It scrive ed esegue codice in una sandbox effimera, interrogando le tue API in parallelo, così una singola domanda si dirama attraverso l'intero stack. Ogni risultato viene incrociato e ricondotto alla sua origine.

A differenza degli agenti di coding e dei server MCP, è **read-only per costruzione**: ogni chiamata viene sottoposta a un gate e autorizzata *prima* che venga associata una credenziale - puntalo verso la produzione con fiducia.
<!-- END agent-about -->

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/9087/1b3db179a03479f5951d624c8adbb4890465aa86d038d3312dc9aec9801bcfb9.gif"
       alt="cynative che verifica un'escalation dei privilegi da CI a cloud"
       width="900">
</p>

## Cosa ottengono i tuoi agenti

- **Code-to-runtime**: Ragiona su AWS, GCP, Azure, qualsiasi K8s, GitHub e GitLab
- **Sandbox**: Genera ed esegue codice per ricerche su larga scala, senza accesso alla rete o all'host
- **Action-gate**: Risolve ogni chiamata nelle azioni IAM richieste e applica una policy di sola lettura prima che venga associata una credenziale
- **Evidence-backed**: Esegue controlli incrociati per verificare ogni risultato
- **Sovereign**: Un solo binario, il tuo modello, i tuoi dati restano tuoi

## Avvio rapido

Installa e configura un LLM:

<!-- BEGIN quickstart-example -->```bash
brew install cynative/tap/cynative

export CYNATIVE_LLM_PROVIDER=anthropic
export CYNATIVE_LLM_MODEL=claude-opus-5
export ANTHROPIC_API_KEY=...

## Il tuo primo agente

Un agente è un file Markdown: una riga di descrizione, poi il prompt. Il nome del file è quello dell'agente. Per aggiungerne uno tuo, crea `~/.cynative/agents/` e scrivine uno al suo interno. Cynative non crea questa directory per te:```bash
mkdir -p ~/.cynative/agents

cat > ~/.cynative/agents/aws-public-data-stores.md <<'EOF'
---
description: Finds publicly accessible data stores in an AWS account.
---
Check S3, RDS snapshots, EBS snapshots and public AMIs for exposure.
Report each finding with the resource ARN and how it is reachable.
EOF

cynative -p --agent aws-public-data-stores

`--agent` si combina con `-p`, `--auto-approve`, `--config` e stdin tramite pipe, così lo stesso file viene eseguito in modo interattivo mentre lo sviluppi e in modo non interattivo una volta stabilizzato.

Gli agenti vengono letti da `~/.cynative/agents/` e dall'insieme integrato nel binario; un file utente ha la precedenza su uno integrato con lo stesso nome. `cynative agents list` mostra ogni agente con la sua origine e segna le copie in ombra, e `cynative agents show <name>` stampa il file esatto che verrebbe eseguito.

## Un agente di codifica con MCPs non può fare questo?

| | Agente di codifica + MCPs | Cynative |
|---|---|---|
| Throughput | Un'azione per chiamata | Scrive codice sandbox che distribuisce le chiamate in concorrenza - meno token, risposte più rapide |
| Findings | Output non verificato | Il verificatore incrocia ogni risultato con evidenze dal vivo |
| Read-only | Filtro di lettura opt-in | Attivo per impostazione predefinita, in modalità fail-closed - le azioni IAM richieste vengono verificate rispetto a una policy di security-audit. `secretsmanager:GetSecretValue` è una *Read* IAM: un filtro la consente, `SecurityAudit` la blocca |
| Credentials | Di ambiente, invariate | Sessione STS limitata alla sola lettura - anche AWS applica il confine |
| Blast radius | La tua shell, qualsiasi rete | Il codice di ricerca viene eseguito in una sandbox senza accesso all'host, rete limitata ai tuoi servizi mappati |
| Secrets | Inviati al modello così come sono | Oscurati dall'output dello strumento prima che vengano inviati al modello |
| Supply chain | MCP e skill di terze parti eseguiti con le tue credenziali | Un binario open-source, connettori integrati |
| Audit trail | Log di sessione sparsi, best effort | Registro JSONL fail-closed di ogni chiamata dello strumento - se non riesce a registrare, si interrompe |

Un unico binario, il tuo endpoint del modello, il tuo account. Eseguilo su un'istanza nel cloud che verifica, tramite l'inferenza gestita di quel cloud, e nulla lascia il tuo ambiente: sicurezza sulla tua infrastruttura, dall'interno della tua infrastruttura.

