При аттаче посреди системного вызова с последующим PTRACE_SYSCALL, программа остановится, а для трассировщика это будет выглядеть как вход в syscall (затем, как обычно, последует выход). При этом orig_eax=0, то есть номер вызова не сохранен (насколько я знаю, это потому, что номер syscall'а сохраняется в orig_eax только если программа находится под трассировкой).
а заголовки лучше без капса