用途：查询阿里云 SAG（智能接入网关）配置并执行状态巡检，链路为 SAG 设备/APP → CCN → CEN → VPC，全程只读，不修改资源。
主要能力：按场景分为四类契约。Contract A 针对单个 sag-xxx 实例做 12 项完整配置查询（实例信息、VPN 属性、设备信息、WAN、静态路由、路由表、DNAT、SNAT、CCN、ACL、QoS、DNS）；Contract B 做多区域资产盘点，先调 describe-regions 获取区域列表再逐区域查询实例、CCN、ACL、QoS；Contract C 针对 sag-software 软件客户端，跳过设备级 API，改查客户端用户、流日志等；Contract D 执行 10 项完整健康巡检。最终生成巡检报告文件。
使用方式：需 aliyun CLI >= 3.3.3，安装/更新命令为 curl -fsSL https://aliyuncli.alicdn.com/setup.sh | bash；安装插件 aliyun plugin install --names aliyun-cli-smartag，并执行 aliyun plugin update 与 aliyun configure set --auto-plugin-install true。执行前须启用 AI 模式：aliyun configure ai-mode enable 与 aliyun configure ai-mode set-user-agent --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-smartag-pilot"，每个退出点须执行 aliyun configure ai-mode disable。鉴权用 aliyun configure list 检查凭证，禁止读取或回显 AK/SK，禁止在会话中输入凭证。API 名与参数用 kebab-case，跨区域查询须用 --endpoint smartag.<RegionId>.aliyuncs.com，业务区域用 --biz-region-id。
限制：需要只读 SAG 权限，权限失败须按 references/ram-policies.md 处理；所有用户可定制参数（RegionId、SmartAGId、查询范围、输出格式）须先与用户确认；禁止用基础信息字段替代专用 API 调用；describe-health-checks 不可用；describe-sag-drop-topn 遇 SAG_QUERY_TOPN_ERROR 可跳过。具体报告格式与更多细节资料未完整提供。