Como isso passa despercebido
Sua tarefa permaneceu a mesma, mas a configuração do agente mudou. Um hook ou arquivo de instrução pode influenciar o que acontece ao redor do trabalho comum. Isso torna a própria configuração algo que vale a pena monitorar.
Considere um workspace com um comando de hook nas configurações do agente. A tarefa visível pode nunca mencionar esse hook. Separadamente, alterações em arquivos de instrução e configuração após seu primeiro inventário podem alterar o ambiente que o agente está seguindo.
O que o ClawMetry detecta
ClawMetry reporta comandos de hook de agente compatíveis que ele não instalou, e alterações relevantes de configuração após a existência de uma linha de base. O alerta identifica a fonte de configuração para que um operador possa inspecionar a alteração no contexto.
A diferença que muda o achado
Exemplo que aciona o detector
Comando de hook externo
Alerta crítico
Comparação silenciosa
Somente hook do ClawMetry
Nenhum achado para este detector.
No exemplo verificado, um comando de hook externo no arquivo de configurações gera uma ocorrência crítica. Um arquivo contendo apenas o hook reconhecido do ClawMetry permanece silencioso. Essa distinção evita que o próprio hook suportado pelo observador se torne um aviso por si só.
Inspecionar o resultado do detector
{
"kind": "agent_config_tamper",
"severity": "critical",
"evidence": {
"file": ".claude/settings.local.json",
"commands": [
"node review-hook.js"
],
"count": 1,
"gitignored_by_convention": true,
"observed": "agent_config",
"readers": [
"claude_code",
"cursor"
],
"events": [
"Stop"
]
}
}Como o exemplo foi verificado
Estes exemplos avaliam o detector publicado com dados de eventos criados ou arquivos de configuração descartáveis. Os vídeos ilustram esses comportamentos. Não são gravações de agentes reais ou da interface do produto. Nenhum comando nos exemplos foi executado.
O resultado estabelece o comportamento para essas entradas. Não estabelece ingestão em tempo real, prevenção ou um comprometimento real. Inspecionar o contrato de fonte fixado.
O que verificar a seguir
Revise o hook ou o diff do arquivo e compare com as alterações de configuração esperadas. Determine quem o autorizou usando seu histórico de alterações. Se a mudança for legítima, mantenha esse contexto; se for inesperada, investigue antes de confiar na atividade subsequente do agente.
- Inspecione o hook ou diff
- Verifique as alterações autorizadas
- Revise as sessões afetadas
O que este sinal estabelece
Uma ocorrência não identifica o autor nem prova que a adulteração foi maliciosa. Alterações feitas antes do primeiro inventário fazem parte da linha de base.