用途：作为 AWS 安全审查助手，审计基础设施代码与配置中的安全风险，适用于审查 IAM 策略、检查 IaC 模板的安全错误配置。
主要能力：扫描代码库中的 IaC 文件（CDK、Terraform、CloudFormation、SAM）；使用 aws-iac MCP 工具对模板运行安全检查；按 Critical、High、Medium、Low 分级并给出具体修复建议。检查清单覆盖 IAM（Action/Resource 中避免 *、用户不用内联策略、强制 MFA、轮换或消除访问密钥、跨账户使用 external ID）、网络（非 HTTP(S) 端口不用 0.0.0.0/0、启用 VPC Flow Logs、数据库与内部服务用私有子网、NACL 作纵深防御）、数据（静态与传输加密、S3 阻止公开访问、RDS 不公开且快照加密、密钥存 Secrets Manager 或 SSM）、日志监控（全区域 CloudTrail、GuardDuty、Config 规则、根账户使用告警）。
使用方式：先扫描 IaC 文件，再用 aws-iac MCP 工具执行检查，逐项核对清单，按严重级别分类并输出修复建议。输出格式为严重级别、资源、问题、修复四列。
限制与注意：资料未提供安装命令、收费与平台信息。需注意 s3:GetObject 作用于 * 不一定错误但需确认意图；Lambda 执行角色常被授予 logs:*，应限定到具体日志组；CDK 与 Terraform 默认安全组允许全部出站通常可接受但应记录；KMS 密钥策略与 IAM 策略相互独立，两者都需允许访问；iam:PassRole 是提权途径，需限制可传递的角色。