OpsAgents：用于云环境和DevOps工作的十种LangGraph智能体。
介绍基于LangGraph构建的十种人工干预型DevOps智能体，涵盖从Terraform和Kubernetes到Trivy扫描等应用，同时阐述相关设计原则与经验教训。
来源: DevOps Agents From the 2026 Guide to a Real Working Repo in 10 Agents
工程师们总是用不同的话反复询问关于 DevOps 代理的问题：类似这样的工具真的存在吗？代码在哪里？现在就能运行吗？概念只能起到一定的作用，实际的解决方案是 OpsAgents——这是一组专为云环境和 DevOps 操作设计的十个 AI 代理，采用 LangGraph 和 Python 构建。它既可以作为命令行工具使用，也可以作为 MCP 服务器运行。
测试版说明： OpsAgents 目前处于测试阶段，切勿在生产环境中使用。可能会出现意外变更且毫无预警，风险由使用者自行承担。
设计原则
每项破坏性操作都会经过人工确认。无论是扩展部署、使用 Terraform 还是触发运行手册，都会在发生任何不可逆的操作之前让代理暂停并请求确认。这不是一个可以关闭的设置，因为生产环境基础设施根本不应允许这样做。
状态机，而非脆弱的提示链。每个代理都是一个有向图，状态在各个节点之间传递。如果某个步骤中途失败，状态会被保留，代理能够恢复。借助检查点功能，代理在重启后也不会丢失已完成的进度。
真正的集成功能。这些代理能够与 AWS Cost Explorer、CloudWatch、CloudTrail、IAM、SSM 和 EC2 进行交互，通过 kubectl 执行真实的 Kubernetes 操作，使用 Trivy 进行真正的 CVE 扫描，并生成可直接插入现有系统的 Grafana 仪表板 JSON 文件。所有功能都不是模拟或伪装的。
多种模型提供商。 Claude、GPT-4、Gemini、Mistral 和 Ollama 均可用，且 Ollama 支持完全本地化、隔离运行的模式。该框架不依赖任何单一供应商。
两种运行方式
在CLI 模式下，可直接从终端启动任意智能体，适用于临时操作、脚本编写和测试。
在MCP 服务器模式下，OpsAgents 可集成到 Claude Code、Cursor、Codex 或 OpenCode 中，让你能像与团队成员交流一样操控基础设施。一旦在编辑器中配置好 MCP 服务器，每个智能体都会成为编辑器可调用的工具。你可以要求它扫描集群中出问题的容器，或汇报本月的 AWS 账单情况，相应的智能体会处理请求，并在做出任何更改前给出确认提示。
十种智能体
云端智能体（AWS）
基础设施配置工具。它涵盖了完整的基础设施即代码生命周期。只需用通俗的英语描述需求，例如需要在不同可用区中创建包含两个子网的公共VPC，它就会自动生成完整的Terraform或CloudFormation配置文件。随后它会检查语法并运行terraform plan，这样在任何资源实际创建之前就能清楚地看到即将发生的变化，且只有在经过人工确认后才会执行。之后它还能审计当前的AWS账户，识别与Git中版本之间的差异，从而发现那些绕过基础设施即代码工作流程的手动修改。
- 可将自然语言转换为完整的Terraform或CloudFormation配置，而不仅仅是框架结构
- 执行前会进行语法验证并生成模拟执行计划
- 需要人工确认后才执行配置
- 能检测当前AWS账户状态与Git中记录的配置之间的差异
安全与合规性。生产环境中的AWS账户会悄然积累风险。IAM策略会随着时间逐渐宽松，为调试目的打开的安全组却始终未被关闭，S3存储桶也会出现配置错误。该代理会持续进行审计，而非仅依赖偶尔的检查。它会查找IAM策略中的通配符权限和过度授权的凭证，识别具有公共访问入口的EC2安全组（典型情况为SSH开放给0.0.0.0/0），并检查S3存储桶是否存在加密缺失及公共读取权限问题。审计结果会依据CIS AWS基础基准进行评估，因此您会获得风险严重程度评级，而不仅仅是简单的列表。
- IAM分析，涵盖通配符、权限升级路径及未使用的权限
- 安全组审计，检查公共端口及过度开放的访问权限
- S3审计，检查加密状态及公共访问权限
- 按严重程度进行的CIS基准对比
成本优化工具。AWS账单中存在许多没人有时间手动排查的浪费现象：未连接的EBS卷、CPU使用率仅3%且已闲置数月的EC2实例、被分配但未被使用的弹性IP，以及随着实例群变化而变化的预留实例覆盖范围。该工具会查询成本浏览器以获取支出报告，按类型和区域找出未使用的资源，针对使用率低的计算资源提出调整建议，并指出使用节省计划或预留实例可降低支出的地方。每项建议都会附带预计的月度节省金额。
