cloud-pilot expone tres herramientas — search (buscar), execute (ejecutar) y tofu — que juntas cubren más de 1,289 servicios y más de 51,900 operaciones de API con gestión completa del ciclo de vida de la infraestructura. Descubre API en tiempo de ejecución, ejecuta scripts contra el estado real de la nube y gestiona despliegues con estado mediante plan/apply/destroy a través de OpenTofu.

Cuando un agente se conecta, el servidor entrega una persona de Ingeniero Senior de Plataforma en la Nube — completa con principios de ingeniería, experiencia específica del proveedor, conciencia de seguridad y prompts de flujo de trabajo estructurados — para que el agente opere automáticamente con arquitectura en la nube y estándares de seguridad de nivel de producción.

Demo: Despliegue de tres niveles en AWS con OpenTofu — VPC, ALB, ASG, RDS desplegados y destruidos mediante la herramienta tofu.

Ver la demo completa

Qué cambió en la v0.2:

Ejecución nativa de SDK — Las llamadas a AWS utilizan paquetes @aws-sdk/client-* (no HTTP personalizado). Azure utiliza @azure/core-rest-pipeline con reintento/limitación automática. Cero errores de serialización.
Integración con OpenTofu — nueva herramienta tofu para el ciclo de vida de infraestructura con estado: escribir HCL, planificar, aplicar, destruir, importar recursos existentes, detección de deriva y reversión.
Sistema de dry-run de 4 niveles — validación nativa del proveedor de nube (AWS DryRun), puerta forzada por sesión, resúmenes de impacto con advertencias de costos y conjunto de cambios de sesión con planes de reversión.
Seguridad configurable — dryRunPolicy por proveedor: enforced (sesiones interactivas), optional (automatización aprobada), disabled (bots de solo lectura).

Tabla de Contenidos

Sección	Descripción
El Problema	Por qué los enfoques existentes se quedan cortos
Cómo Funciona	El patrón de tres herramientas: search, execute, tofu
Cobertura de Proveedores de Nube	4 proveedores, 1,289 servicios, más de 51,900 operaciones
Arquitectura	Diseño del sistema y resumen de componentes
Persona de Ingeniería en la Nube Integrada	Instrucciones, recursos, prompts, configuración
¿Por qué cloud-pilot?	Cuando necesitas un plano de control entre agentes de IA y tu nube
Agentes que Actúan, no Aconsejan	Cómo cloud-pilot convierte a la IA de asesor a actor — ejemplo de despliegue real
Integración Empresarial	ServiceNow, Teams/Slack, y cómo MCP habilita una integración para todas las nubes
Ciclo de Vida de Infraestructura con OpenTofu	Despliegues con estado: plan, apply, destroy, import, detección de deriva, reversión
Casos de Uso en el Mundo Real	Zonas de aterrizaje, WAN global, K8s, respuesta a incidentes, análisis de costos
Primeros Pasos
Inicio Rápido	Requisitos previos, instalación y ejecución
Configurar Credenciales	Descubrimiento automático, variables de entorno, Vault, Azure AD
Ejecutar con Docker	Despliegue en contenedor
Conectar a tu Cliente MCP	stdio, HTTP, autenticación con clave API
Ejemplos de Integración de Plataforma	SDK de OpenAI, Cursor, LangChain, agentes personalizados
Referencia
Referencia de Configuración	Esquema completo de `config.yaml` y anulaciones de variables de entorno
Descubrimiento Dinámico de API	Sistema de especificaciones de tres niveles: catálogo, índice, especificaciones completas
Modelo de Seguridad	Niveles de aislamiento de sandbox, modos, listas de permitidos, registro de auditoría
Seguridad de Transporte HTTP	Autenticación, CORS, limitación de tasa
Operaciones
Pipeline CI/CD	Construcción, prueba, Docker, actualización de catálogo
Estructura del Proyecto	Recorrido por el árbol de fuentes
Extensión	Agregar proveedores, backends de autenticación, objetivos de despliegue
Solución de Problemas	Problemas comunes y pasos de diagnóstico

El Problema

Los proveedores de nube exponen miles de operaciones de API en cientos de servicios. Los enfoques tradicionales para la gestión de la nube impulsada por IA o bien:

Codifican un puñado de herramientas (ej. "listar instancias EC2", "crear bucket S3") — limitando lo que el agente puede hacer a lo que el desarrollador anticipó
Generan cientos de herramientas MCP a partir de especificaciones de API — abrumando la ventana de contexto del agente y haciendo que la selección de herramientas sea poco confiable
Requieren actualizaciones manuales cada vez que un proveedor de nube lanza un nuevo servicio

cloud-pilot-mcp resuelve esto con un patrón de buscar y ejecutar: el agente descubre lo que necesita en tiempo de ejecución, luego lo llama a través de un entorno de ejecución aislado. Sin herramientas preconstruidas, sin lista fija de servicios, sin actualizaciones manuales.

