英文原文: https://argusic.com/subject/kosty

kosty

一条命令完成 AWS 审计：发现成本浪费、检测安全漏洞、审计 GenAI（Bedrock/SageMaker），并映射覆盖 30+ 项服务的攻击面。

借助 mock 可运行来源：GitHub项目主页PythonMITcommit f3076558cae7

Python，MIT 许可证. 项目的自我描述：attack surface、aws、aws audit、aws bedrock、bedrock、cloud、cloud security 和 cloud security audit.

kosty 可以运行，其依赖的服务由替身代替。一个 Argusic agent 在一台没有 GPU 的干净机器上用 2 分钟完成了安装，遇到 4 个错误，并在无人协助的情况下全部修复，整个会话都被记录了下来。

Kosty installs in a venv and its CLI runs end to end against a local AWS mock: ebs/iam/lb checks, full audit (31 services, 23 issues) and AI audit (6 issues) all exit 0 and write decodable JSON reports.

agent 在干净的机器上最终得到的结果，用它自己的话说。 测量方式

每一次都由 Argusic 在全新机器上实测。每个数字都链接到对应的证据。 Argusic 评分 92，满分 100（该项目各次运行得分的平均值）。

概览

结论
借助 mock 可运行
Argusic 评分
92 / 100
验证运行的成本
0.15 USD（实测）
已记录的运行次数
1
最近测试
星标
273
fork 数
25
未关闭的 issue
0
关注者
5
大小
7 MB
创建于
最近推送

项目数据来自 GitHub，链接见本页顶部，更新于 。测试数据由 Argusic 提供 (CC BY 4.0)；每个数字都链接到一个运行页面，附完整的 log、录屏及其 sha256 哈希。

测量了什么

来自决定该结论的那次运行。 每一行都是记录下来的数值，而非估算。

测试 kosty 时每个故障耗费的时间，取自已记录的运行
每一根柱子都是 agent 记录的一次失败，以及它耗费的时间。数据仅取自本次运行。

哪里出了问题，用 agent 自己的话说

agent 的原话，最严重的排在最前，从不改写成建议。

  • kosty lb check-no-healthy-targets crashed with TypeError: unexpected keyword argument 'max_workers'/'config_manager'5 分钟
  • kosty iam check-root-access-keys crashed with TypeError: unexpected keyword argument 'org_admin_account_id' (signature missing common options)4 分钟
  • System pip blocked by PEP 668 (externally-managed-environment)1 分钟
  • moto server mode missing flask (moto[pickle,s3] without [server])1 分钟
安装时间
2 分钟
从冷启动机器到完成
10 分钟
遇到并修复的错误
遇到 4 个，在无人协助的情况下修复了 4 个
结果是如何证明的
.venv/bin/kosty ebs check-orphan-volumes --output json vs moto mock: exit 0, found seeded orphan volume; kosty iam check-root-access-keys and kosty lb check-no-healthy-targets: exit 0 after fixes; kosty audit: exit 0, 23 issues; kosty ai audit: exit 0, 6 issues; all reports decoded as JSON
使用的模型 token
659,206
测试的确切 commit
f3076558cae7
容器镜像
sha256:cdd920bce783

没有测量什么

另一半内容，让你清楚看到这些证据能说明到什么程度。缺失的数据就标为缺失，从不填补。

GPU 显存峰值
本次运行在 CPU 机器上进行，没有可采样的 GPU
长时间运行的表现
每次尝试都使用文档中最小的设置和固定的时间预算，因此这里测量的是它能否运行，而不是它在负载下的表现
对接真实服务的表现
本次运行只对照替身服务进行了验证

录屏的结尾

决定该结论的终端会话的最后几行，与录制时完全一致。

    \"test_depth\": \"tier2_mock\",
    \"notes\": \"No test suite exists in the repo (no pytest/unittest). Verified via moto mock AWS …
    \"verified_how\": \".venv/bin/kosty ebs check-orphan-volumes --output json vs moto mock: exit 0…
    \"final_state\": \"Kosty installs in a venv and its CLI runs end to end against a local AWS moc…
}
print(json.dumps(data))
EOF
/work/repo/.venv/bin/python /tmp/markers.py" in /work/repo
 succeeded in 0ms:
{"install_succeeded": true, "launch_succeeded": true, "install_minutes": 2, "errors": [{"msg": "Sys…
tokens used
659,206

回放完整会话，从干净的机器到此刻的每一条命令。

测试方式

一个 agent，一个容器，没有人工协助。它按照项目自身文档所写的方式安装项目，运行它，并修复出错的地方。下面的一切都按实际发生的过程记录：终端会话、log 和确切的 commit。 完整方法论.

