چگونه نادیده گرفته میشود
وظیفه شما ثابت ماند، اما پیکربندی عامل تغییر کرد. یک هوک یا فایل دستورالعمل میتواند روی آنچه در اطراف کار معمولی اتفاق میافتد تأثیر بگذارد. همین پیکربندی را به چیزی ارزشمند برای نظارت تبدیل میکند.
یک فضای کاری با دستور هوک در تنظیمات عامل را در نظر بگیرید. وظیفه قابل مشاهده ممکن است هرگز به آن هوک اشاره نکند. جداگانه، تغییرات در فایلهای دستورالعمل و تنظیمات پس از اولین موجودی میتواند محیطی که عامل دنبال میکند را تغییر دهد.
آنچه ClawMetry شناسایی میکند
ClawMetry دستورات هوک عامل پشتیبانیشدهای که خودش نصب نکرده، و تغییرات پیکربندی مرتبط پس از وجود خط پایه را گزارش میدهد. یافته منبع پیکربندی را شناسایی میکند تا یک اپراتور بتواند تغییر را در زمینه بررسی کند.
تفاوتی که یافته را تغییر میدهد
مثال محرک
دستور هوک خارجی
یافته بحرانی
مقایسه بدون هشدار
فقط هوک ClawMetry
هیچ یافتهای برای این آشکارساز وجود ندارد.
در مثال بررسیشده، دستور هوک خارجی در فایل تنظیمات یک یافته بحرانی ایجاد میکند. فایلی که فقط حاوی هوک شناختهشده ClawMetry است بیصدا میماند. این تمایز هوک پشتیبانیشده ناظر را از تبدیل شدن به هشدار مستقل باز میدارد.
نتیجه آشکارساز را بررسی کنید
{
"kind": "agent_config_tamper",
"severity": "critical",
"evidence": {
"file": ".claude/settings.local.json",
"commands": [
"node review-hook.js"
],
"count": 1,
"gitignored_by_convention": true,
"observed": "agent_config",
"readers": [
"claude_code",
"cursor"
],
"events": [
"Stop"
]
}
}چگونه مثال بررسی شد
این مثالها آشکارساز منتشرشده را با دادههای رویداد نوشتهشده یا فایلهای پیکربندی موقت ارزیابی میکنند. ویدیوها آن رفتارها را نشان میدهند. آنها ضبط عوامل زنده یا رابط محصول نیستند. هیچ دستوری در مثالها اجرا نشده است.
نتیجه رفتار را برای این ورودیها تعیین میکند. این نتیجه جذب زمان اجرا، پیشگیری یا یک نقض واقعی را ثابت نمیکند. قرارداد منبع ثابتشده را بررسی کنید.
آنچه بعداً باید بررسی کنید
هوک یا تفاوت فایل را بررسی کرده و با تغییرات تنظیم مورد انتظار مقایسه کنید. با تاریخچه تغییرات خود مشخص کنید چه کسی آن را مجاز کرده. اگر تغییر مشروع است، آن زمینه را حفظ کنید؛ اگر غیرمنتظره است، پیش از تکیه بر فعالیت بعدی عامل تحقیق کنید.
- هوک یا تفاوت را بررسی کنید
- تغییرات مجاز را بررسی کنید
- جلسات تأثیرگذارشده را بررسی کنید
آنچه این سیگنال ثابت میکند
یافته نویسنده را شناسایی نمیکند یا اثبات نمیکند که دستکاری مخرب بوده. تغییرات قبل از اولین موجودی بخشی از خط پایه هستند.