Scrive ed esegue codice in una sandbox effimera, interrogando le tue API in parallelo, così una singola domanda si propaga attraverso l'intero stack. Ogni risultato viene incrociato e ricondotto alla sua origine.

A differenza degli agenti di codifica e dei server MCP, è **read-only by construction**: ogni chiamata è controllata e autorizzata *prima* che venga allegata una credenziale - puntalo alla produzione con fiducia.
<!-- END agent-about -->

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/9087/1b3db179a03479f5951d624c8adbb4890465aa86d038d3312dc9aec9801bcfb9.gif"
       alt="cynative che esegue un audit di escalation dei privilegi da CI al cloud"
       width="900">
</p>

## Cosa ottengono i tuoi agenti

- **Code-to-runtime**: Ragiona attraverso AWS, GCP, Azure, qualsiasi K8s, GitHub e GitLab
- **Sandbox**: Genera ed esegue codice per ricerche su larga scala, senza accesso di rete o host proprio
- **Action-gate**: Risolve ogni chiamata nelle azioni IAM richieste e applica una policy di sola lettura prima che venga allegata una credenziale
- **Evidence-backed**: Incrocia i dati per verificare ogni risultato
- **Sovereign**: Un singolo binario, il tuo modello, i tuoi dati restano tuoi

## Avvio rapido

Installa e configura un LLM:

<!-- BEGIN quickstart-example -->```bash
brew install cynative/tap/cynative

export CYNATIVE_LLM_PROVIDER=anthropic
export CYNATIVE_LLM_MODEL=claude-opus-5
export ANTHROPIC_API_KEY=...

## Il tuo primo agente

Un agente è un file markdown: una riga di descrizione, poi il prompt. Il nome del file è il nome. Per aggiungerne uno tuo, crea `~/.cynative/agents/` e scrivine uno al suo interno. Cynative non crea questa directory per te:```bash
mkdir -p ~/.cynative/agents

cat > ~/.cynative/agents/aws-public-data-stores.md <<'EOF'
---
description: Finds publicly accessible data stores in an AWS account.
---
Check S3, RDS snapshots, EBS snapshots and public AMIs for exposure.
Report each finding with the resource ARN and how it is reachable.
EOF

cynative -p --agent aws-public-data-stores

`--agent` si combina con `-p`, `--auto-approve`, `--config` e stdin tramite pipe, quindi lo stesso file viene eseguito in modo interattivo mentre lo sviluppi e in modo non interattivo una volta stabilizzato.

Gli agent vengono letti da `~/.cynative/agents/` e dal set integrato nel binario; un file utente ha la precedenza su uno integrato con lo stesso nome. `cynative agents list` mostra ogni agent con la sua origine e contrassegna le copie oscurate, mentre `cynative agents show <name>` stampa il file esatto che verrebbe eseguito.

## Un coding agent con MCP non può fare questo?

| | Coding agent + MCP | Cynative |
|---|---|---|
| Throughput | Un'azione per chiamata | Scrive codice in sandbox che distribuisce chiamate in concorrenza - meno token, risposte più veloci |
| Risultati | Output non verificato | Il verificatore incrocia ogni risultato con prove dal vivo |
| Sola lettura | Filtro di lettura opt-in | Attivo per impostazione predefinita, fail-closed - le azioni IAM richieste vengono controllate rispetto a una policy di security audit. `secretsmanager:GetSecretValue` è un'operazione IAM *Read*: un filtro la consente, `SecurityAudit` la blocca |
| Credenziali | Ambientali, invariate | Sessione STS limitata alla sola lettura - AWS applica il confine anche lato suo |
| Raggio d'impatto | La tua shell, qualsiasi rete | Il codice di ricerca viene eseguito in una sandbox senza accesso all'host, con rete limitata ai tuoi servizi mappati |
| Segreti | Inviati al modello così come sono | Oscurati dall'output degli strumenti prima di essere inviati al modello |
| Supply chain | MCP e skill di terze parti eseguiti con le tue credenziali | Un binario open-source, connettori integrati |
| Audit trail | Log di sessione sparsi, best effort | Log JSONL fail-closed di ogni chiamata agli strumenti - se non può registrare, si interrompe |

Un binario, il tuo endpoint del modello, il tuo account. Eseguilo su un'istanza nel cloud che audita, tramite l'inferenza gestita di quel cloud, e nulla lascia il tuo ambiente: sicurezza sulla tua infrastruttura, dall'interno della tua infrastruttura.

