用途：审计云基础设施配置，发现错误配置、过度权限、公开暴露和合规缺口，覆盖 AWS、GCP、Azure。
主要能力：先界定审计范围（云厂商与账号、区域、是否有 aws/gcloud/az CLI 或审查 Terraform、CloudFormation、Pulumi 等 IaC 文件），再按类别检查。身份与访问管理：AWS 用 aws iam get-account-summary、aws iam list-users、aws iam generate-credential-report && aws iam get-credential-report --output text --query Content | base64 -d，检查 root 未启用 MFA、密钥超 90 天、未使用凭证、通配权限、过度授权角色；GCP 用 gcloud projects get-iam-policy $PROJECT_ID、gcloud iam service-accounts list，检查原始角色、未用服务账号、服务账号密钥；Azure 用 az role assignment list --all、az ad user list，检查过多 Owner/Contributor 与高权限来宾。网络：检查 0.0.0.0/0 入站、公网 SSH/RDP、VPC 流日志关闭、数据库在公有子网、缺少分层隔离。存储：AWS 用 aws s3api list-buckets、get-public-access-block、get-bucket-policy、get-bucket-encryption，检查公开桶、未加密、无版本与生命周期；GCP/Azure 做对应检查。计算：IMDSv2、未加密卷、不必要公网 IP、过期镜像、特权容器。日志监控：CloudTrail/审计日志、日志加密与保留、GuardDuty/Security Command Center/Defender、告警、流日志与 DNS 日志。密钥管理：硬编码密钥、Secrets Manager/Key Vault、KMS 轮换。
使用方式：按上述 CLI 或 IaC 审查执行，输出格式为审计报告，含账号、厂商、区域、日期、汇总（总数与严重级别）、逐条发现（严重级别、类别、标题、资源、区域、问题、风险、证据、修复）及优先级行动计划。
限制：仅审计用户有权访问的账号或项目，不访问其他账号或租户；每条发现须给修复建议；注明修复可能影响可用性；标记发现的活跃入侵迹象；拒绝利用他人基础设施漏洞的请求。参考 CIS 基准、AWS Well-Architected 安全支柱、ScoutSuite。