用途：在获得 AWS 账户所有者书面授权、明确范围与交战规则的前提下，使用 Pacu 对 AWS 环境开展渗透测试，验证 IAM 策略、SCP 与权限边界的有效性，评估凭据泄露后的影响范围，并检验 GuardDuty、Security Hub 等检测能力。禁止未授权测试、DDoS 或未经批准的生产账户测试。
主要能力：Pacu 提供 50+ 模块，覆盖 IAM 用户/角色/策略/组枚举、权限枚举、凭据报告、角色信任策略枚举；iam__privesc_scan 可检测 21 种以上权限提升路径（如 iam:CreatePolicyVersion、iam:PassRole 配合 lambda:CreateFunction、sts:AssumeRole 等），并可用 --escalate 尝试利用；还可枚举与下载 S3、EC2 用户数据、Lambda、Secrets Manager、SSM 参数、EBS 快照，测试跨账户角色假设与横向移动。
使用方式：先安装 pip install pacu，启动 pacu 后用 set_keys 配置测试凭据并 whoami 验证身份，通过 list、search 查找模块，用 run 执行模块，用 data 查看会话数据。测试后可用 aws guardduty list-findings、aws securityhub get-findings 检查检测结果，并清理测试产物。
适用场景：红队演练、从泄露的开发凭据出发评估最大影响、验证检测与响应时效。
限制：需书面授权与回滚预案；Pacu 模块 API 调用密集、噪声大，可能触发 GuardDuty 告警，需与 SOC 协调；测试后必须清理持久化产物。具体收费、平台支持范围等资料暂未提供。