审计报 0 次拦截、日志实记 7 次:Claude Code 转录格式变更坑盲检测
Ok-Motor-9812 · reddit · 2026-11-02
作者每天用一次审计扫描 Claude Code 的会话转录，统计 hook 拦截 agent 的次数。9 月 12 日自己的遥测记录了 7 次拦截，审计却报 0,修复后也只有 3。
根因：转录格式迁移了——同一条拦截记录先后出现过三种形态(旧版作为 attachment、带错误前缀的 tool result、只含裸 reason 的 tool result),每次变更都让基于文本模式匹配的检测器失明。而测试全绿,因为 fixtures 仍是旧格式；失明的检测器报出更少的拦截数，反而「看起来像进步」。
修复方案:
- 每个 hook 拦截时写入它阻止的那次调用的 tooluseid,审计侧按 ID 做 join,而不是猜文本形状
- 加两条告警:若超过一半的已记录 ID 在任何转录中找不到，说明布局又变了;若文本规则只能识别不到 80% 的已记录拦截，告警直接引用漏识别的文本，新模式一行代码即可补上
核心教训:依赖上游日志格式做模式匹配的检测器,必须用 ID 关联+漂移告警来兜底，否则监控失效还会伪装成指标改善。
「编程与Agent」频道最新
- Harness Pro 用 ESP32-P4 做出 AI 编码 Agent 桌面监控屏 — dee_hw · 2026-11-02
- RL 训练 LFM2.5-24B 适配器：精度持平下工具调用省 20% — yb2698 · 2026-11-02
- Agent 生产环境排障之痛：错误在第5步、根因在第3步 — Ok-Machine7983 · 2026-11-02
- RAGFlow 1.0 预览：从 RAG 引擎转向 agent 原生数据库 — newpeak · 2026-11-02
- 开源 Kitsune MCP：让编码 agent 复用你正在用的 Firefox 浏览器 — Sad-Interview9085 · 2026-11-02
- Agent 系统工程八连发:服务拆分、契约、子图与人审闭环实战 — huygl99 · 2026-11-02