用途：把 AWS 中 Security Agent 的渗透测试与代码审查发现，整理成可执行的修复计划并推动修复，同时避免敏感利用细节进入源码管理。
主要能力与流程：
- 发现扫描：用只读的 list-* 命令梳理层级（Application → Agent Space → 渗透测试/代码审查 → Job → Findings），如 aws securityagent list-agent-spaces、list-pentests、list-code-reviews 等。Job 状态为 IN_PROGRESS、STOPPING、STOPPED、FAILED、COMPLETED，仅 COMPLETED 有完整稳定发现。需根据仓库名、Git remote、清单文件、README 等推测对应扫描，并向用户确认后才导出。
- 导出发现：先 mkdir -p .security-agent 并 echo '*' > .security-agent/.gitignore，再取最新 COMPLETED job，用 list-findings 分页并按置信度过滤（默认保留 HIGH、MEDIUM），用 batch-get-findings 每批最多 25 个取详情，按 job 写入 findings_<jobId>.md，保留全部字段。
- 分诊：按风险等级、riskScore、置信度排序，生成优先级清单与严重度计数摘要；代码位置取 filePath 或 codeLocations[0] 并转为仓库相对路径。
- 修复：经用户同意后按优先级逐个修复，每次报告一行变更。
适用场景：处理 AWS Security Agent 报告的已验证安全风险，面向应用代码与端点的修复工作。
限制与注意：发现含可运行攻击脚本、复现步骤，有时含泄露密钥，只写入 .security-agent/ 且该路径必须先 gitignore；不要把详情粘贴到对话中。凭证或服务不可用时用 aws sts get-caller-identity 确认并检查 Region（默认 us-east-1，该服务按区域划分）。无 agent space、扫描或 COMPLETED job 时应停下告知用户。重复运行会覆盖同 job 文件。默认筛选范围与排序规则以外的事实暂未提供。