SCOPE: Security Cloud Ops Purple Engagement

SCOPEは、決定論的なPythonインベントリと制約付きAIエージェントを使用して、AWS Purple Teamワークフローを実行します。AWSリソースの監査、攻撃パスの検証、レビューのみのエクスプロイトプレイブックの生成、コントロールの作成、Splunk調査のガイドを行います。

仕組み

Claude Code、Antigravity CLI、Gemini CLI、またはCodex CLIからSCOPEを実行します：

/scope:audit --all

クイックスタート

git clone https://github.com/tayontech/SCOPE.git
cd SCOPE
uv run python -m scope.install

export AWS_PROFILE=your-profile

/scope:audit --all
/scope:audit iam s3 lambda
/scope:exploit arn:aws:iam::123456789012:role/target-role
/scope:exploit
/scope:investigate

必要条件：Python 3.11+、uv、読み取り専用認証情報を持つAWS CLI、およびサポートされているランタイムの1つ。Node.jsはダッシュボード生成とSplunk MCP mcp-remoteトランスポートをサポートします。

スクリプトインストール：

uv run python -m scope.install --claude --local --no-splunk-mcp
uv run python -m scope.install --antigravity --local --no-splunk-mcp
uv run python -m scope.install --gemini --local --no-splunk-mcp
uv run python -m scope.install --codex --local --no-splunk-mcp
uv run python -m scope.install --all --local --with-splunk-mcp

インタラクティブインストールでは、バンドルされたSplunk MCPデフォルトを構成するかどうかを尋ねます。スクリプトインストールでは、--with-splunk-mcpを渡さない限りMCPサーバー設定をスキップします。自動化でログに選択を示す場合は--no-splunk-mcpを使用します。SCOPEは、プロジェクトがクエリ言語プロファイルを追加するまで、SPLファーストのままです。config/mcp-setup.mdを参照してください。

安全性

SCOPEエージェントはデフォルトで読み取り専用のAWSアクティビティを実行します。config/hooks/scope-safety-guard.shは、実行前に破壊的なAWSシェル操作をブロックします。監査とエクスプロイトは、人間によるレビューのためにAWS CLIリプレイコマンドアーティファクトを書き込む場合があります。エージェントはこれらの書き込みコマンドを実行しません。

ダッシュボード

実行ごとに1つの自己完結型レポートを生成します：

cd dashboard && npm run dashboard
open dashboard/reports/<run-id>-dashboard.html

明示的な監査実行ディレクトリのベース名がダッシュボードの実行IDになります。dashboard/public/index.jsonはreports[]を保存します。各レポートは1つの監査JSONエクスポートとオプションのコントロールJSONエクスポートを指します。コントロールは監査レポートにアタッチされるため、1つの監査ワークフローで1つの選択可能なダッシュボードレポートが作成されます。

ダッシュボードは、攻撃グラフ、パスの詳細、パブリック露出の発見、コントロール、SPL検出、ダッシュボードのアイデア、ポリシー置換、修復を表示します。

プラットフォーム

Googleは2026年5月19日、Gemini CLIとGemini Code Assist IDE拡張機能が、2026年6月18日をもってGoogle AI Pro、Ultra、および無料個人ユーザーへのリクエスト提供を停止することを発表しました。新しいGoogleインストールにはAntigravity CLIを使用してください。SCOPEはエンタープライズ/APIキーユーザーおよび移行のために--geminiを維持します。

エージェントとモデル

トップレベルのエージェントはランタイムセッションモデルを継承します：

• scope-auditは監査ゲート、Pythonランタイム実行、攻撃分析、リプレイアーティファクト、コントロールチェーンを調整します。
• scope-controlsは組織全体の問題、検出、ダッシュボードのアイデア、ポリシー置換、修復、検証を調整します。
• scope-exploitはプリンシパル範囲のレッドチームプレイブックを生成します。
• scope-investigateはアラート、実行ガイド、インテル調査モードを実行します。

サブエージェントは制約付き推論タスクを実行します：

• scope-attack-analyze、scope-attack-validate、scope-public-exposure-analysis、scope-awscli-replayは攻撃パス分析とリプレイアーティファクトをサポートします。
• scope-controls-org-wide、scope-controls-detections、scope-controls-dashboards、scope-controls-policy、scope-controls-remediation、scope-controls-validateはコントロールをサポートします。
• scope-investigate-alert、scope-investigate-intel、scope-investigate-runは調査コンテキストを準備します。
• - 攻撃分析とエクスプロイトプレイブックのための共有外部テクニック調査。

/scope:audit --allを実行すると、オーケストレーターはセッションモデル上で動作し、scope auditを呼び出して決定論的なPython列挙と後処理を実行し、scope.attack.candidatesでIAMおよびパブリック/サービス接続候補をシードし、scope-attack-analyzeをディスパッチし、オプションでscope-researchを通じて候補を強化し、検証されたパスのレビューのみのAWS CLIリプレイアーティファクトを生成してから、推論モデル上でコントロールをチェーンします。

Claudeサブエージェントは、アーティファクトの多い分析と検証中により大きなコンテキストのためにopus[1m]エイリアスを使用します。列挙にはAIモデルではなく決定論的Pythonを使用します。

ドキュメント

コミュニティ

• Issues
• Pull Requests

作成者: Tayvion Payton