Πώς παραβλέπεται
Ένας agent γράφει σε έναν προορισμό. Ένας άλλος κάνει το ίδιο. Μετά αρκετοί ακόμη. Κάθε συνεδρία μπορεί να φαίνεται αδιάφορη μόνη της, ενώ το μοτίβο του fleet σας λέει κάτι που αξίζει διερεύνηση.
Φανταστείτε έξι άσχετες συνεδρίες να γράφουν κάτω από το ίδιο άγνωστο πρόθεμα προορισμού. Μια ανά συνεδρία αναθεώρηση βλέπει μια ενέργεια τη φορά. Το ελλείπον ερώτημα είναι αν ανεξάρτητοι agents έχουν αρχίσει να κάνουν μαζί το ίδιο ασυνήθιστο πράγμα.
Τι ανιχνεύει το ClawMetry
Το ClawMetry ομαδοποιεί υποστηριζόμενες ενέργειες εγγραφής κατά μέθοδο, host και κανονικοποιημένο πρόθεμα διαδρομής. Με αρκετό ιστορικό κόμβου, ελέγχει αν ασυνήθιστο fingerprint μοιράζεται από αρκετές άσχετες οικογένειες συνεδριών. Μια αντιστοίχιση δημιουργεί προειδοποίηση συντονισμένης ενέργειας με τις συμμετέχουσες συνεδρίες.
Η διαφορά που αλλάζει το εύρημα
Παράδειγμα ενεργοποίησης
6 άσχετες οικογένειες
Εύρημα προειδοποίησης
Αθόρυβη σύγκριση
1 οικογένεια orchestrator
Κανένα εύρημα για αυτόν τον ανιχνευτή.
Το ελεγχόμενο παράδειγμα έχει έξι άσχετες συνεδρίες που μοιράζονται νέο fingerprint εγγραφής και παράγει ένα εύρημα. Συνδέστε τις ίδιες συνεδρίες με έναν orchestrator, και μετράνε ως μία οικογένεια. Ο ανιχνευτής παραμένει ήσυχος επειδή η αναμενόμενη συνεργασία γονέα και subagent είναι διαφορετική από ανεξάρτητη σύγκλιση.
Εξετάστε το αποτέλεσμα ανιχνευτή
{
"kind": "coordinated_action",
"severity": "warning",
"evidence": {
"fingerprint": {
"verb": "PUT",
"host": "collector.invalid",
"path_prefix": "/shared/board"
},
"fingerprint_key": "PUT collector.invalid/shared/board",
"families": 6,
"sessions": 6,
"session_ids": [
"claude_code:session0",
"claude_code:session1",
"claude_code:session2",
"claude_code:session3",
"claude_code:session4",
"claude_code:session5"
],
"threshold": 5,
"first_seen_by_node": null,
"settle_hours": 24.0,
"observed": "tool_arguments"
}
}Πώς ελέγχθηκε το παράδειγμα
Αυτά τα παραδείγματα αξιολογούν τον δημοσιευμένο ανιχνευτή με δεδομένα συμβάντων ή αναλώσιμα αρχεία ρυθμίσεων. Τα βίντεο απεικονίζουν αυτές τις συμπεριφορές. Δεν αποτελούν εγγραφές ζωντανών agents ή της διεπαφής προϊόντος. Καμία εντολή στα παραδείγματα δεν εκτελέστηκε.
Το αποτέλεσμα καθορίζει τη συμπεριφορά για αυτές τις εισόδους. Δεν καθορίζει λήψη δεδομένων runtime, πρόληψη ή πραγματικό συμβιβασμό. Εξετάστε τη σταθερή σύμβαση πηγής.
Τι να ελέγξετε στη συνέχεια
Εξετάστε τον κοινό προορισμό και συγκρίνετε τις εργασίες των συμμετεχόντων. Υπήρχε σκόπιμη ανάπτυξη ή κοινή εξάρτηση; Ακολουθήστε τις συνεδρίες πίσω στην πηγή της συμπεριφοράς. Εξετάστε το fleet μαζί αντί να απορρίπτετε κάθε ενέργεια μεμονωμένα.
- Εξετάστε τον κοινό προορισμό
- Συγκρίνετε εργασίες συμμετεχόντων
- Εντοπίστε την κοινή πηγή
Τι καθορίζει αυτό το σήμα
Χρησιμοποιεί καταγεγραμμένα ορίσματα εργαλείων, όχι κίνηση δικτύου. Απαιτεί σταθεροποιημένο ιστορικό και δεν αποδεικνύει συνεργασία, παραβίαση ή επιτυχημένες εγγραφές.