用途：评估来自 HyperShift CI 的一组 AWS 基础设施（VPC 及关联资源）能否安全删除。原则上每项结论都必须有实际 AWS 查询支撑，不可假设。
输入：cleanleaked 工具输出、VPC ID（如 vpc-0abc123...）或 infraID（如 00ab3695c5f73d4354b9、node-pool-78vcg）。仅给一项时可由另一项推导，命令均指定 --region us-east-1。
主要检查（按顺序，结果分 PASS/FAIL/UNKNOWN）：保护标签（do-not-delete、ci-cluster）、受保护 VPC 名称（hypershift-ci-2-vpc 等）、受保护用户名、expirationDate 与资源年龄、infraID 是否符合已知 CI 命名模式、OIDC S3 对象是否存在、EC2 实例、red-hat-managed 实例、VPC 子资源清点、Route53 托管区、OIDC IAM provider、以 infraID 为前缀的 IAM 角色。
判决规则：任一项 FAIL 则 DO NOT DELETE；全部 PASS 且 CI 模式匹配则 SAFE TO DELETE；全部 PASS 但 CI 模式 UNKNOWN 则 UNCERTAIN；CI 模式 PASS 且年龄/过期 PASS 时，其余 UNKNOWN 不阻断；CI 模式 UNKNOWN 且存在任一 UNKNOWN 则为 UNCERTAIN，需人工决策。输出为带检查项表格的分诊报告。限制：所有判定依赖 AWS 查询，需相应查询权限；expirationDate 标签仅在约两周内创建的资源上存在；未提供具体命令以外的自动化行为。