agent แยกกัน ปลายทางเดียวกัน

เหตุใดจึงมองข้ามได้ง่าย

agent หนึ่งเขียนไปยังปลายทาง อีกตัวทำเหมือนกัน แล้วก็อีกหลายตัว แต่ละ session อาจดูไม่น่าสังเกตในตัวเอง ในขณะที่รูปแบบของ fleet บอกบางสิ่งที่ควรตรวจสอบ

ลองนึกภาพ sessions ที่ไม่เกี่ยวข้องกันหกรายการเขียนภายใต้คำนำหน้าปลายทางที่ไม่คุ้นเคยเดียวกัน การตรวจสอบแต่ละ session เห็นเพียงหนึ่งการกระทำในแต่ละครั้ง คำถามที่หายไปคือ agent อิสระเหล่านี้เริ่มทำสิ่งผิดปกติเดียวกันร่วมกันหรือไม่

สิ่งที่ ClawMetry ตรวจจับ

ClawMetry จัดกลุ่มการกระทำการเขียนที่รองรับตาม method, host และ normalized path prefix เมื่อมีประวัติ node เพียงพอ จะตรวจสอบว่า fingerprint ที่ผิดปกติถูกแชร์โดย session families ที่ไม่เกี่ยวข้องกันเพียงพอหรือไม่ การจับคู่ที่พบสร้างคำเตือนการกระทำที่ประสานงานพร้อม sessions ที่เข้าร่วม

ความแตกต่างที่เปลี่ยนผลการตรวจสอบ

ตัวอย่างที่ตรวจสอบมี sessions ที่ไม่เกี่ยวข้องกันหกรายการแชร์ write fingerprint ใหม่และสร้างผลการค้นพบหนึ่ง เชื่อม sessions เดียวกันกับ orchestrator หนึ่ง และนับเป็นหนึ่งครอบครัวแทน ตัวตรวจจับไม่แจ้งเตือนเพราะความร่วมมือระหว่าง parent และ subagent ที่คาดหวังแตกต่างจากการมาบรรจบกันอย่างอิสระ

{
  "kind": "coordinated_action",
  "severity": "warning",
  "evidence": {
    "fingerprint": {
      "verb": "PUT",
      "host": "collector.invalid",
      "path_prefix": "/shared/board"
    },
    "fingerprint_key": "PUT collector.invalid/shared/board",
    "families": 6,
    "sessions": 6,
    "session_ids": [
      "claude_code:session0",
      "claude_code:session1",
      "claude_code:session2",
      "claude_code:session3",
      "claude_code:session4",
      "claude_code:session5"
    ],
    "threshold": 5,
    "first_seen_by_node": null,
    "settle_hours": 24.0,
    "observed": "tool_arguments"
  }
}

สิ่งที่ควรตรวจสอบต่อไป

ตรวจสอบปลายทางที่ใช้ร่วมกันและเปรียบเทียบงานของผู้เข้าร่วม มีการเปิดตัวที่ตั้งใจหรือ dependency ร่วมกันหรือไม่? ติดตาม sessions ย้อนกลับไปยังแหล่งที่มาของพฤติกรรม ตรวจสอบ fleet ร่วมกันแทนที่จะปัดแต่ละการกระทำออกไปแยกกัน

1. ตรวจสอบปลายทางที่ใช้ร่วมกัน
2. เปรียบเทียบงานของผู้เข้าร่วม
3. ติดตามแหล่งที่มาร่วมกัน