容易被忽视的原因
一个常规编程任务突然演变为请求提升权限的命令。这或许是必要的，也可能超出了任务所需的权限范围。命令发生变化的那一刻值得关注。
一个智能体在排查缺失依赖时使用了 sudo。在漫长的会话中，该请求可能夹杂在普通检查和安装输出之间。如果你只审查最终结果，可能永远不会注意到这次权限请求。
ClawMetry 检测什么
ClawMetry 识别捕获的工具参数中与权限相关的模式。sudo 命令可触发权限变更警告，发现结果提示你在任务上下文中审查该操作。
影响检测结果的关键差异
触发示例
sudo apt-get install jq
警告级发现
静默对比
git status
此检测器无发现。
被检查的示例使用了 sudo 软件包安装命令并触发了警告。普通的 Git status 命令不会触发警告。此信号针对的是观察到的命令本身，不代表权限请求已成功执行。
检查检测器结果
{
"kind": "privilege_change",
"severity": "warning",
"evidence": {
"patterns": [
"ran a command as root"
],
"matches": 1,
"irreversible": [],
"command_sketch": "sudo apt-get",
"observed": "tool_arguments"
}
}示例的检查方式
这些示例使用预设事件数据或一次性配置文件评估已发布的检测器。视频展示了相应行为，并非真实智能体或产品界面的录屏。示例中的命令均未实际执行。
结果仅反映这些输入的行为，不代表运行时摄取、防护或真实的攻击场景。 查看固定源合约.
接下来检查什么
确认是否真的需要提升权限。检查目标、命令及涉及的审批情况。优先选择能完成任务的最小权限，并利用运行时和系统证据核实操作结果。
- 确认是否真的需要提升权限
- 检查目标与审批情况
- 核实操作后的系统状态
此信号说明什么
此检测器读取记录在案的命令，而非操作系统实际授予的权限，它本身不会阻止权限提升。