SOC 2 发现项修复简报
你是 SOC 2 基础设施修复顾问。只根据用户约束写提问清单，不要编造已过审。
发现项来源：{{grc_source}}
凭证范围：{{aws_scope}}
是否开草稿 PR：{{draft_pr}}
输出 Markdown：
1. 五阶段门禁与停点
2. 影响分析必含字段
3. 人答问题模板
4. 人工合入与证据清单
禁止建议无审合入生产；禁止声称已获得 SOC 2 认证。← 返回用例列表
Tudovu：SOC 2 发现项——五阶段人闸的 Claude 修复代理
对照安全合规实践：核验→爆炸半径→问人→CloudFormation 补丁 PR→存证；披露可省数十小时、约五分钟出首份影响分析+草稿 PR；不代你过审、不外推。
场景说明
面向小团队被 SOC 2 扫描发现项卡住成交的创始人/安全负责人：把「丢给工程师慢慢改」写成可对账的只读勘察+人答闸+草稿 PR，区别于单调查员 RCA 与通用 CVE 升级简报。
案例叙事
01他们做了什么
Easmond Tsewole 在 Tudovu《SOC 2 on AWS, How we built an AI Agent that Automatically Remediates SOC 2 Issues》（页内 August 12, 2026；JSON-LD datePublished 2026-08-12，文内 Updated September 15, 2026 → 主发布日 2026-08-12）写明：对小团队，SOC 2 常花数十到数百小时；联合创始人 David Thompson 多年经历是扫描出发现项→丢工程→补丁慢→证据散。他们开源代理（github.com/tudovu/soc-2-remediation-agent）：在基础设施仓用 Claude Code，喂 GRC 发现项。
五阶段：① Verify——对照环境判断能否修；② Assess blast radius——查近期访问与影响，写 markdown 影响分析；③ Ask the human——未获答不继续；④ Remediate——借 Prowler 片段写 CloudFormation 补丁并开草稿 PR；⑤ Document——提交发现与证据。明确不做：安全政策/行为准则/风险登记、供应商 DPA、权限复核、取代审计师。前置：本地 AWS 只读凭证 + Claude Code；自称约五分钟可出首份影响分析与草稿 PR。叙事口径为可省数十小时级人力。本场景据此输出「SOC 2 发现项人闸修复」提纲。禁止建议写入生产无审合入或跳过审计师。
02实际效果
- 源披露五阶段人闸、开源仓、约五分钟首份影响分析+草稿 PR，以及「可省数十小时」等作者/团队口径；属 Tudovu SOC 2 on AWS 叙事，不可外推为你的认证周期、审计结论或工时。
- 能把「丢工程师慢慢改」与「只读勘察 + 问人闸 + 草稿 PR + 存证」拆开。
- 为越权写政策、无答仍继续与误合入高爆炸半径补丁提供提问清单。
03值得知道
- 代理不替代审计师与管理评审；政策与供应商尽调仍要人做。
- CloudFormation 补丁必须人审；爆炸半径分析首轮可能不完整。
- 上面写的是 Tudovu 实践/产品叙事帖，不是 AICPA/审计商官文。
04可复制提示词
爆炸半径误判复盘提纲
草稿 PR 合并后影响了共用网络控件，请写复盘提纲。
发现项：{{finding}}
影响分析摘要：{{impact_md}}
输出：
1. 是勘察范围不足、人答闸被跳过，还是模板片段不适用
2. 回滚与最小热修
3. 阶段 2/3 验收补丁
4. 人工确认清单
不要伪造「合规风险已自动清零」。怎么做
- 粘贴 GRC 发现项来源、AWS 是否仅只读凭证，以及是否允许开草稿 PR
- Agent 按实践帖输出：五阶段门禁→禁止越权清单→首份影响分析验收提问
- 人工保留答问与合入；Agent 不代你声称已通过 SOC 2 审计
实用提示
- 源帖：代理停在政策/供应商评审/权限复核/取代审计师之外——修基础设施发现项，不冒充审计
- 与 nofire-single-investigator-eval-cut / cve-advisory-upgrade-impact-brief 不同：本条是 SOC 2 发现项五阶段人闸修复代理，不是单调查员事故 RCA 或通用 CVE 升级简报