Bagaimana ini bisa terlewat
Satu agen menulis ke suatu tujuan. Agen lain melakukan hal yang sama. Kemudian beberapa lainnya. Setiap sesi mungkin terlihat biasa saja, sementara pola armada memberi tahu Anda sesuatu yang layak diselidiki.
Bayangkan enam sesi yang tidak terkait menulis di bawah awalan tujuan yang sama namun tidak dikenal. Tinjauan per sesi melihat satu tindakan pada satu waktu. Pertanyaan yang terlewatkan adalah apakah agen-agen independen telah mulai melakukan hal yang sama yang tidak biasa bersama-sama.
Apa yang dideteksi ClawMetry
ClawMetry mengelompokkan tindakan tulis yang didukung berdasarkan metode, host, dan awalan jalur yang dinormalisasi. Dengan riwayat node yang cukup, ia memeriksa apakah sidik jari yang tidak biasa dibagikan oleh cukup banyak keluarga sesi yang tidak terkait. Kecocokan membuat peringatan tindakan terkoordinasi dengan sesi yang berpartisipasi.
Perbedaan yang mengubah temuan
Contoh pemicu
6 keluarga yang tidak terkait
Temuan peringatan
Perbandingan tenang
1 keluarga orkestrator
Tidak ada temuan untuk detektor ini.
Contoh yang diperiksa memiliki enam sesi yang tidak terkait berbagi sidik jari tulis baru dan menghasilkan satu temuan. Kaitkan sesi yang sama ke satu orkestrator, dan mereka dihitung sebagai satu keluarga. Detektor tetap tenang karena kerja sama parent dan subagent yang diharapkan berbeda dari konvergensi independen.
Periksa hasil detektor
{
"kind": "coordinated_action",
"severity": "warning",
"evidence": {
"fingerprint": {
"verb": "PUT",
"host": "collector.invalid",
"path_prefix": "/shared/board"
},
"fingerprint_key": "PUT collector.invalid/shared/board",
"families": 6,
"sessions": 6,
"session_ids": [
"claude_code:session0",
"claude_code:session1",
"claude_code:session2",
"claude_code:session3",
"claude_code:session4",
"claude_code:session5"
],
"threshold": 5,
"first_seen_by_node": null,
"settle_hours": 24.0,
"observed": "tool_arguments"
}
}Cara contoh diperiksa
Contoh-contoh ini mengevaluasi detektor yang diterbitkan dengan data peristiwa yang dibuat atau file konfigurasi sementara. Video mengilustrasikan perilaku tersebut. Ini bukan rekaman agen langsung atau antarmuka produk. Tidak ada perintah dalam contoh yang dieksekusi.
Hasilnya menetapkan perilaku untuk input ini. Ini tidak menetapkan konsumsi runtime, pencegahan, atau kompromi nyata. Periksa kontrak sumber yang disematkan.
Apa yang perlu diperiksa selanjutnya
Periksa tujuan bersama dan bandingkan tugas peserta. Apakah ada rollout yang dimaksud atau dependensi yang sama? Ikuti sesi kembali ke sumber perilaku. Tinjau armada secara bersamaan daripada mengabaikan setiap tindakan secara terpisah.
- Periksa tujuan bersama
- Bandingkan tugas peserta
- Lacak sumber yang sama
Apa yang ditetapkan sinyal ini
Ini menggunakan argumen alat yang ditangkap, bukan lalu lintas jaringan. Ini memerlukan riwayat yang stabil dan tidak membuktikan kolaborasi, kompromi, atau penulisan yang berhasil.