cloud-audit — MCP-сервер для Claude Code: что делает и как установить
Сканер AWS для вашего агента: 110 проверок, пути эскалации в IAM и разбор того, что достанет захваченный агент Bedrock. Аккаунт не меняет.
claude mcp add cloud-audit -- uvx cloud-auditЧто делает cloud-audit
Сервер отдаёт агенту сканер безопасности AWS: 110 проверок, 64 способа подняться по привилегиям в IAM, 31 правило для поиска цепочек атак. К аккаунту он обращается только на чтение. Подключается через uvx cloud-audit в Claude Code, Codex, Cursor, GitHub Copilot, Windsurf, Cline и Zed.
Режим agent-blast разбирает агентов на Bedrock Agents и AgentCore: какие роли стоят за инструментами, базами знаний и шлюзами, и что получит атакующий в двух случаях. Либо он забрал учётные данные роли, либо у него есть только промпт, внедрённый через документ или тикет. Пути эскалации подтверждает симулятор политик IAM. По каждой находке выдаётся исправление: команда AWS CLI и код Terraform.
Проверить всё можно без аккаунта: cloud-audit demo --save demo.json собирает отчёт по вымышленному аккаунту теми же движками. Для реального сканирования нужны учётные данные AWS, а управляемая политика SecurityAudit покрывает все проверки. Симулятор учитывает identity-политики, permissions boundary и SCP, а resource-based политики самих целей, RCP и политики VPC-эндпоинтов остаются за его рамками — на этих границах вывод выйдет оптимистичнее того, что есть на деле.
Какие задачи решает
- найти в аккаунте AWS цепочки атак, которые заканчиваются захватом аккаунта
- проверить, куда доберётся агент на Bedrock Agents после инъекции промпта в документ
- посчитать blast radius одной роли по сохранённому отчёту
- получить команду AWS CLI и код Terraform для закрытия находки
- прогнать аудит на вымышленном аккаунте, не трогая рабочие ключи
Примеры запросов агенту
- Просканируй аккаунт AWS на эскалацию привилегий и покажи цепочки атак
- Что достанет захваченный агент
support-bot? Запустиagent-blastс подтверждением через симулятор - Посчитай blast radius для
arn:aws:iam::123456789012:role/support-bot-ticket-roleпо отчётуdemo.json
Как установить cloud-audit
Командой платформы
claude mcp add cloud-audit -- uvx cloud-audituvx запускает команду с именем пакета; если в README она другая — uvx --from cloud-audit <команда>
Командой платформы
codex mcp add cloud-audit -- uvx cloud-audituvx запускает команду с именем пакета; если в README она другая — uvx --from cloud-audit <команда>
Файл настроек
{
"mcpServers": {
"cloud-audit": {
"command": "uvx",
"args": [
"cloud-audit"
]
}
}
}uvx запускает команду с именем пакета; если в README она другая — uvx --from cloud-audit <команда>
Файл настроек
{
"servers": {
"cloud-audit": {
"type": "stdio",
"command": "uvx",
"args": [
"cloud-audit"
]
}
}
}uvx запускает команду с именем пакета; если в README она другая — uvx --from cloud-audit <команда>
Командой платформы
gemini mcp add cloud-audit uvx cloud-audituvx запускает команду с именем пакета; если в README она другая — uvx --from cloud-audit <команда>
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о cloud-audit
Как установить cloud-audit в Claude Code?
Одной командой: claude mcp add cloud-audit -- uvx cloud-audit. Она регистрирует сервер под именем cloud-audit и запускает его через uvx.
Что делает cloud-audit?
Сканирует аккаунт AWS на чтение: ищет слабые места в IAM, цепочки атак и разбирает, что доступно захваченному ИИ-агенту. К каждой находке прикладывает исправление для AWS CLI и Terraform.
Меняет ли он что-нибудь в аккаунте?
Нет, все запросы идут только на чтение. Найденные исправления сервер отдаёт текстом, применять их вы будете сами.
