用途：对 AWS、GCP、Azure 环境进行只读式 CSPM 风格安全评估，覆盖多云或单云审计、IAM 提权路径发现、存储（S3/GCS/Azure Blob）暴露审查、网络态势与元数据服务检查、密钥库审计、CIS/SOC2/PCI-DSS 基准评估、跨云身份联邦与信任图审查。
主要能力：按云、按域、按范围组织知识，仅加载当前任务所需内容。支持单云全量评估（AWS/GCP/Azure）与跨云对比；域方法涵盖 IAM 提权、存储错误配置、网络安全、密钥管理。提供 AWS/GCP/Azure 命令参考、工具对比与 Steampipe SQL 查询。
使用方式：需持有真实云账号凭据。先做 Phase 0 上下文/身份/范围收集，再按决策树选择工作流；多云可并行子代理，IAM 枚举须先于提权图分析，各云结果最后汇总。发现结果遵循 schemas/finding.json，含 cloud_provider、account_id、region、service、resource_arn、cis_benchmark_id、compliance、privilege_escalation_path、detection 等字段。
工具与安装：ScoutSuite（pip install scoutsuite）、Prowler（pip install prowler）、CloudSploit（npm install -g cloudsploit）、Steampipe（brew install turbot/tap/steampipe）、Pacu（pip install pacu）、PMapper（pip install principalmapper）、ROADtools（pip install roadrecon）、enumerate-iam（pip install enumerate-iam）、s3scanner（pip install s3scanner）。
适用场景：云安全审计、错误配置扫描、IAM 策略测试、S3 桶问题排查、云渗透测试、CIS 基准审计、云提权分析、多云评估。
限制：不适用于部署前 IaC 文件扫描（用 iac-security）、容器镜像 CVE 或运行负载扫描（用 container-security）、云上应用测试（用 api-security 或 dast-automation）、云部署应用源码 SAST（用 sast-orchestration）、云托管模型的 LLM 攻击（用 llm-security）。仅持有源码工件时应改用上述兄弟技能。最后验证时间 2026-04，依赖 AWS CLI v2.15+、gcloud 465+、Azure CLI 2.60+、Prowler v4.0+、ScoutSuite 5.14+、Steampipe 0.22+、Pacu 1.5+，CIS 基准为 AWS v3.0、Azure v2.1、GCP v3.0。