容易被忽视的原因
您的任务没有变化，但智能体配置已改变。钩子或指令文件可以影响普通工作的执行方式，因此配置本身值得持续关注。
考虑一个在智能体设置中含有钩子命令的工作区。可见的任务可能从未提及该钩子。另外，指令和设置文件在首次清点后发生变更，可能改变智能体遵循的环境。
ClawMetry 检测什么
ClawMetry 报告其未安装的受支持智能体钩子命令，以及基线建立后的相关配置变更。发现中标识配置来源，便于操作员在上下文中检查变更。
影响检测结果的关键差异
触发示例
未知来源的钩子命令
严重发现
静默对比
仅 ClawMetry 钩子
此检测器无发现。
在验证示例中，设置文件中出现陌生钩子命令会触发严重发现。仅包含ClawMetry已识别钩子的文件则保持静默。这一区分确保观察器自身支持的钩子不会单独产生警告。
检查检测器结果
{
"kind": "agent_config_tamper",
"severity": "critical",
"evidence": {
"file": ".claude/settings.local.json",
"commands": [
"node review-hook.js"
],
"count": 1,
"gitignored_by_convention": true,
"observed": "agent_config",
"readers": [
"claude_code",
"cursor"
],
"events": [
"Stop"
]
}
}示例的检查方式
这些示例使用预设事件数据或一次性配置文件评估已发布的检测器。视频展示了相应行为，并非真实智能体或产品界面的录屏。示例中的命令均未实际执行。
结果仅反映这些输入的行为，不代表运行时摄取、防护或真实的攻击场景。 查看固定源合约.
接下来检查什么
查看钩子或文件差异，并与预期的配置变更进行对比。通过变更历史确认授权人。若变更合理，保留相关上下文；若变更意外，在依赖后续代理活动前先行调查。
- 检查钩子或差异
- 核实授权变更
- 审查受影响的会话
此信号说明什么
发现结果不会识别作者，也不能证明篡改是恶意行为。首次清单建立之前的变更属于基线的一部分。