用途：编写和审查 Terraform/OpenTofu 配置、模块、Provider、状态与导入；设计后端、锁定、状态边界、OIDC、策略即代码与漂移检测；为受监管或 PCI 范围系统实现基础设施控制；审查生成的 HCL 的安全性、正确性、替换与状态影响。
主要能力：以已安装运行时和固定 Provider schema 为资源参数与行为的依据；检查现有 lock 文件与 Provider 文档后再改版本；提供实现模式、状态与安全、模块模式、合规、生产检查清单等参考；执行 fmt、validate、tflint、checkov、plan 与 conftest 策略门禁，并报告未运行的工具。
使用方式：先确定账户、后端、状态边界与密钥范围；读取相关参考（任何状态命令前先读 state-and-security）；按顺序运行 terraform fmt -check -recursive、terraform validate、tflint --recursive、checkov -d . --framework terraform、terraform plan -out=plan.tfplan，以及 terraform show -json plan.tfplan | conftest test -；OpenTofu 栈使用 tofu。
限制：不适用于 Kubernetes 清单/Helm、只读集群健康检查、VM 客户机配置、CI/CD 流水线架构、数据库引擎操作、应用安全审计、Proxmox 特定供应。AI 不拥有 terraform apply；不得在无明确授权与已审查精确范围时运行 apply、destroy、state 移除、force-unlock 或实时迁移。敏感值仅作显示遮蔽，不等于状态持久化保护。缺失事实暂未提供。