备码登录）；令牌交换客户端 AICMCPExchangeClient（am-authentication，每次工具调用产生一个 AM-TOKEN-EXCHANGE 事件）；API User-Agent 为 aic-mcp-server/<version>（idm-access、am-access 的所有出站 API 请求）。
日志来源：am-authentication 查看 AM-TOKEN-EXCHANGE（工具调用次数与时序）和 AM-TREE-LOGIN-COMPLETED（用户登录）；am-config 查看 AM-CONFIG-CHANGE（journey、节点、脚本、OIDC 应用变更，userId 显示认证用户）；idm-access 为逐请求 HTTP 日志，按 user-agent 含 aic-mcp-server 过滤以隔离 MCP 流量；idm-activity 提供托管对象操作的前后状态，runAs 显示认证用户。
解读要点：令牌交换次数等于工具调用次数，数秒内的突发交换表示多步工具；AM 配置日志中出现两个 runAs 值属预期（dsameuser 与 id=<uuid>），均归属认证用户；每个 AM-TOKEN-EXCHANGE 携带 subjectAuditTrackingId，可回溯到会话的 AM-TREE-LOGIN-COMPLETED，形成用户归属链。
查询模式示例：/payload/principal co "AICMCPExchangeClient"；/payload/http/request/headers/user-agent co "aic-mcp-server"；/payload/objectId co "JourneyName"；/payload/objectId co "managed/alpha_user"。
报告格式：会话摘要（登录时间、认证用户、IP、令牌交换总数）、AM 活动（按对象分组的配置变更）、IDM 活动（对象名、操作类型、时间戳）、日志查询调用（服务器自身的监控 API 调用，表现为 fr:idc:monitoring:* 作用域交换）。时间线用表格呈现，并注明查询窗口及来源结果是否被截断（存在分页 cookie）。
限制：资料未提供具体安装命令、收费信息或平台支持范围。