threat-modeling-with-aws-security-agent

fix(aws-agents-for-devsecops): 缺少 S3 存储桶所有权验证 (#305) * 来自 fork 的合并提交 Security Agent 技能根据非机密的调用方账户 ID 推导出一个确定性的扫描存储桶名称 (security-agent-scans--)。由于 S3 的命名空间是全局的，第三方可以 预先注册这个可预测的名称；这些技能仅通过存在性来验证存储桶，因此源归档文件（包含 .env、*.pem、 terraform.tfstate）可能被上传到攻击者拥有的存储桶中。 - setup-security-agent: head-bucket 现在会断言 --expected-bucket-owner， 并且对属于他人的存储桶返回 403 是致命错误；create-bucket 将 BucketAlreadyExists 视为致命错误（区别于 BucketAlreadyOwnedByYou）， 并在创建后、任何使用之前重新断言所有权。 - scanning / diff-scanning / threat-modeling: 每次 'aws s3 cp' 上传 现在都会传入 --expected-bucket-owner ，因此如果存储桶不属于调用方， 写入会失败关闭。 - 添加了所有权规则和故障排除说明。 为 Claude 插件技能镜像了 awslabs/mcp#4490（MCP 服务器路径）。 * 提升插件版本 --------- Co-authored-by: Arne Wouters Co-authored-by: Arne Wouters

feat(plugins): 添加 aws-agents-for-devsecops 插件 (#96) * feat(plugins): 添加 aws-agents-for-devsecops 插件 将 AWS DevOps Agent 和 AWS Security Agent 的能力合并为一个 统一插件，用于 Claude Code、Codex 和 Cursor 市场。 DevOps Agent 技能： - 通过日志流式传输和缓解进行事件调查 - 用于成本、架构和拓扑查询的对话式聊天 - 发布就绪审查（合并前静态 + 自动化分析） - 发布测试（UI 和 API 自动化 UAT） - 跨 AgentSpaces 的多空间路由（SigV4） Security Agent 技能： - 通过 S3 上传进行完整代码漏洞扫描 - 针对 PR 和本地更改的仅差异扫描 - 针对实时端点的渗透测试 - 对架构设计进行威胁建模 - 使用分诊工具进行自动化发现修复 基础设施： - 具有 Bearer token 和 SigV4 认证路径的远程 MCP 服务器 - 两个 agent 的设置技能（交互式凭据配置） - 附带空的 .mcp.json；设置技能动态写入配置 - 已在全部三个市场清单中注册（Claude、Codex、Cursor） 还向根 README 和市场索引添加了插件条目。 安装和设置： ``` /plugin marketplace add /plugin install aws-agents-for-devsecops /reload-plugins /aws-agents-for-devsecops:setup ``` * 更新 plugins/aws-agents-for-devsecops/.claude-plugin/plugin.json Co-authored-by: Arne Wouters * 更新 plugins/aws-agents-for-devsecops/README.md Co-authored-by: Arne Wouters * 更新 README.md Co-authored-by: Arne Wouters --------- Co-authored-by: Arne Wouters