优势与局限

均为实测事实，而非观点。内容是如何撰写的.

顺利的部分

  • 用 2 分钟完成安装，快于 Argusic 测量过的 31 个同类项目的中位数。
  • 在无人介入的情况下从全部 4 个错误中恢复，说明这些故障的文档足以让人解决。
  • 采用 MIT 许可证，以其托管平台报告的信息为准。

不顺利或尚不清楚的部分

  • 只在替身服务下达到了运行状态，因此这里没有任何内容能证明它在真实服务下可以工作。
  • 目前只测量过一次。单次尝试只能说明它可以运行，不能说明它能稳定运行。

在 Argusic 安装并计时过的 32 个 api-gateway 项目中，kosty 达到运行状态的速度排名第 8，32 个项目中有 21 个达到了运行状态。

同一领域中也测试过的项目

这里的每个项目都由 Argusic 在干净的机器上安装并运行过。未经测试的项目不会出现在这里。

  • cloudburn 已验证可运行 · TypeScript · 3 个共同主题
  • encore 已验证可运行 · Go · 2 个共同主题
  • kumo 已验证可运行 · Go · 2 个共同主题
  • aws-lambda-fastify 已验证可运行 · JavaScript · 2 个共同主题
  • stelvio 已验证可运行 · Python · 2 个共同主题
  • firezone 已测试，未验证 · Elixir · 2 个共同主题

运行历史

测试者尝试结果评分成本 USD时间
Argusic Runner1/3借助 mock 可运行92.000.15

主题 (来自 GitHub)

attack-surfaceawsaws-auditaws-bedrockbedrockcloudcloud-securitycloud-security-auditcost-optimizationdevsecopsgenaigenai-securityiamprivilege-escalationpythonsagemakersecurity-auditsecurity-auditing-toolsecurity-auditing-toolswaf

嵌入徽章

用于项目 README 的 Markdown。徽章链接回本页；使用条款见 条款页面.

[![Tested by Argusic](https://argusic.com/badge/kosty.svg)](https://argusic.com/subject/kosty)

常见问题

kosty 能运行吗？
kosty 可以运行，外部服务由 mock 代替. Argusic 在一台干净的机器上安装并启动了它，用时 2 分钟，过程中遇到 4 个错误，并记录了整个会话。
Argusic 是如何测试 kosty 的？
在一台全新的一次性机器上进行，每条命令都被记录，仓库固定在 commit f3076558cae7。共记录了 1 次尝试，完整方法见方法论页面。
测试 kosty 花了多少钱？
得出该结论的那次运行花费 0.15 USD：这是真实的算力和模型成本，而不是按每百万 token 计的标价。该数字记录在那次运行的页面上。
kosty 安装需要多长时间？
在决定该结论的那次运行中，从干净的机器到运行状态用了 2 分钟。这是一次实测的尝试，不是平均值。
kosty 需要 GPU 吗？
启动它不需要。Argusic 在一台没有 GPU 的机器上让它达到了运行状态。
安装 kosty 时会出现什么问题？
已记录的运行中出现了 4 个问题，其中 4 个在无人协助的情况下被修复。每个问题及其耗费的时间都列在本页上。
kosty 与其他替代方案相比如何？
在 Argusic 安装并计时过的 32 个 api-gateway 项目中，kosty 达到运行状态的速度排名第 8，32 个项目中有 21 个达到了运行状态。
kosty 的证据在哪里？
这次已记录的运行都在本页上，每次都链接到完整的 log 和终端录屏，并连同 sha256 指纹一起保存，因此无法被悄悄篡改。

Discussion