用途：在接触真实沙箱集群之前，为 CAST AI 的 Terraform、Helm、策略和工作负载配置建立离线优先的本地反馈循环，让配置校验快速完成，不把在线集群当作测试夹具。
主要能力：本地渲染、校验、差异比对与策略检查；为集群身份、策略和 API 失败准备脱敏夹具；对区域、组织、策略边界、自动化状态、HPA 归属和禁止的密钥做确定性测试；建模缺失身份、错误区域、权限拒绝、配置畸形、控制器冲突、指标不可用、PDB 拒绝和节点约束不满足等负向路径，并断言失败关闭行为。
使用方式：先用 Read 和 Grep 定位 provider 约束、chart 版本、values、注解、策略定义、生成文件和密钥引用，区分权威文件与派生文件。用 Bash(terraform:) 做格式化和校验而不 apply；用 Bash(helm:) 对固定版本 chart 做 lint 和渲染；用 Bash(kubectl:) 仅对渲染对象做客户端 schema 检查。需要验证安装行为时，用 Bash(castctl:) 对指定沙箱上下文执行文档化的 dry-run，先比对检测到的身份与拟议变更。沙箱实验只做一次有界操作，使用一次性工作负载或策略分配，不接触生产数据，不使用个人 API key 或绕过仓库源的控制台编辑。最后记录 commit、工具版本、渲染产物哈希、计划摘要、沙箱上下文、起止时间、清理和未测试行为，并将沙箱恢复到声明的基线。
适用场景：CAST AI 相关配置在进入沙箱前的本地开发与验证。
限制：需要仓库自有的 Terraform、Helm values、策略或工作负载清单，固定工具与 provider 版本，以及脱敏夹具；沙箱为可选且需独立 kube context 和预算负责人。工具版本浮动、渲染需要真实密钥、沙箱上下文不明确或测试依赖生产流量时，需按资料给出的方式处理。其余细节暂未提供。