Tại sao dễ bị bỏ qua
Một tác nhân ghi vào một đích. Một tác nhân khác cũng vậy. Rồi nhiều tác nhân nữa. Mỗi phiên có thể trông bình thường khi xem riêng lẻ, trong khi mẫu của toàn đội cho bạn biết điều gì đó đáng điều tra.
Hãy tưởng tượng sáu phiên không liên quan cùng ghi dưới cùng một tiền tố đích lạ. Xem xét từng phiên chỉ thấy một hành động tại một thời điểm. Câu hỏi còn thiếu là liệu các tác nhân độc lập có bắt đầu làm cùng một việc bất thường cùng nhau không.
ClawMetry phát hiện gì
ClawMetry nhóm các hành động ghi được hỗ trợ theo phương thức, host và tiền tố đường dẫn đã chuẩn hóa. Với đủ lịch sử node, nó kiểm tra xem fingerprint bất thường có được chia sẻ bởi đủ họ phiên không liên quan không. Khớp tạo ra cảnh báo hành động phối hợp với các phiên tham gia.
Sự khác biệt thay đổi kết quả phát hiện
Ví dụ kích hoạt
6 họ không liên quan
Phát hiện cảnh báo
So sánh im lặng
1 họ điều phối viên
Không có kết quả phát hiện cho detector này.
Ví dụ được kiểm tra có sáu phiên không liên quan dùng chung fingerprint ghi mới và tạo ra một phát hiện. Liên kết các phiên đó với một điều phối viên, và chúng được tính là một họ thay thế. Detector giữ im lặng vì hợp tác giữa cha và tác nhân con là khác với sự hội tụ độc lập.
Kiểm tra kết quả detector
{
"kind": "coordinated_action",
"severity": "warning",
"evidence": {
"fingerprint": {
"verb": "PUT",
"host": "collector.invalid",
"path_prefix": "/shared/board"
},
"fingerprint_key": "PUT collector.invalid/shared/board",
"families": 6,
"sessions": 6,
"session_ids": [
"claude_code:session0",
"claude_code:session1",
"claude_code:session2",
"claude_code:session3",
"claude_code:session4",
"claude_code:session5"
],
"threshold": 5,
"first_seen_by_node": null,
"settle_hours": 24.0,
"observed": "tool_arguments"
}
}Cách ví dụ được kiểm tra
Các ví dụ này đánh giá detector đã xuất bản bằng dữ liệu sự kiện được soạn thảo hoặc tệp cấu hình dùng một lần. Video minh họa các hành vi đó. Đây không phải là bản ghi của agent thực hoặc giao diện sản phẩm. Không có lệnh nào trong ví dụ được thực thi.
Kết quả xác lập hành vi cho các đầu vào này. Nó không xác lập việc thu thập runtime, ngăn chặn hay một sự xâm phạm thực sự. Kiểm tra hợp đồng nguồn đã ghim.
Những gì cần kiểm tra tiếp theo
Kiểm tra đích dùng chung và so sánh nhiệm vụ của những người tham gia. Có đợt triển khai có chủ ý hay dependency chung không? Theo các phiên về nguồn của hành vi. Xem xét toàn đội cùng nhau thay vì bỏ qua từng hành động riêng lẻ.
- Kiểm tra đích dùng chung
- So sánh nhiệm vụ của các tham gia viên
- Truy vết nguồn chung
Tín hiệu này xác lập điều gì
Điều này sử dụng đối số công cụ đã ghi lại, không phải lưu lượng mạng. Nó cần lịch sử đã ổn định và không chứng minh sự hợp tác, xâm phạm hay ghi thành công.