Як це залишається непоміченим
Один агент записує до призначення. Інший робить те саме. Потім ще кілька. Кожна сесія може виглядати нічим не примітно сама по собі, тоді як шаблон флоту повідомляє вам щось варте розслідування.
Уявіть шість непов'язаних сесій, що записують під один і той самий незнайомий префікс призначення. Перегляд за сесіями бачить одну дію за раз. Відсутнє питання полягає в тому, чи почали незалежні агенти разом робити одну й ту саму незвичну річ.
Що виявляє ClawMetry
ClawMetry групує підтримувані дії запису за методом, хостом та нормалізованим префіксом шляху. За достатньої історії вузлів система перевіряє, чи незвичний відбиток поділяється достатньою кількістю непов'язаних сімей сесій. Збіг створює попередження про скоординовану дію з сесіями-учасниками.
Різниця, яка змінює знахідку
Приклад спрацювання
6 непов'язаних сімей
Попереджувальна знахідка
Тиха порівняльна ситуація
1 сім'я оркестратора
Для цього детектора знахідок немає.
Перевірений приклад має шість непов'язаних сесій, що поділяють новий відбиток запису, та виробляє одну знахідку. Пов'яжіть ті самі сесії з одним оркестратором, і вони рахуються як одна сім'я. Детектор залишається без реакції, оскільки очікувана співпраця батька та субагента відрізняється від незалежної конвергенції.
Перегляньте результат детектора
{
"kind": "coordinated_action",
"severity": "warning",
"evidence": {
"fingerprint": {
"verb": "PUT",
"host": "collector.invalid",
"path_prefix": "/shared/board"
},
"fingerprint_key": "PUT collector.invalid/shared/board",
"families": 6,
"sessions": 6,
"session_ids": [
"claude_code:session0",
"claude_code:session1",
"claude_code:session2",
"claude_code:session3",
"claude_code:session4",
"claude_code:session5"
],
"threshold": 5,
"first_seen_by_node": null,
"settle_hours": 24.0,
"observed": "tool_arguments"
}
}Як перевірявся приклад
Ці приклади оцінюють опублікований детектор із авторськими даними подій або одноразовими файлами конфігурації. Відео ілюструє цю поведінку. Це не записи живих агентів або інтерфейсу продукту. Жодна команда з прикладів не виконувалась.
Результат встановлює поведінку для цих вхідних даних. Він не встановлює прийом у середовищі виконання, запобігання або реального компрометування. Перегляньте закріплений вихідний контракт.
Що перевірити далі
Перевірте спільне призначення та порівняйте завдання учасників. Чи було заплановане розгортання або спільна залежність? Простежте сесії до джерела поведінки. Переглядайте флот разом, а не відхиляйте кожну дію окремо.
- Перевірте спільне призначення
- Порівняйте завдання учасників
- Відстежте спільне джерело
Що встановлює цей сигнал
Це використовує захоплені аргументи інструментів, а не мережевий трафік. Потребує усталеної історії та не доводить співпрацю, компрометацію або успішні записи.