qianwenai-observe

该片段是阿里云 RAM 权限策略和权限失败处理说明，不包含已发现的恶意代码或数据外传逻辑。主要安全风险来自 ecs:RunCommand 和 cms:InstallMonitoringAgent 的高影响主机操作能力，以及 Resource:* 导致的过宽授权。应限制资源范围、约束可执行命令和 agent 安装来源，并审查账单、RDS 慢 SQL 及内存快照数据的访问范围。