## Installazione

**Homebrew** (macOS / Linux - consigliato):```bash
brew install cynative/tap/cynative

**Windows** (Scoop):```powershell
scoop bucket add cynative https://github.com/cynative/scoop-bucket
scoop install cynative

- **Async e concorrente**: le funzioni degli strumenti restituiscono Promise - usa `await` su di esse, distribuisci il lavoro
  su molte risorse con `mapConcurrent(items, fn, limit)` (con limite, che preserva l'ordine), oppure usa `await Promise.all([...])` per piccoli set fissi.
- **Risposte strutturate**: `http_request` risolve in `{ status, statusText,
  headers, body }`; `body` è la stringa grezza - usa `JSON.parse(resp.body)` per le API JSON
  o leggila direttamente per XML.
- **In sandbox**: uno script può chiamare solo gli strumenti che Cynative espone - non ha
  accesso di rete o all'host di per sé.
- **Vedi l'intero script**: ogni chiamata `code_execution` è mostrata per intero per
  l'approvazione prima di essere eseguita (salta con `--auto-approve`; trasmetti ogni chiamata interna
  con `-v`).
- **Con stato all'interno di una sessione**: i valori salvati su `globalThis` persistono tra
  le chiamate durante una sessione interattiva, purché la chiamata venga eseguita fino al completamento
  (una che va in timeout o viene lasciata sospesa li azzera); `let`/`const`/`var`/`function`
  a livello top-level sono limitati a una singola chiamata.
- **Limitato**: gli script vengono eseguiti con un timeout (default 120s) e una dimensione massima
  dell'output.

## Registro di controllo

Ogni chiamata agli strumenti viene registrata in un registro di controllo JSONL persistente (`~/.cynative/audit.log`, attivo di default). Il registro è fail-closed: se una chiamata non può essere registrata, l'esecuzione viene interrotta. Ogni voce di un'esecuzione agente registra anche il nome dell'agente, la sorgente e il digest del file, così un risultato può essere ricondotto al prompt esatto che lo ha prodotto.

I risultati degli strumenti vengono oscurati prima di essere scritti, ma gli argomenti del prompt di approvazione vengono memorizzati verbatim - il registro può contenere valori sensibili. È leggibile solo dall'utente che ha eseguito Cynative. Rotazione e conservazione sono configurabili.

Configurabile sotto `audit:` in `~/.cynative/config.yaml`, o tramite variabili d'ambiente:

| Chiave | Env | Default |
|---|---|---|
| `audit.enabled` | `CYNATIVE_AUDIT_ENABLED` | `true` |
| `audit.path` | `CYNATIVE_AUDIT_PATH` | `~/.cynative/audit.log` |
| `audit.max_size_mb` | `CYNATIVE_AUDIT_MAX_SIZE_MB` | `100` |
| `audit.retention_days` | `CYNATIVE_AUDIT_RETENTION_DAYS` | `30` |
| `audit.compress` | `CYNATIVE_AUDIT_COMPRESS` | `false` |

## Domande e feedback

[Discussions](https://github.com/cynative/cynative/discussions) è il posto migliore per condividere il tuo feedback - cosa gli hai indicato, cosa è tornato, e cosa manca. Le stelle aiutano le persone a trovare il progetto.

## Contribuire

I contributi sono benvenuti - nuovi agenti, connettori, dataset di valutazione e
miglioramenti in generale. Vedi [CONTRIBUTING.md](https://github.com/cynative/cynative/blob/main/CONTRIBUTING.md) per la configurazione
di sviluppo, il gate `make check` e le convenzioni per le PR, e [SECURITY.md](https://github.com/cynative/cynative/blob/main/SECURITY.md)
per segnalare vulnerabilità.

## Licenza

Licenza Apache-2.0. Vedi [LICENSE](https://github.com/cynative/cynative/blob/main/LICENSE) per il testo completo.