
关于
自主 DevSecOps 和 FinOps 护栏。编排 Gemini 3 Flash 审计 Linux 内核补丁、Terraform 配置和云成本,自动化安全合规检查。
name: aegisops-ai description: "自主 DevSecOps 和 FinOps 护栏。编排 Gemini 3 Flash 审计 Linux 内核补丁、Terraform 成本漂移和 K8s 合规性。" risk: safe source: community author: Champbreed date_added: "2026-03-24"
/aegisops-ai — 自主治理编排器
AegisOps-AI 是一个专业级的"活管道",将高级 AI 推理直接集成到软件开发生命周期(SDLC)中。它充当系统级安全、云基础设施成本和 Kubernetes 合规性的智能守门人。
目标
通过以下方式自动化高风险安全和财务审计:
- 识别 Linux 内核补丁中基于逻辑的漏洞(UAF、过期状态)。
- 检测 Terraform 计划中的大规模"静默灾难"成本漂移。
- 将自然语言安全意图转化为加固的 K8s 清单。
适用场景
- 内核补丁审查: 审计基于 C 语言的原始 Git diff 以检查内存安全问题。
- 预应用 IaC 审计: 分析
terraform plan输出以防止账单飙升。 - 集群加固: 为部署生成"最小权限" securityContext。
- CI/CD 质量门控: 通过 GitHub Actions 阻止不合规的合并。
不适用场景
- Web 应用逻辑: 不要用于标准 Web 漏洞(XSS、SQLi);请使用专用 SAST 扫描器。
- 非 C 语言内存分析: 补丁分析器针对 C 逻辑优化;避免用于 Python 或 JS 等高级语言。
- 直接资源变更: 这是一个审计工具,不是部署工具。它不会执行
terraform apply或kubectl apply。 - 事后分析: 如需分析之前 AI 会话失败的原因,请使用
/analyze-project。
生成式 AI 集成
AegisOps-AI 利用 Google GenAI SDK 实现自主安全和财务审计的"推理路径":
- 神经补丁分析: 对 Linux 内核补丁执行语义代码审查,超越简单的模式匹配,理解复杂的内存状态逻辑。
- 智能成本综合: 通过财务推理模型处理原始 Terraform 计划差异,检测高风险资源升级和"静默"财务漂移。
- 自然语言策略映射: 将人类安全意图转化为语法正确、加固的 Kubernetes
securityContext配置。
核心模块
1. 内核补丁审查器 (patch_analyzer.py)
- 问题: 手动审查 Linux 内核内存安全耗时且容易出现人为错误。
- 解决方案: Gemini 3 对原始 Git diff 执行"深度推理"审计,在数秒内检测关键内存损坏漏洞(UAF、过期状态)。
- 关键输出:
analysis_results.json
2. FinOps 云成本审计器 (cost_auditor.py)
- 问题: 基础设施即代码(IaC)变更可能导致意外的"静默灾难"和大规模云账单飙升。
- 解决方案: 分析
terraform plan输出以识别成本异常——例如从t3.micro意外升级到高性能 GPU 实例。 - 关键输出:
infrastructure_audit_report.json
3. K8s 策略加固器 (k8s_policy_generator.py)
- 问题: 在 Kubernetes 中实施"最小权限"安全上下文复杂且经常被忽视。
- 解决方案: 将自然语言安全需求转化为生产就绪的加固 YAML 清单(只读根文件系统、非 root 强制执行等)。
- 关键输出:
hardened_deployment.yaml
安装与环境配置
1. 克隆仓库
git clone https://github.com/Champbreed/AegisOps-AI.git
cd AegisOps-AI
2. 环境设置
python3 -m venv venv
source venv/bin/activate
pip install google-genai python-dotenv
3. API 配置
在根目录创建 .env 文件以安全存储凭证:
echo "GEMINI_API_KEY='your_api_key_here'" > .env
运行操作面板
执行完整的代理套件并生成所有安全报告:
python3 main.py
模式:过度授权容器
- 指标:
allowPrivilegeEscalation: true或以 root 用户执行。 - 排查: 将安全意图(如"仅非 root")传递给 K8s 加固器模块。
最佳实践
- 上下文为王: 在 Git diff 周围提供至少 5 行上下文,以获得更准确的神经推理。
- 持续门控: 在每次基础设施变更之前运行 FinOps 审计器,而非之后。
- 人工签核: 将 AI 发现作为高保真信号,但对内核级合并保持人工审核环节。
安全注意事项
- 密钥管理: 在生产环境中使用 CI/CD 密钥管理
GEMINI_API_KEY。 - 最小权限: 先在预发布环境测试"加固"清单,确保无功能回退。
链接
-
- 代码仓库: https://github.com/Champbreed/AegisOps-AI
-
- 文档: https://github.com/Champbreed/AegisOps-AI#readme
兼容工具
Claude CodeCursor
标签
运维部署

