昨晚想到了为 @cursor_ai bugpot 的合规版本，并开始用 cursor SDK 拼凑起来：https://github.com/ethanolivertroy/controlbot… 它检查 PR 中的 Terraform，并将其对齐到 NIST 800-53 控制项。

ethanolivertroy/controlbot

来源：https://github.com/ethanolivertroy/controlbot

ControlBot

针对基础设施代码合规的 Bugbot。

ControlBot 审查 Terraform PR 的方式，就像 Cursor Bugbot 审查代码一样——在精确行上内联评论、NIST 800-53 控制映射、控制意图，以及当发现阻碍基准时的一个合并门。

基于 Checkov (https://www.checkov.io/)（确定性事实）+ Cursor SDK (https://cursor.com/docs/sdk)（评估级叙事）。

今天： IaC → 控制项 → PR 审查
明天： SSP 叙事、POA&M 种子、风险评分、审计包 —— 一个机器人，逐渐发展成完整的 GRC

演示

仓库： https://github.com/ethanolivertroy/controlbot
示例 PR： https://github.com/ethanolivertroy/controlbot/pull/1

工作原理

带有 Terraform 的 PR
  → Checkov（确定性扫描）
  → NIST 800-53 映射
  → ControlBot（内联 PR 评论 + 合并门）
  → 可选：Cursor agent（完整报告产物）

Agent 从不捏造发现 —— 它用控制意图和修复语言丰富 Checkov 输出。

快速开始

npm install
pip install checkov

npm run scan
npm run review -- --scan-only
npm run controlbot

cat review-payload.json   # Bugbot 风格的内联评论负载

完整 agent 报告（可选）：

export CURSOR_API_KEY="cursor_..."
npm run review

GitHub Actions

1. 添加 CURSOR_API_KEY 密钥（可选 —— 内联机器人无需它也能工作）
2. 接触 *.tf 的 PR 触发 .github/workflows/controlbot.yml
3. ControlBot 发布内联 NIST 评论，并在遇到阻碍性发现时使检查失败

配置

.controlbot/profile.yaml：

baseline: fedramp-moderate
inherited_controls: [PE-1, PE-2]   # CSP 继承 —— 跳过
block_on_severity: [HIGH, CRITICAL]
inline_comments: true
bot_name: ControlBot

扩展 mappings/checkov-to-nist.yaml 以添加你的规则 → 控制映射。

示例 Terraform

fixtures/terraform/main.tf —— 用于演示的故意弱配置。

命令

退出码

许可证

MIT