Agente de IA Open Source que Audita sua Conta AWS

cloud-audit-agent é um CLI de código aberto que usa Claude para raciocinar sobre seus dados ao vivo da AWS e produzir uma auditoria de segurança e custo priorizada — sem bibliotecas de regras para manter, sem agentes para gerenciar.

O Problema

As contas da AWS se desviam. As chaves de acesso não são rotacionadas. Os grupos de segurança acumulam portas abertas. Os buckets do S3 são mal configurados. As contas aumentam inesperadamente. Nada disso é surpreendente — é a entropia normal de uma conta da AWS ao vivo.

As ferramentas que existem para detectar isso têm limitações reais:

• Scanners baseados em regras (GuardDuty, Security Hub, Prowler) capturam padrões conhecidos, mas perdem o contexto entre serviços. Eles não conseguem te dizer que o bucket do S3 mal configurado é o mesmo que está gerando uma conta de armazenamento de $500/mês.
• Ferramentas de custo e ferramentas de segurança são separadas. Você precisa de um painel diferente, um fluxo de trabalho diferente e um engenheiro diferente para correlacioná-los.
• Manter bibliotecas de regras é caro. Cada novo serviço da AWS, cada novo padrão de ataque, cada novo requisito de conformidade significa adicionar regras. As regras também se desviam.

A Perspectiva

Em vez de codificar regras, forneça respostas brutas da API da AWS a um LLM e deixe-o raciocinar.

Um engenheiro sênior auditando uma conta da AWS executaria aws iam list-users, aws s3api get-bucket-policy e aws ce get-cost-and-usage — então leria os resultados juntos e tiraria conclusões. O cloud-audit-agent faz exatamente isso. Ele chama APIs da AWS somente leitura em cinco domínios, entrega todos os dados brutos ao Claude e recebe de volta um relatório de descobertas priorizadas com etapas de remediação.

Sem motor de regras. Sem carga de manutenção. O raciocínio melhora à medida que o Claude melhora.

O Que Ele Audita

Início Rápido

Não é necessário instalar:

npx @trellisclad/cloud-audit-agent --scope all

Padrões comuns:

# Auditoria com escopo — apenas IAM e S3, executa em ~2 minutos
npx @trellisclad/cloud-audit-agent --scope iam s3 --region eu-west-1

# Saída legível por máquina para pipelines CI
npx @trellisclad/cloud-audit-agent --scope cost --format json | jq '.findings[]'

# Relatório HTML autossuficiente
npx @trellisclad/cloud-audit-agent --scope all --format html > report.html

# Versão redigida segura para compartilhar publicamente
npx @trellisclad/cloud-audit-agent --scope all --redact --format html > report-sanitized.html

Requisitos: Node.js 18+, credenciais da AWS (política gerenciada ReadOnlyAccess ou equivalente), assinatura do Claude Max ou chave da API da Anthropic.

Principais Capacidades

Correlação de Custo + Segurança

A maioria das ferramentas trata custo e segurança como domínios separados. O cloud-audit-agent os correlaciona. Quando um bucket tem descobertas de segurança E um gasto significativo de armazenamento, o valor em dólares aparece diretamente na descrição da descoberta:

"O bucket S3 [BUCKET_A] tem acesso de leitura público habilitado via política de bucket e sem criptografia do lado do servidor. Custo estimado de armazenamento: ~$340/mês. Remediação imediata recomendada."

Isso muda a conversa de negócios. "Este bucket está mal configurado" é fácil de adiar. "Este bucket mal configurado custa $340/mês e é publicamente legível" não é.

Detecção de Anomalias Dupla

A ferramenta de anomalias de custo executa dois algoritmos de detecção independentes simultaneamente:

Comparação de tendência — Compara duas janelas de 30 dias consecutivas. Sinaliza serviços onde TANTO a mudança percentual (padrão: >50%) QUANTO a mudança absoluta (padrão: >$10) excedem os limites. O portão duplo previne ruídos de pequenos serviços com porcentagens que parecem voláteis.

Detecção de picos estatísticos — Busca 60 dias de dados diários de custo por serviço. Computa uma média base e um desvio padrão. Sinaliza qualquer dia nos últimos 30 dias que exceda média + 2σ. Ambos os algoritmos são configuráveis pelo usuário.

Executar ambos simultaneamente e combinar resultados captura diferentes modos de falha: um serviço que gradualmente aumentou 60% ao longo de um mês (detecção de tendência) vs. um serviço que teve um dia anômalo na última terça-feira (detecção de pico).

Modo Redigido

--redact substitui valores sensíveis em todo o relatório por tokens de espaço reservado estáveis: IDs de conta de 12 dígitos, ARNs, IDs de grupos de segurança (sg-xxx), IDs de VPC, IDs de sub-rede, IDs de chave de acesso e nomes reais de recursos. "babylon-mainnet-ledger-backups" se torna "web-assets-bucket" — consistentemente, em todos os lugares onde aparece.

Isso torna seguro compartilhar descobertas com fornecedores, postá-las no Slack ou incluí-las em tickets sem vazar detalhes reais da infraestrutura.

Quatro Formatos de Saída

API Programática

A função runAudit() é a principal exportação do pacote para embutir auditorias em pipelines CI, bots do Slack ou painéis personalizados:

import { runAudit } from "@trellisclad/cloud-audit-agent";

const result = await runAudit({ scope: "all" });