Escreve e executa código num sandbox efémero, consultando as tuas APIs em paralelo, para que uma pergunta se ramifique por toda a tua stack. Cada descoberta é verificada de forma cruzada e rastreada até à sua origem.

Ao contrário de agentes de codificação e servidores MCP, é **apenas de leitura por construção**: cada chamada é controlada e autorizada *antes* de uma credencial ser anexada - aponta-o para produção com confiança.
<!-- END agent-about -->

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/9087/1b3db179a03479f5951d624c8adbb4890465aa86d038d3312dc9aec9801bcfb9.gif"
       alt="cynative a auditar uma escalada de privilégios de CI para cloud"
       width="900">
</p>

## O que os teus agentes obtêm

- **Código-para-runtime**: Raciocina através de AWS, GCP, Azure, qualquer K8s, GitHub e GitLab
- **Sandbox**: Gera e executa código para pesquisar em escala, sem acesso de rede ou host próprio
- **Action-gate**: Resolve cada chamada para as suas ações IAM necessárias e aplica uma política apenas de leitura antes de uma credencial ser anexada
- **Baseado em evidências**: Verifica de forma cruzada para confirmar cada descoberta
- **Soberano**: Um único binário, o teu modelo, os teus dados permanecem teus

## Início rápido

Instala e define um LLM:

<!-- BEGIN quickstart-example -->```bash
brew install cynative/tap/cynative

export CYNATIVE_LLM_PROVIDER=anthropic
export CYNATIVE_LLM_MODEL=claude-opus-5
export ANTHROPIC_API_KEY=...

## O seu primeiro agente

Um agente é um ficheiro markdown: uma linha de descrição, seguida do prompt. O nome do ficheiro é o nome. Para adicionar o seu, crie `~/.cynative/agents/` e escreva um lá dentro. A Cynative não cria este diretório por si:```bash
mkdir -p ~/.cynative/agents

cat > ~/.cynative/agents/aws-public-data-stores.md <<'EOF'
---
description: Finds publicly accessible data stores in an AWS account.
---
Check S3, RDS snapshots, EBS snapshots and public AMIs for exposure.
Report each finding with the resource ARN and how it is reachable.
EOF

cynative -p --agent aws-public-data-stores

`--agent` compõe-se com `-p`, `--auto-approve`, `--config` e stdin canalizado, de modo que o mesmo arquivo roda interativamente enquanto você o desenvolve e não interativamente assim que ele se estabiliza.

Os agentes são lidos de `~/.cynative/agents/` e do conjunto embutido no binário; um arquivo do usuário prevalece sobre um embutido de mesmo nome. `cynative agents list` mostra cada agente com sua origem e marca as cópias sombreadas, e `cynative agents show <name>` imprime o arquivo exato que seria executado.

## Um agente de codificação com MCPs não faz isso?

| | Agente de codificação + MCPs | Cynative |
|---|---|---|
| Throughput | Uma ação por chamada | Escreve código em sandbox que distribui chamadas concorrentemente - menos tokens, respostas mais rápidas |
| Descobertas | Saída não verificada | Verificador cruza cada descoberta com evidências ao vivo |
| Somente leitura | Filtro de leitura opcional | Ativado por padrão, falha fechada - ações IAM necessárias verificadas contra uma política de auditoria de segurança. `secretsmanager:GetSecretValue` é uma ação IAM *Read*: um filtro a permite, `SecurityAudit` a bloqueia |
| Credenciais | Ambientais, inalteradas | Sessão STS limitada a somente leitura - a AWS também impõe o limite |
| Raio de impacto | Seu shell, qualquer rede | O código de pesquisa roda em uma sandbox sem acesso ao host, com rede fixada aos seus serviços mapeados |
| Segredos | Enviados ao modelo como estão | Redigidos da saída da ferramenta antes de serem enviados ao modelo |
| Cadeia de suprimentos | MCPs e skills de terceiros rodando com suas credenciais | Um binário de código aberto, conectores embutidos |
| Trilha de auditoria | Logs de sessão dispersos, melhor esforço | Log JSONL com falha fechada de cada chamada de ferramenta - se não puder registrar, aborta |

Um binário, seu endpoint de modelo, sua conta. Execute-o em uma instância na nuvem que ele audita, por meio da inferência gerenciada dessa nuvem, e nada sai do seu ambiente: segurança na sua infraestrutura, a partir da sua infraestrutura.

