Cyntrisec CLI 是一个历史性的 AWS 能力图分析与攻击路径发现命令行工具。它并非 Cyntrisec 当前的产品、支持面或商业产品，而是公司聚焦于 EphemeralML 和 AIR v1 之前创建的项目；PyPI 包名 cyntrisec、CLI 命令 cyntrisec 以及 MCP 服务器 ID io.github.cyntrisec/cyntrisec 仅为避免破坏历史安装而保留。该工具按“原样”提供，不附带任何形式的担保。
主要能力方面，该只读 CLI 工具历史上可执行：通过 AssumeRole 扫描 AWS 基础设施；构建能力图（涵盖 IAM、网络与依赖关系）；发现从互联网到敏感目标的攻击路径；按 ROI（安全影响与成本节省）对修复进行优先级排序；识别未使用的能力以缩小爆炸半径；输出带证明链的确定性 JSON。
使用方式上，需要先安装并配置 AWS CLI（如 aws configure）或设置环境变量，setup 步骤需要 terraform。它支持代理接口与 MCP 服务器模式，可兼容现有本地设置：macOS 配置文件位于 ~/Library/Application Support/Claude/claude_desktop_config.json，Windows 位于 %APPDATA%\Claude\claude_desktop_config.json；Claude Code（CLI）可通过命令配置服务器；Google Gemini / Antigravity 可在代理配置（如 ~/.gemini/antigravity/mcp_config.json）中添加。CLI 主输出为 JSON 到 stdout，当 stdout 不是 TTY 时自动切换为 JSON；面向代理的输出会将结果包装在结构化信封中。扫描结果存储在 ~/.cyntrisec/scans/ 本地。若 Windows 出现“cyntrisec is not recognized”，说明 Scripts 文件夹未加入 PATH。
安全与隐私方面，该工具对 AWS 账户进行只读 API 调用，IAM 角色应仅具备 Describe*、Get*、List* 权限；所有数据留在本地，不发送到外部服务器，无数据外泄。默认安全模式为只读，不修改 AWS 基础设施，可生成修复工件（如 Terraform 模块）供审查，但不自动应用变更。它包含一条显式门控的可选修复执行路径，仅在用户有意启用时才能本地执行 Terraform：默认禁用，需 --enable-unsafe-write-mode，并额外需要显式标志（如 --execute-terraform）才能运行 Terraform，适用于受控环境（沙盒 / 带审批的 CI），而非无人值守的生产环境；若未传递这些标志，工具绝不会运行 terraform apply。扫描与分析期间不进行 AWS 写 API 调用，唯一支持的“写”行为是本地可选执行 Terraform，且仅在通过不安全标志显式启用时。每次 AWS API 调用都会以会话名 cyntrisec-cli 记录在 CloudTrail 中。建议用 cyntrisec setup iam <ACCOUNT_ID> 生成只读策略；实时模式（waste --live、can --live）需要额外 IAM 权限，生成的策略与文档涵盖这些附加项。
适用场景为历史性的 AWS 安全分析、攻击路径发现与修复规划。限制方面，该工具已非活跃产品，不再受支持；用户需对基于其发现的任何操作承担全部责任；应用前应始终审查生成的修复计划和 Terraform 代码。该项目遵循语义化版本，发布说明见 CHANGELOG.md。关于具体收费、价格与平台支持，资料中暂未提供。