- 按服务、区域和时间段查询成本浏览器
- 检测未连接的卷、闲置实例及未使用的弹性IP
- 提供调整建议并给出预计节省金额
- 分析节省计划与预留实例的适用性
事件响应。生产环境警报触发后，最初的15分钟最为关键。该代理会在人工人员完全清醒之前同步启动调查，它会收集当前处于ALARM状态的所有CloudWatch警报，查询Log Insights中的近期错误记录，并列出故障发生时段内的CloudTrail API调用记录，这些信息通常能帮助确定发生了什么变化。如果存在合适的标准SSM操作手册，可在确认后自动触发该手册。问题解决后，它会生成一份结构化的Markdown格式的事后分析报告，内容包括时间线、根本原因及缓解措施。
- 警报汇总，显示处于ALARM状态的警报、出现时间以及涉及的资源
- 结合Log Insights数据与CloudTrail历史记录进行的根本原因分析
- 经审批后执行SSM操作手册
- 生成的事后分析报告
架构审查。大多数团队在系统上线时会根据AWS Well-Architected Framework检查一次设计，之后就很少再检查了。该代理工具能够持续进行此类审查。它无需预先告知存在哪些资源，即可自动发现RDS数据库、EC2实例、负载均衡器、Lambda函数以及S3存储桶，进而绘制出它们之间连接关系的Mermaid流程图。该工具还会根据Well-Architected框架的各个评估维度来检查相关设置，并指出诸如缺少多可用区部署、RDS未启用自动备份，以及本应采用多区域设计却仍为单区域设计等问题。
- 自动发现，无需手动统计资源清单
- 基于实时数据生成的Mermaid拓扑图
- 对可靠性、性能及成本方面的评估
- 针对多可用区、备份机制及性能瓶颈的具体分析
DevOps代理工具（平台运维）
CI/CD 流水线。每个人对流水线都有自己的看法，却没人有时间去调整它们。该工具会分析代码库，生成定制化的流水线配置，而非直接使用通用模板。它能识别编程语言、包管理器和构建系统，进而构建包含依赖项缓存、最小权限设置（使用 OIDC 而非长期有效的凭证）以及合理任务分离机制的 GitHub Actions 工作流。当流水线失败时，它会读取日志并给出精确的诊断结果，不会只说“构建失败”，而是会指出是缓存未命中，或是锁文件被修改导致缓存键哈希失效等问题。
- 识别编程语言、包管理器和构建系统
- 生成具备缓存功能、OIDC 认证及权限控制的工作流
- 针对构建失败问题给出具体原因及解决方案的诊断
Kubernetes 操作功能。该代理具备集群管理员的权限，可进行全面的诊断与问题修复，或许是处理紧急故障时最实用的工具。它能将节点、命名空间及系统容器的运行状态汇总在一张表格中。对于出现故障的容器，它会通过检查相关事件与状态，针对 CrashLoopBackOff、OOMKilled 和 ImagePullBackOff 等常见故障情况采用特定的诊断方法。此外，它还能生成 Deployments、Ingresses 和 Services 的 YAML 配置文件，并在确认后直接调整副本数量或执行回滚操作。
- 以单表形式展示集群运行状态概览
- 针对常见故障状态提供结构化的容器诊断功能
- 生成 Deployments、Ingresses 和 Services 的 YAML 配置
- 经确认后即可进行规模调整或回滚操作
监控与可观测性。所有人都认同监控配置至关重要，但都觉得其设置过程十分繁琐。PromQL语法要求严格，Grafana仪表板对应的JSON格式冗长，而Alertmanager的路由规则则很容易出现细微错误。该代理可针对错误率、延迟百分位数及饱和度等常见指标编写PromQL警报规则，生成可直接导入的Grafana仪表板JSON文件，同时还会为Slack或PagerDuty生成相应的Alertmanager路由配置。根据99.9%或99.95%这样的目标可用性指标，它还能计算出每月的错误预算及允许的最大停机时间。
- 针对标准基础设施指标的PromQL模板
- 可直接导入的Grafana仪表板JSON文件
- 适用于Slack和PagerDuty的Alertmanager路由配置
- 包括错误预算和停机时间限制在内的SLO计算功能
GitOps与发布功能。该代理负责处理与部署相关的所有发布工作：配置文件、变更日志、版本号升级以及回滚准备。它能够为ArgoCD应用程序定义包含自愈和优化功能的配置模板，并生成用于金丝雀发布或蓝绿部署的Argo Rollouts配置，同时通过AnalysisTemplates实现自动决策以决定是否进行升级。在发布过程中，它会更新半版本号标签，根据提交历史生成变更日志，当需要快速撤销部署时还能创建回滚PR。
- 具备自愈、优化及同步策略的ArgoCD配置模板
