用途：对发生变更的基础设施/部署配置做只读静态安全扫描，发现安全配置错误和暴露的密钥，输出证据与修复建议。
主要能力：覆盖容器（Dockerfile、docker-compose）、Terraform、Kubernetes/Helm、CI/CD（GitHub Actions、GitLab CI、Jenkinsfile 等）以及 nginx/Caddy/云资源/无服务器配置。检查项包括：容器非 root 运行、基础镜像固定、层内无密钥；compose 禁止 privileged/host 网络/挂载 docker.sock；Terraform 禁止 0.0.0.0/0 开放敏感端口、公开存储桶、IAM 通配、要求静态与传输加密；K8s 的 runAsNonRoot、禁止 hostPath/hostNetwork、资源限制、只读根文件系统、镜像摘要固定；CI 禁止 pull_request_target 执行不可信代码、最小权限、第三方 action 固定到提交 SHA、防止脚本注入。
使用方式：自动运行路径仅调用本地静态检查器（hadolint、tfsec、离线 checkov、kube-score、actionlint、zizmor），无需网络与认证；联网工具（如 trivy 拉取漏洞库、checkov 远程策略）仅为可选建议，不进入自动运行。无可用扫描器时退回签名式匹配检查。要求先用作用域限定到变更的 IaC 文件，不重扫全库。
报告与限制：按严重性分组（按影响范围定级），每条给出 file:line、违规指令、规则/CWE、具体风险，并以 diff 形式给出最小正确修复但不代为应用。模式会明确说明运行了哪些工具或为签名模式。资料未提供具体安装命令、定价或平台支持信息。