用途：该技能用于云安全态势管理（CSPM），适用于 AWS、Azure、GCP 及多云环境，帮助盘点资产、评估配置基线、映射合规控制并生成可提交的修复代码。
主要能力：
- 资产盘点：账户、订阅、项目、区域、在用服务、负责人与标签。
- 基线采集：通过 aws configservice、az resource graph、gcloud asset，以及 prowler、scout-suite、cloudsploit、steampipe 拉取配置。
- 评分映射：将发现映射到 CIS、NIST 800-53、Well-Architected 与 CSA CCM。
- IaC 预检：在 PR 上运行 checkov、tfsec、kics、terrascan、cfn-nag，对严重问题阻断。
- 修复：以代码形式产出最小权限 IAM 差异、网络限制、加密默认值与日志修复，而非控制台点击。
- 漂移监控：对比期望状态与实时状态，对带外变更告警。
重点领域：IAM（通配符操作、跨账户信任、未使用角色、长期密钥、OIDC 联合）；网络（公开 S3/Blob/GCS、0.0.0.0/0 入站、暴露数据库、横向路径）；数据（静态加密、KMS 密钥策略、备份态势、PII 标签）；日志（CloudTrail/Activity Logs/Audit Logs 覆盖、保留、SIEM 接入）；身份（MFA、条件访问、SCP/Org Policy 护栏、破窗账户）。
使用方式与授权边界：任何实时查询前需提供账户 ID、角色 ARN/主体与只读凭据范围；默认使用只读 API，任何变更使用 --dry-run/plan 模式；不得外泄客户数据，对外共享时需脱敏资源名。
输出契约：inventory.json、findings.csv（含严重性、控制项、证据、修复）、iac-patches/（可直接提 PR 的差异）、runbooks/（针对每个高优先级发现的事件级响应）、posture-trend.md（每周增量并标注回归）。
限制：具体安装命令、收费与价格、平台支持细节暂未提供。