- 结合AnalysisTemplates的金丝雀发布与蓝绿部署功能
- 基于Git历史记录的半版本号升级与变更日志生成
- 回滚PR的创建功能
容器与镜像安全。在2026年，供应链安全已不再是可选项，该工具会在任何镜像投入生产之前执行扫描与加固操作。它使用Trivy检测容器各层中的CVE漏洞，并报告漏洞严重程度及受影响的软件包。同时它会审查Dockerfile，并通过多阶段构建方式对其进行优化以缩小镜像体积，通过清理缓存避免层结构臃肿，还会使用非root用户权限进行操作。此外，它还会扫描锁文件（poetry.lock、package-lock.json、Gemfile.lock），查找过时或存在漏洞的依赖项；为满足合规要求，它还能生成CycloneDX或SPDX格式的软件物料清单。
- 使用Trivy进行CVE扫描并给出严重程度评级
- Dockerfile加固
- 扫描锁文件以识别过时及存在漏洞的软件包
- 以CycloneDX和SPDX格式输出SBOM
为何选用LangGraph作为底层技术
这里有多种框架可供选择，包括LangGraph、Claude SDK、OpenAI Agents SDK、CrewAI和AutoGen。LangGraph胜出是因为它的优势恰好符合DevOps的需求。
生产工作流程并非线性流程。如果安全扫描发现了严重的IAM问题，其处理路径必须与未发现问题的情况有所不同；而那些在日志中无法确定根本原因的事故调查，则应上报给CloudTrail。LangGraph的条件路由功能能够很好地解决这些问题。
状态持久化意味着在处理复杂事件时，智能体在重启后仍能保留其分析结果。检查点功能允许你使用修改后的输入从任意节点重新执行工作流程，这对于调试做出意外决策的智能体而言至关重要。此外，人工干预支持是图模型本身的组成部分，而非后期添加的功能。你可以自行决定哪些节点需要确认，模型就会在该处暂停。
构建过程中的经验教训
在智能体出现之前，有三点并不明显：
- 确认步骤至关重要。在执行破坏性操作之前给出恰当的提示，才能区分有用的智能体与危险的智能体。正确处理这一环节意味着将人类审批视为一种架构约束，而非简单的勾选项，这迫使你明确每个图中哪些节点实际上会产生副作用。
- 状态设计是最困难的部分。让代理逻辑运行起来很容易，但决定哪些内容需要持久化、哪些是临时性的，以及错误如何传播，这些问题都需要通过反复迭代来解决。Kubernetes代理在其状态设计上经历了三次重构，才使得诊断流程显得自然流畅。
- 工具比模型选择更重要。代理的能力取决于其所使用的工具。让AWS工具函数返回结构化且一致的输出，比调整提示词更为有效，因为当代理接收到的数据整洁有序时，模型的推理能力也会更强。
下一步计划
这只是一个起点，而非最终成品。目前的代理程序已覆盖最常见的云和 DevOps 工作流，但仍有许多工作需要完成。正在考虑的改进方向包括：通过 GCP 和 Azure 的代理程序实现多云支持；基于历史模式而非固定阈值进行成本异常检测；在获得批准后由代理程序自动生成并应用修复方案以自动解决偏差问题；以及与 Claude Code 和 Cursor MCP 流程实现更紧密的集成。
如何贡献
你不必是专家，只要有好奇心即可。最有用的帮助取决于你的身份：
- DevOps 或云工程师：在实际基础设施上运行代理程序，反馈哪些功能出故障、哪些输出令你困惑，以及你期望它处理哪种工作流。在这一阶段，来自实际使用的反馈是最有价值的输入。
- 开发者：可以选择任意一个代理，阅读其架构定义并加以改进，无论是优化错误处理机制、补充缺失的工具，还是添加需要跟踪的状态字段。由于代码库规模较小，大约30分钟就能理解整个代理的运作方式。
- DevOps代理领域的新手：该仓库同时也可作为学习环境。可以将其 Fork 出来，使用 Ollama 在本地运行以避免 API 费用，同时阅读代码以及关于 DevOps 代理的通用指南。提交问题来提问也视为一种贡献。
- 有任何新代理创意的人：可以提交问题描述相应的工作流程。如果目前需要手动完成的任务应该实现自动化，也请提出来。保密信息管理审计代理、多云代理以及成本异常检测代理都已在规划中，正等待有人去开发。
为该仓库打星标、提交问题或发送拉取请求。我们的目标是打造能在生产环境中稳定运行的、基于开源技术构建的智能体。
相关阅读
- 实用指南：RAG系统——从零到精通的完整指南（2026版） — 该指南提供了关于RAG系统从零到精通的详细操作步骤，包括相关合同条款、检查清单以及可供团队直接使用的代码模板。
- 2026年使用LangGraph构建你的第一个LangChain智能体 — 通过LangGraph逐步构建LangChain智能体，了解相关工具、内存管理及追踪方法，避免四种常见错误，并了解某培训机构的客服部门是如何运用该智能体的。