go build -o bin/ltm ./cmd/ltm

sudo ./bin/ltm start                       # تسجيل (eBPF؛ صلاحية الجذر، لينكس/x86_64)
./bin/ltm timeline --since 5m
./bin/ltm watch                            # تتبع حي؛ Ctrl-C للإيقاف
./bin/ltm diff --from 10m --to now
./bin/ltm query "who modified /etc/some.conf?"
sudo ./bin/ltm stop

export LTM_AGENT=claude   # أو codex، cursor، gemini، auto، أو أمر مخصص
ltm query "which process wrote to files the most today?"
"

يتم طباعة SQL الوكيل، ثم تشغيله على اتصال القراءة فقط، ويتم رفضه ما لم يكن عبارة `SELECT` واحدة. لا وكيل (أو فشل الوكيل) → قوالب مدمجة.

## ما يتم تسجيله

حوالي 60 نقطة تتبع: **عملية** (exec، exit، fork، clone، kill)، **ملف**
(open/close، read/write، rename، unlink، link، symlink، mkdir، rmdir، chmod،
chown، stat، access، truncate، dup، pipe، …)، **ذاكرة** (mmap، munmap،
mprotect)، **شبكة** (socket، connect، bind، listen، accept، send/recv،
shutdown)، **كتلة** (`block_rq_issue`).

BPF يتجاوز `/proc`، `/sys`، `/dev` ومعرف العملية الخاص بالخفي. قائمة نقاط التتبع اليدوية موجودة في `internal/abi/abi.yaml`؛ جدول وقت التشغيل المضمن يتم إنشاؤه في `internal/abi/tracepoints_gen.go`. بعد تعديل `collector.bpf.c`، أعد البناء باستخدام `make ebpf`. بعد تعديل بيانات ABI الوصفية في `internal/abi/abi.yaml`، قم بتشغيل `make generate` ثم `make ebpf` إذا تغير تخطيط أحداث النواة أو جدول نقاط التتبع.

### القيود

- **تسجيل x86_64 فقط** — BPF مبني بـ `-D__TARGET_ARCH_x86`
  ([#2](https://github.com/Agent-Hellboy/ltm/issues/2)). الاستعلام والبيانات التجريبية المولدة بواسطة `benchmark` لا تتطلب دعم تسجيل لينكس.
- **عناوين IPv4 فقط** — يتم تخزين اتصالات/ربطات IPv6 بدون عنوان مفكوك.
- **عدادات البايت** هي الحجم *المطلوب* لاستدعاء النظام (مسبار الدخول)؛ الإدخال/الإخراج القصير/الفاشل يتم عدّه بشكل زائد؛ `readv`/`writev`/`sendmsg`/`recvmsg` يبلغون `0`.
- **fd→path** يغطي واصفات الملفات ≤ 1024 وقد يسند بشكل خاطئ بعد إعادة استخدام كثيفة لمعرفات العمليات؛ يتم تسجيل واصفات الملفات الأعلى بدون مسار.

## التطوير

```bash
go test ./...                # اختبارات محلية/وحدوية
make generate                # إعادة توليد مخرجات ABI/المخطط من abi.yaml
make ebpf                    # إعادة توليد كائن/ارتباطات BPF المضمنة (لينكس)
make integration             # تسجيل eBPF حقيقي؛ لينكس + صلاحية الجذر