## Instalação

**Homebrew** (macOS / Linux - recomendado):```bash
brew install cynative/tap/cynative

**Windows** (Scoop):```powershell
scoop bucket add cynative https://github.com/cynative/scoop-bucket
scoop install cynative

- **Assíncrono e concorrente**: as funções da ferramenta retornam Promises - use `await` nelas, distribua
  por muitos recursos com `mapConcurrent(items, fn, limit)` (limitado,
  preservando a ordem), ou use `await Promise.all([...])` para conjuntos fixos pequenos.
- **Respostas estruturadas**: `http_request` resolve para `{ status, statusText,
  headers, body }`; `body` é a string bruta - `JSON.parse(resp.body)` para APIs
  JSON ou leia diretamente para XML.
- **Em sandbox**: um script só pode chamar as ferramentas que o Cynative expõe - ele não tem
  acesso próprio à rede ou ao host.
- **Você vê o script inteiro**: cada chamada `code_execution` é exibida por completo para
  aprovação antes de ser executada (pule com `--auto-approve`; transmita cada chamada interna
  com `-v`).
- **Com estado dentro de uma sessão**: valores salvos em `globalThis` persistem entre
  chamadas durante uma sessão interativa, desde que a chamada seja concluída
  (uma que expire ou fique suspensa os redefine); `let`/`const`/`var`/`function`
  de nível superior são limitados a uma única chamada.
- **Limitado**: os scripts são executados com um tempo limite (padrão 120s) e um tamanho
  de saída limitado.

## Registro de auditoria

Cada chamada de ferramenta é registrada em um registro de auditoria JSONL persistente (`~/.cynative/audit.log`, ativado por padrão). O registro é à prova de falhas: se uma chamada não puder ser registrada, a execução é abortada. Cada entrada de uma execução de agente também registra o nome do agente, a origem e o digest do arquivo, para que uma descoberta possa ser rastreada até o prompt exato que a produziu.

Os resultados das ferramentas são editados antes de serem gravados, mas os argumentos do prompt de aprovação são armazenados literalmente - o registro pode conter valores sensíveis. Ele só pode ser lido pelo usuário que executou o Cynative. A rotação e a retenção são configuráveis.

Configure em `audit:` em `~/.cynative/config.yaml`, ou via env:

| Chave | Env | Padrão |
|---|---|---|
| `audit.enabled` | `CYNATIVE_AUDIT_ENABLED` | `true` |
| `audit.path` | `CYNATIVE_AUDIT_PATH` | `~/.cynative/audit.log` |
| `audit.max_size_mb` | `CYNATIVE_AUDIT_MAX_SIZE_MB` | `100` |
| `audit.retention_days` | `CYNATIVE_AUDIT_RETENTION_DAYS` | `30` |
| `audit.compress` | `CYNATIVE_AUDIT_COMPRESS` | `false` |

## Perguntas e feedback

[Discussions](https://github.com/cynative/cynative/discussions) é o melhor lugar para compartilhar seu feedback - para onde você o apontou, o que voltou e o que está faltando. Estrelas ajudam as pessoas a encontrar o projeto.

## Contribuindo

Contribuições são bem-vindas - novos agentes, conectores, conjuntos de dados de avaliação e
melhorias em geral. Veja [CONTRIBUTING.md](https://github.com/cynative/cynative/blob/main/CONTRIBUTING.md) para a configuração de
desenvolvimento, o gate `make check` e as convenções de PR, e [SECURITY.md](https://github.com/cynative/cynative/blob/main/SECURITY.md)
para relatar vulnerabilidades.

## Licença

Licença Apache-2.0. Veja [LICENSE](https://github.com/cynative/cynative/blob/main/LICENSE) para o texto completo.