Cómo Funciona

                  User                        Agent                      cloud-pilot-mcp
                   |                            |                              |
                   |  "Set up a Transit Gateway |                              |
                   |   connecting three VPCs"    |                              |
                   |--------------------------->|                              |
                   |                            |                              |
                   |                            |  search("transit gateway")   |
                   |                            |----------------------------->|
                   |                            |                              |
                   |                            |  CreateTransitGateway,       |
                   |                            |  CreateTGWVpcAttachment,     |
                   |                            |  CreateTGWRouteTable + schemas|
                   |                            |<-----------------------------|
                   |                            |                              |
                   |                            |  execute(provider: "aws",    |
                   |                            |    code: sdk.request({       |
                   |                            |      service: "ec2",         |
                   |                            |      action: "CreateTGW",    |
                   |                            |      params: {...}           |
                   |                            |    })                        |
                   |                            |----------------------------->|
                   |                            |                              |  QuickJS
                   |                            |                              |  Sandbox
                   |                            |                              |----+
                   |                            |                              |    | SigV4
                   |                            |                              |    | signed
                   |                            |                              |<---+
                   |                            |  Transit Gateway ID, state   |
                   |                            |<-----------------------------|
                   |                            |                              |
                   |  "Done! TGW tgw-0abc123    |                              |
                   |   created in us-east-1"    |                              |
                   |<---------------------------|                              |

El agente razona sobre qué API existen, planifica la secuencia y ejecuta — todo dentro de la conversación.

Cobertura de Proveedores de Nube

  +-------------------------------------------+
  |          51,900+ API Operations            |
  |                                            |
  |   +----------+  +---------+  +--------+   |
  |   |   AWS    |  |  Azure  |  |  GCP   |   |
  |   | 421 svcs |  | 240+    |  | 305    |   |
  |   | 18,109   |  | 3,157   |  | 12,599 |   |
  |   |   ops    |  |   ops   |  |  ops   |   |
  |   +----------+  +---------+  +--------+   |
  |                                            |
  |              +-----------+                 |
  |              |  Alibaba  |                 |
  |              |  323 svcs |                 |
  |              |  18,058   |                 |
  |              |    ops    |                 |
  |              +-----------+                 |
  +-------------------------------------------+

Proveedor	Servicios	Operaciones	Fuente de Especificación	Autenticación
AWS	421	18,109	boto/botocore vía jsDelivr CDN	Cadena de credenciales AWS CLI / SDK -> Nativo `@aws-sdk/client-*`
Azure	240+	3,157	azure-rest-api-specs vía GitHub CDN	Azure CLI / DefaultAzureCredential -> `@azure/core-rest-pipeline`
GCP	305	12,599	Google Discovery API (en vivo)	gcloud CLI / GoogleAuth -> Token Bearer
Alibaba	323	18,058	Alibaba Cloud API + api-docs.json	aliyun CLI / cadena de credenciales -> ACS3-HMAC-SHA256
Total	1,289+	51,923

Todos los servicios se descubren dinámicamente — no se necesita preconfiguración. Cuando un proveedor de nube lanza un nuevo servicio, este queda disponible automáticamente en la siguiente actualización del catálogo.

