Zarządzanie kosztami chmury i FinOps z agentami kodującymi

Zarządzanie kosztami chmury z agentem to podłączenie Claude Code, Codex lub Cursora do serwera MCP rozliczeń tylko do odczytu (AWS Billing and Cost Management albo Vantage dla wielu chmur). Agent wyjaśnia wzrost rachunku, szereguje kandydatów do right-sizingu według ryzyka i szkicuje zmianę w Terraformie. Weryfikują to Cost Explorer i terraform plan; każdą zmianę zatwierdza człowiek.

Ta strona jest dla programisty albo tech leada, który odpowiada za rachunek chmurowy swojej usługi. Finanse pytają, czemu koszty skoczyły w tym miesiącu, nikt nie pamięta, żeby coś uruchamiał, a wzrost siedzi w nieotagowanej pozycji EC2-Other. W konsoli każde pytanie to kilkanaście kliknięć. Potrzebujesz uporządkowanej historii z dowodami i zmiany, którą można bezpiecznie scalić (merge).

Strona dotyczy wydatków na infrastrukturę chmurową. Koszty samych agentów kodujących opisuje strona zarządzanie kosztami użycia AI.

Co daje pętla FinOps prowadzona przez agenta

• Konfigurację serwera MCP z danymi rozliczeniowymi tylko do odczytu dla Claude Code, Codex i Cursora oraz rolę IAM, która nie może zmienić żadnego zasobu.
• Sześć promptów do skopiowania: główne źródła kosztów, nieotagowane wydatki, analiza anomalii, right-sizing w Terraformie, prognoza na kwartał i przewymiarowane deploymenty w Kubernetesie.
• Procedurę weryfikacji, która porównuje liczby agenta z Cost Explorer bez czytania jego analizy linijka po linijce.
• Listę typowych pułapek: złe konto, okno obserwacji z okresu niskiego ruchu, brakujące tagi i agent z prawem zapisu.

Który serwer MCP do rozliczeń podłączyć?

Wybierz najwęższy serwer, który odpowiada na twoje pytania o koszty. Ogólny serwer chmurowy z narzędziami zapisu to zły domyślny wybór do pracy FinOps.

Twoje wydatki	Serwer	Transport i uwierzytelnianie	Dlaczego ten
Tylko AWS	awslabs.billing-cost-management-mcp-server (PyPI 0.0.39, sprawdzone 2026-09-26)	stdio przez uvx, twój AWS_PROFILE	Cost Explorer, prognozy, Cost Anomaly Detection, Budgets, Compute Optimizer, Cost Optimization Hub, Savings Plans i tagi alokacji kosztów w jednym serwerze
AWS, Azure, GCP, Kubernetes i SaaS	Vantage MCP	Hostowany https://mcp.vantage.sh/mcp z OAuth albo npx -y vantage-mcp-server z VANTAGE_TOKEN	Jeden znormalizowany widok wielu dostawców, jeśli twoja firma już korzysta z Vantage
Szersza praca z AWS (runtime’y Lambdy, dryf)	AWS MCP Server przez Agent Toolkit for AWS	Proxy SigV4 przez uvx	Ogólny serwer rekomendowany przez AWS. Konfiguracja: serwery MCP chmur i platform

Jeśli nie chcesz trzymać stale podłączonego serwera, plugin aws-core z Agent Toolkit for AWS zawiera też skill aws-billing-and-cost-management. Obejmuje analizę kosztów, Savings Plans i Reserved Instances, right-sizing z Compute Optimizer, anomalie i zapytania CUR przez Athenę, a sprawdza się przy prowadzonym przeglądzie kosztów; instalację opisuje strona serwery MCP chmur i platform. W obu przypadkach kontrolą jest rola IAM tylko do odczytu opisana niżej.

W wersji 0.0.39 (sprawdzone 2026-09-26) narzędzia serwera rozliczeń AWS czytają i analizują; żadne nie zmienia rozmiaru zasobu ani go nie usuwa (zapytania Storage Lens zapisują jednak wyniki Athena do S3). Wymuś to przez IAM, zamiast ufać liście narzędzi. Serwer Vantage potrafi też tworzyć obiekty w Vantage, np. raporty, więc odpowiednio ogranicz jego token.