## Installazione

**Homebrew** (macOS / Linux - consigliato):```bash
brew install cynative/tap/cynative

**Windows** (Scoop):```powershell
scoop bucket add cynative https://github.com/cynative/scoop-bucket
scoop install cynative

- **Asincrono e concorrente**: le funzioni degli strumenti restituiscono Promise - usa `await` su di esse, distribuisci
  su molte risorse con `mapConcurrent(items, fn, limit)` (con
  limite, che preserva l'ordine), oppure usa `await Promise.all([...])` per piccoli set fissi.
- **Risposte strutturate**: `http_request` restituisce `{ status, statusText,
  headers, body }`; `body` è la stringa grezza - `JSON.parse(resp.body)` per le
  API JSON o leggila direttamente per XML.
- **In sandbox**: uno script può chiamare solo gli strumenti che Cynative espone - non ha
  un proprio accesso alla rete o all'host.
- **Vedi l'intero script**: ogni chiamata `code_execution` è mostrata per intero per
  l'approvazione prima di essere eseguita (saltala con `--auto-approve`; mostra in streaming ogni chiamata interna
  con `-v`).
- **Con stato all'interno della sessione**: i valori salvati su `globalThis` persistono tra le
  chiamate durante una sessione interattiva; le dichiarazioni `let`/`const`/`var`/
  `function` a livello top-level sono limitate a una singola chiamata.
- **Con limiti**: gli script vengono eseguiti con un timeout (default 120s) e una
  dimensione massima dell'output.

## Log di audit

Ogni chiamata agli strumenti viene registrata in un log di audit JSONL persistente (`~/.cynative/audit.log`, attivo di default). Il log è fail-closed: se una chiamata non può essere registrata, l'esecuzione si interrompe. Ogni voce di un'esecuzione dell'agente registra anche il nome dell'agente, la sorgente e il digest del file, così un risultato può essere ricondotto al prompt esatto che lo ha prodotto.

I risultati degli strumenti vengono oscurati prima di essere scritti, ma gli argomenti del prompt di approvazione sono salvati verbatim - il log può contenere valori sensibili. È leggibile solo dall'utente che ha eseguito Cynative. Rotazione e conservazione sono configurabili.

Configuralo sotto `audit:` in `~/.cynative/config.yaml`, oppure tramite env:

| Chiave | Env | Default |
|---|---|---|
| `audit.enabled` | `CYNATIVE_AUDIT_ENABLED` | `true` |
| `audit.path` | `CYNATIVE_AUDIT_PATH` | `~/.cynative/audit.log` |
| `audit.max_size_mb` | `CYNATIVE_AUDIT_MAX_SIZE_MB` | `100` |
| `audit.retention_days` | `CYNATIVE_AUDIT_RETENTION_DAYS` | `30` |
| `audit.compress` | `CYNATIVE_AUDIT_COMPRESS` | `false` |

## Domande e feedback

[Discussions](https://github.com/cynative/cynative/discussions) è il posto migliore per condividere il tuo feedback - a cosa l'hai puntato, cosa ha restituito e cosa manca. Le stelle aiutano le persone a trovare il progetto.

## Contributi

Contributi benvenuti - nuovi agenti, connettori, dataset di valutazione e
miglioramenti a tutto campo. Vedi [CONTRIBUTING.md](https://github.com/cynative/cynative/blob/HEAD/CONTRIBUTING.md) per il
setup di sviluppo, il gate `make check` e le convenzioni per le PR, e [SECURITY.md](https://github.com/cynative/cynative/blob/HEAD/SECURITY.md)
per segnalare vulnerabilità.

## Licenza

Licenza Apache-2.0. Vedi [LICENSE](https://github.com/cynative/cynative/blob/HEAD/LICENSE) per il testo completo.