用途：通过本地 AWS CLI 回答关于 AWS 资源的问题，适用于查询、审计和监控 EC2、S3、IAM、Lambda 等服务。默认采用只读查询，只有在用户明确确认后才提出或执行写入/破坏性操作。
主要能力：清单/列举（list/describe/get 命令）；健康与错误排查（CloudWatch 指标与日志查询）；安全检查（IAM、S3 公开访问、安全组暴露、KMS 密钥使用）；成本查询（Cost Explorer/账单，只读）；变更操作（展示确切 CLI 命令并要求确认）。
使用方式：先从环境或 ~/.aws/config 确定 profile/region；以身份查询开始：aws sts get-caller-identity；再用只读服务命令回答问题；若用户要求变更，先列出确切命令并请求确认后再运行。用户指定 region/profile 时遵循；否则依次使用 AWS_PROFILE / AWS_REGION，再回退到 ~/.aws/config。结果受区域限制时需说明所用区域。
安全规则：除非用户明确请求并确认，否则一切操作视为只读；对任何潜在破坏性变更（删除/终止/销毁/修改/扩缩容/计费/IAM 凭证）必须要求确认步骤；可用时优先使用 --dry-run 并在执行前展示计划；绝不泄露或记录密钥（访问密钥、会话令牌）。
限制：资料未提供具体支持的服务清单、权限要求、安装步骤或价格信息，暂未提供。