Cynative 是一个开源 AI 智能体框架，专为云安全设计，覆盖 AWS、Azure、GCP 和 Kubernetes。其核心定位是让用户用自然语言向基础设施提问，框架通过前沿模型对代码、云和运行时进行推理，并以 GitHub、GitLab、AWS、GCP、Azure、Kubernetes 作为一个整体系统来返回经过验证的答案。官方介绍其用途包括 AI 驱动的云检测与响应，以及云安全态势管理（CSPM）发现项的分诊。
主要能力方面，Cynative 内置 45 个面向 AWS、GCP、Azure、GitHub 和 Kubernetes 的智能体，涵盖权限提升、公开暴露、供应链、检测覆盖等主题；用户也可以用一个 markdown 文件编写自己的智能体。一个问题会扇出到整个技术栈：Cynative 在临时沙箱中编写并运行代码，并行查询各 API，每个发现项都会被交叉核验并追溯回其来源。框架强调“构造上只读”——每次调用在挂载凭据之前都要经过闸门与授权，因此可以放心指向生产环境。它支持代码到运行时推理、沙箱执行（生成的代码自身无网络或宿主访问）、动作闸门（把每次调用解析为所需 IAM 动作，并在挂载凭据前应用只读策略）、证据支撑（交叉核验每个发现项）以及自主可控（单个二进制、模型与数据留在用户环境）。
安装与使用方式：官方推荐 Homebrew（macOS/Linux），安装命令为 brew install cynative。也提供安装脚本：curl -fsSL https://raw.githubusercontent.com/cynative/cynative/main/install.sh | sh，该脚本会用发布版 checksums.txt 校验下载文件的 SHA-256，校验失败即中止。Windows 使用 Scoop。更新与卸载按官方文档执行。使用前需设置 LLM，Cynative 通过内嵌的 Bifrost SDK 与模型通信，支持 OpenAI、Anthropic、Azure OpenAI、Amazon Bedrock、Google Vertex/Gemini、Cohere、Mistral、Groq、Ollama、vLLM 等多家提供商。运行内置智能体或直接提问均可在命令行完成；--agent 可与 -p、--auto-approve、--config 及管道 stdin 组合，便于开发时交互运行、稳定后非交互运行。
会话与审批：cynative 打开交互式会话；cynative "task" 执行任务后保持交互；-p/--print 非交互执行单个任务并退出，供脚本与管道使用，退出码携带判定结果（0 表示产出报告，2 表示运行完成但没有答案，130 表示中断，143 表示 SIGTERM，1 表示其他失败）。每次工具调用等待按键审批：y 允许一次，a 清除该工具本会话后续调用，其他键拒绝；没有控制终端时使用 --auto-approve。任务运行中按 Esc 或 Ctrl-C 可优雅停止。
安全与限制：Cynative 使用 shell 中已有的凭据，不维护单独的凭据存储，因此应提供最小权限凭据；动作闸门不是最小权限的替代品。它通过三层强制只读：网络层（请求主机绑定到映射的服务与区域，直连路由时校验解析 IP）、动作闸门（将操作解析为所需 IAM 动作，由只读策略授权，默认策略如 AWS 的 SecurityAudit、GCP 的 roles/viewer、Azure 的 Reader，对写入分类失败即关闭；Kubernetes 使用集群实时视图 RBAC 角色按请求执行）、凭据层（AWS 假定角色身份通过 STS AssumeRole 重新发放，限定在托管策略内）。GitHub 与 GitLab 默认只读，可通过 connectors.{github,gitlab}.permissions 在特定类别允许写入；只读模式下 GitHub 密钥扫描端点仍被阻止，GitLab GraphQL API 被拒绝。
代码执行与审计：对于批量工作，Cynative 可在沙箱中用 JavaScript 编写并运行代码，把智能体工具（如 http_request）暴露为异步函数，支持 mapConcurrent 并发与 Promise.all；只有脚本 console.log 的内容返回给模型。脚本受超时（默认 120 秒）和输出大小限制，且没有自身网络或宿主访问。每次工具调用记录到持久 JSONL 审计日志（~/.cynative/audit.log，默认开启），日志失败即关闭；智能体运行的条目还记录智能体名称、来源与文件摘要。工具结果写入前会被脱敏，但审批提示参数按原样存储，日志可能含敏感值，仅运行者可读，轮转与保留可配置。
其他：Cynative 连接 AWS、GCP、Azure、EKS/GKE/AKS、自管理 Kubernetes、GitHub 和 GitLab，支持标准 HTTPS_PROXY/HTTP_PROXY/NO_PROXY 企业代理。提供 cynative doctor 验证配置与连接器就绪情况，cynative agents list/show 查看智能体。项目采用 Apache-2.0 许可。官方文档、讨论区与贡献指南均指向仓库内相应文件。