Arquitectura

                         MCP Protocol (stdio or Streamable HTTP)
                                       |
                         +-------------v--------------+
                         |      cloud-pilot-mcp       |
                         |                            |
    +--------------------+----------------------------+--------------------+
    |                    |                            |                    |
    |  +--------------+  |  +--------------+          |  +--------------+  |
    |  |   Persona    |  |  |    search    |          |  |   Safety     |  |
    |  +--------------+  |  +--------------+          |  |   + Audit    |  |
    |  | Sr. Cloud    |  |  | 51,900+ ops  |          |  +--------------+  |
    |  | Platform     |  |  |              |          |  | read-only    |  |
    |  | Engineer     |  |  | Tier 1:      |          |  | allowlists   |  |
    |  |              |  |  |  Catalog     |          |  | blocklists   |  |
    |  | 8 principles |  |  |  (1,289 svc) |          |  | 4-level      |  |
    |  | 6 prompts    |  |  | Tier 2:      |          |  |  dry-run     |  |
    |  | 4 provider   |  |  |  Op Index    |          |  | audit trail  |  |
    |  |   guides     |  |  | Tier 3:      |          |  | dryRunPolicy |  |
    |  |              |  |  |  Full Spec   |          |  | rate limit   |  |
    |  +--------------+  |  +--------------+          |  +--------------+  |
    |                    |                            |                    |
    |  +--------------+  |  +--------------+          |                    |
    |  |   execute    |  |  |    tofu      |          |                    |
    |  +--------------+  |  +--------------+          |                    |
    |  | VM sandbox   |  |  | OpenTofu     |          |                    |
    |  | Native SDK   |  |  | plan/apply   |          |                    |
    |  | calls        |  |  | destroy      |          |                    |
    |  |              |  |  | import       |          |                    |
    |  | Fast reads,  |  |  | State mgmt   |          |                    |
    |  | ad-hoc       |  |  | Drift detect |          |                    |
    |  | scripts      |  |  | Rollback     |          |                    |
    |  +--------------+  |  +--------------+          |                    |
    +--------------------+----------------------------+--------------------+
                         |    |         |         |
                +--------+    +---+     +---+     +--------+
                |                 |         |              |
           +----v-----+    +-----v---+  +--v-----+  +-----v------+
           |   AWS    |    |  Azure  |  |  GCP   |  |  Alibaba   |
           | Native   |    | ARM     |  | REST   |  | ACS3-HMAC  |
           | SDK v3   |    | Pipeline|  | + Auth |  | + fetch    |
           | 421 svcs |    | 240+    |  | 305    |  | 323 svcs   |
           +----------+    +---------+  +--------+  +------------+

Persona de Ingeniería en la Nube Integrada

Cuando cualquier agente de IA se conecta a cloud-pilot-mcp, el servidor moldea automáticamente el comportamiento del agente a través de cuatro capas:

Instrucciones del Servidor (entregadas siempre)

En cada conexión, el servidor envía instrucciones MCP que establecen al agente como un Ingeniero Senior de Plataforma en la Nube, Arquitecto de Seguridad y Especialista en DevOps con:

8 principios fundamentales: seguridad primero, Infraestructura como Código, minimización del radio de explosión, defensa en profundidad, conciencia de costos, excelencia operativa, Well-Architected Framework, alta disponibilidad por defecto
Estándares de comportamiento: buscar antes de ejecutar, verificar el estado antes de modificar, dry-run primero para operaciones de mutación, explicar el razonamiento, advertir sobre costos/riesgos, incluir monitoreo junto con los cambios
Conciencia de seguridad: entender y comunicar el modo actual (solo lectura/lectura-escritura/completo), respetar el registro de auditoría, usar dry-run

Las instrucciones se adaptan dinámicamente para incluir solo los proveedores configurados, sus modos, regiones y servicios permitidos.

Experiencia del Proveedor (bajo demanda vía Recursos MCP)

Guías de ingeniería profundas y específicas del proveedor (~1,500 palabras cada una) están disponibles como recursos MCP:

URI del Recurso	Contenido
`cloud-pilot://persona/overview`	Documento completo de la persona con todos los principios y resumen del proveedor
`cloud-pilot://persona/aws`	Diseño VPC/TGW, roles IAM, GuardDuty/SecurityHub, ciclo de vida S3, Graviton, anti-patrones
`cloud-pilot://persona/azure`	Zonas de aterrizaje, Entra ID/Identidad Administrada, WAN Virtual, Defender, Política, PIM
`cloud-pilot://persona/gcp`	VPC compartida, Federación de Identidad de Carga de Trabajo, GKE Autopilot, Controles de Servicio VPC
`cloud-pilot://persona/alibaba`	CEN, RAM/STS, ACK, Centro de Seguridad, específico de China (ICP, residencia de datos)
`cloud-pilot://safety/{provider}`	Modo de seguridad actual, servicios permitidos, acciones bloqueadas, configuración de auditoría

Los agentes obtienen esto bajo demanda — no añaden sobrecarga a las conexiones donde no son necesarios.

