用途：为 AI 编程代理提供带安全护栏的 CLI 封装，替代直接调用 gh、kubectl、psql、az 等原始命令，并附带审计与项目级配置。
主要能力：gh-tool 处理 PR、issue、workflow、检查与评审；observability-tool 封装 LGTM（Tempo 链路、Loki 日志、Prometheus 指标）；db-tool 执行 SQL 与查看表结构；k8s-tool 按配置解析上下文执行 kubectl；az-tool 与 azdo-tool 只读访问 Azure 平台与 Azure DevOps；logs-tool 读取本地及 k8s Pod 日志；session-tool 浏览 OpenCode 会话；api-tool 通过运营方签发的 capability 调用 REST，api-proxy 隔离保存上游凭据。
使用方式：需将 @blogic-cz/agent-tools 作为开发依赖，通过 bun <tool-name> 运行，例如 bun gh-tool pr status、bun k8s-tool pods --env test、bun db-tool sql --env local --sql "SELECT 1"。配置从当前目录向上查找 agent-tools.json5 或 agent-tools.json，可设 defaultEnvironment 省略 --env。各工具认证独立：gh-tool 用 gh auth login 或 GITHUB_TOKEN，k8s-tool 用现有 kubeconfig，az-tool/azdo-tool 用 az login，db-tool 用配置中 passwordEnvVar 指定的环境变量。
限制：凭据守卫会拦截敏感文件读取、含密钥的写入、危险 shell 模式及直接 CLI 调用；az-tool 只读且订阅由配置固定，拒绝 --subscription，禁止变更类与凭据读取命令；禁止用 sleep 轮询，应使用 workflow watch。具体配置细节与完整 API 请参阅官方 README。