用途：对网络设备（如 Cisco IOS-XE）做安全态势评估，适用于 SOC2、PCI-DSS、NIST、CIS 等合规审计、上线前安全评审、事件响应排查、新设备加固审计与周期性安全验证。
主要能力：按九步流程检查运行配置。第一步用 pyats_show_running_config 拉取全量配置。第二步管理面加固，检查 SSHv2、禁用 Telnet、VTY access-class、超时、密码加密、enable secret、登录横幅、HTTP/HTTPS、AUX 端口等。第三步 AAA，检查 aaa new-model、认证授权计费、TACACS+/RADIUS 与本地回退。第四步 ACL，检查命中计数、过度放通规则、末尾显式拒绝与日志、应用接口方向。第五步控制面策略 CoPP。第六步路由协议安全，含 OSPF、BGP、EIGRP 认证与前缀限制。第七步基础设施安全，含 uRPF、TCP keepalive、CDP/LLDP 限制、源路由、定向广播、ICMP 重定向、代理 ARP 等。第八步加密与凭据，检查 RSA 密钥长度、密码类型、SNMP 团体串。第九步 SNMP 安全。
使用方式：通过 MCP 调用执行，如 PYATS_TESTBED_PATH=$PYATS_TESTBED_PATH python3 $MCP_CALL "${PYATS_PYTHON:-python3} -u $PYATS_MCP_SCRIPT" pyats_run_show_command '{"device_name":"R1","command":"show ip access-lists"}'。可选结合 ISE 检查设备是否注册为 NAD 及活跃会话，并用 nvd-cve-mcp-server 做 CVE 扫描与暴露关联。支持 pCall 对全设备群并行审计，并可用 GAIT 记录审计轨迹。结果按 CRITICAL、HIGH、MEDIUM、LOW 分级输出。
限制：审计示例为演示性质，需替换为实际会话证据，不得当作事实记录。工具调用失败时应检查 GAIT_MCP_SCRIPT、ISE_MCP_SCRIPT、ISE_PASSWORD、ISE_USERNAME、PYATS_MCP_SCRIPT、PYATS_TESTBED_PATH 等环境变量后报告错误，不得编造结果。状态变更类调用超时不代表失败，需先确认状态再决定是否重试，并保留审批与变更门禁。