यह कैसे नज़रअंदाज़ हो जाता है
एक agent एक destination पर लिखता है। दूसरा भी यही करता है। फिर कई और। प्रत्येक session अपने आप में सामान्य लग सकता है, जबकि fleet pattern आपको कुछ ऐसा बताता है जो जांच के योग्य है।
कल्पना करें कि छह असंबंधित sessions एक ही अपरिचित destination prefix के अंतर्गत लिख रहे हैं। प्रति session समीक्षा एक समय में एक action देखती है। गुम प्रश्न यह है कि क्या स्वतंत्र agents एक साथ एक ही असामान्य काम करने लगे हैं।
ClawMetry क्या डिटेक्ट करता है
ClawMetry समर्थित write actions को method, host और normalized path prefix के अनुसार समूहित करता है। पर्याप्त node history के साथ, यह जांचता है कि क्या कोई असामान्य fingerprint पर्याप्त असंबंधित session families द्वारा साझा किया जाता है। एक match भाग लेने वाले sessions के साथ coordinated action warning बनाता है।
वह अंतर जो finding बदल देता है
Trigger करने वाला उदाहरण
6 असंबंधित families
Warning finding
शांत तुलना
1 orchestrator family
इस detector के लिए कोई finding नहीं।
जांचे गए उदाहरण में छह असंबंधित sessions एक नया write fingerprint साझा करते हैं और एक finding उत्पन्न होती है। उन्हीं sessions को एक orchestrator से जोड़ें, और वे एक family के रूप में गिने जाते हैं। Detector शांत रहता है क्योंकि अपेक्षित parent और subagent सहयोग स्वतंत्र convergence से अलग है।
Detector result की जांच करें
{
"kind": "coordinated_action",
"severity": "warning",
"evidence": {
"fingerprint": {
"verb": "PUT",
"host": "collector.invalid",
"path_prefix": "/shared/board"
},
"fingerprint_key": "PUT collector.invalid/shared/board",
"families": 6,
"sessions": 6,
"session_ids": [
"claude_code:session0",
"claude_code:session1",
"claude_code:session2",
"claude_code:session3",
"claude_code:session4",
"claude_code:session5"
],
"threshold": 5,
"first_seen_by_node": null,
"settle_hours": 24.0,
"observed": "tool_arguments"
}
}उदाहरण कैसे जांचा गया
ये उदाहरण published detector को authored event data या disposable configuration files के साथ evaluate करते हैं। वीडियो उन behaviors को दर्शाते हैं। ये live agents या product interface की recordings नहीं हैं। उदाहरणों में कोई command execute नहीं किया गया।
परिणाम इन inputs के लिए व्यवहार स्थापित करता है। यह runtime ingestion, prevention या वास्तविक compromise स्थापित नहीं करता। Pinned source contract की जांच करें.
आगे क्या जांचें
साझा destination की जांच करें और प्रतिभागियों के tasks की तुलना करें। क्या कोई जानबूझकर rollout या सामान्य dependency थी? Sessions को व्यवहार के source तक वापस trace करें। प्रत्येक action को अलग से खारिज करने की बजाय fleet को एक साथ समीक्षा करें।
- साझा destination की जांच करें
- प्रतिभागियों के tasks की तुलना करें
- सामान्य source का पता लगाएं
यह signal क्या स्थापित करता है
यह captured tool arguments का उपयोग करता है, network traffic का नहीं। इसके लिए settled history आवश्यक है और यह collaboration, compromise या सफल writes साबित नहीं करता।