红蓝对抗数据接口原始事件和分析标签必须分开红队动作、蓝队告警和人工研判会产生不同可信度的数据。若都写进同一个status字段后续规则训练和复盘很快失真。原始事件不可被推断覆盖保存时间、来源、对象、动作和采集标识分析标签单独记录规则版本、置信度与判断人。修正标签不修改原始事件审计时才能还原当时看到的证据。错误语义服务于处置字段不合法、事件重复、目标不在演练范围和上游不可用分别返回。未知字段不能静默猜测敏感目标与内部规则不出现在错误文案中。接口版本跟着语义变化新增可选字段应让旧消费者忽略字段含义变化则创建新版本。用重复事件、乱序、缺字段和撤销授权几类样本验证处置系统不能因接口异常误触发高风险动作。攻防数据的价值在于能复盘。事实与推断分开规则怎么变都不会改写历史。