Prompts de Flujo de Trabajo (procedimientos estructurados de varios pasos)

Seis prompts MCP proporcionan flujos de trabajo opinados y de varios pasos que los agentes pueden invocar:

Prompt	Qué hace
`landing-zone`	Desplegar una zona de aterrizaje en la nube completa: estructura organizacional, identidad, redes, línea base de seguridad, monitoreo
`incident-response`	Ciclo de vida de incidentes de seguridad: contener, investigar, erradicar, recuperar, post-mortem
`cost-optimization`	Auditoría de costos completa: recursos inactivos, redimensionamiento, capacidad reservada, niveles de almacenamiento, costos de red
`security-audit`	Revisión de seguridad integral: IAM, red, cifrado, registro, cumplimiento, gestión de vulnerabilidades
`migration-assessment`	Planificación de migración de carga de trabajo: descubrimiento, estrategia 6R, arquitectura objetivo, olas de migración, corte
`well-architected-review`	Revisión del Well-Architected Framework en los 6 pilares con recomendaciones nativas del proveedor

Cada prompt acepta un argumento provider (con alcance dinámico a los proveedores configurados) y devuelve una guía estructurada que el agente sigue paso a paso usando search y execute.

Configuración de la Persona

La persona está habilitada por defecto. Personalízala o desactívala en config.yaml:

persona:
  enabled: true                 # Set false to disable all persona features
  # instructionsOverride: "..." # Replace default instructions with your own
  # additionalGuidance: "..."   # Append custom policies (e.g., "All resources must be tagged with CostCenter")
  enablePrompts: true           # Set false to disable workflow prompts
  enableResources: true         # Set false to disable persona resources

O mediante variable de entorno: CLOUD_PILOT_PERSONA_ENABLED=false

¿Por qué cloud-pilot?

Si eres un desarrollador con Claude Code o Cursor y tus propias credenciales de AWS, no necesitas esto — simplemente ejecuta comandos CLI de aws directamente. La IA ya conoce la sintaxis de la CLI y confías en ti mismo con acceso de administrador.

cloud-pilot existe para cuando lo que habla con tu nube no eres tú en una terminal. Es el plano de control entre agentes de IA no confiables o semi-confiables y tus cuentas en la nube.

Producto SaaS — Cloud Copilot para tus clientes

Construyes una plataforma donde los clientes conectan sus cuentas de AWS/Azure/GCP y sus equipos gestionan la infraestructura a través de una interfaz de chat. No puedes dar a la IA credenciales sin procesar — necesitas modo de solo lectura para ingenieros junior, lectura-escritura para seniors, un registro de auditoría completo para cumplimiento y listas de permitidos de servicios para que nadie toque accidentalmente bases de datos de producción. Cloud-pilot es el middleware que hace esto seguro.

Portal interno de DevOps

Tu empresa tiene 50 ingenieros. En lugar de dar a todos acceso a la consola de AWS con políticas IAM amplias, despliegas cloud-pilot detrás de una interfaz de chat interna. Los ingenieros preguntan "¿qué se está ejecutando en staging?" o "escala el servicio ECS". El MCP aplica quién puede leer vs escribir, registra cada acción y el equipo de infraestructura revisa el registro de auditoría. Un conjunto de credenciales, acceso controlado, visibilidad total.

Bot de respuesta a incidentes

Una alerta de PagerDuty se dispara a las 3am. Un agente automatizado se conecta a través de cloud-pilot, extrae métricas de CloudWatch, verifica el estado de la instancia EC2, obtiene eventos de CloudTrail y publica un resumen en Slack — todo en modo de solo lectura con un registro de auditoría completo. No se necesita humano para el triaje inicial. Sin riesgo de que el bot empeore las cosas porque no puede mutar nada.

Gestión multi-nube para firmas de consultoría

Una firma de consultoría gestiona AWS, Azure y GCP para diferentes clientes. Un servidor MCP por cliente, cada uno con credenciales obtenidas de Vault, listas de permitidos con alcance a su entorno y registros de auditoría separados. Los consultores usan cualquier herramienta de IA que prefieran — Claude, ChatGPT, Cursor — todos pasan por cloud-pilot. ¿El cliente cambia de proveedor? Reconfigura el MCP, el flujo de trabajo del agente no

Cloud Pilot MCP