Skonfiguruj dostęp do kosztów tylko do odczytu

Dopiero zaczynasz z MCP? Zacznij od strony podstawowe serwery MCP.

1. Utwórz rolę rozliczeniową tylko do odczytu. Dołącz politykę z samymi akcjami odczytu: ce:Get*, ce:Describe*, ce:List*, compute-optimizer:Get*, cost-optimization-hub:Get*, cost-optimization-hub:List*, savingsplans:Describe*, pricing:Get*, pricing:Describe*, budgets:ViewBudget i budgets:DescribeBudgetActionsFor*. Narzędzia generujące rekomendacje Savings Plans i analizę zobowiązań potrzebują też ce:StartSavingsPlansPurchaseRecommendationGeneration i ce:StartCommitmentPurchaseAnalysis. Te akcje uruchamiają zadanie rekomendacji i nie zmieniają żadnego zasobu, ale nie są akcjami Get, więc pomiń je, jeśli nie używasz tych narzędzi. README serwera wymienia dokładne akcje dla każdego narzędzia. Nadaj profilowi nazwę, np. finops-readonly, w ~/.aws/config.

2. Sprawdź tożsamość, zanim zobaczy ją agent. W terminalu uruchom:

   aws sts get-caller-identity --profile finops-readonly

   Jeśli chcesz widzieć koszty całej organizacji, ID konta musi należeć do konta płatnika (management account). Konto członkowskie widzi tylko własne koszty.

3. Zainstaluj uv według instrukcji Astral. Serwer działa przez uvx.

4. Zarejestruj serwer. Definicja jest taka sama w każdym narzędziu; różni się tylko plik albo komenda.

   Claude Code

   claude mcp add aws-billing \
     -e AWS_PROFILE=finops-readonly -e AWS_REGION=us-east-1 -e FASTMCP_LOG_LEVEL=ERROR \
     -- uvx awslabs.billing-cost-management-mcp-server@latest

   Domyślny zakres to local, więc nazwa profilu nie trafia do repozytorium. Połączenie sprawdzisz przez claude mcp list albo /mcp w sesji.

   Codex

   codex mcp add aws-billing \
     --env AWS_PROFILE=finops-readonly --env AWS_REGION=us-east-1 --env FASTMCP_LOG_LEVEL=ERROR \
     -- uvx awslabs.billing-cost-management-mcp-server@latest

   Komenda dopisuje tabelę [mcp_servers.aws-billing] do ~/.codex/config.toml. Sprawdzisz ją przez codex mcp list.

   Cursor

   Dodaj serwer do .cursor/mcp.json w projekcie albo do ~/.cursor/mcp.json dla wszystkich projektów:

   {
     "mcpServers": {
       "aws-billing": {
         "command": "uvx",
         "args": ["awslabs.billing-cost-management-mcp-server@latest"],
         "env": {
           "AWS_PROFILE": "finops-readonly",
           "AWS_REGION": "us-east-1",
           "FASTMCP_LOG_LEVEL": "ERROR"
         }
       }
     }
   }

   Włącz go w ustawieniach MCP Cursora i przed pierwszym promptem sprawdź, czy narzędzia rozliczeniowe są na liście.

5. Dodaj Vantage, jeśli masz więcej niż jedną chmurę. Serwer hostowany loguje cię przez przeglądarkę, więc żaden token nie leży w pliku konfiguracyjnym:

   # Claude Code: potem uruchom /mcp w sesji, żeby dokończyć OAuth
   claude mcp add --transport http vantage https://mcp.vantage.sh/mcp
   # Codex: uruchom `codex mcp login vantage`, jeśli poprosi o uwierzytelnienie
   codex mcp add vantage --url https://mcp.vantage.sh/mcp

   W Cursorze dodaj "vantage": { "url": "https://mcp.vantage.sh/mcp" } w sekcji mcpServers.

Dlaczego rola musi być tylko do odczytu

Każdy prompt poniżej każe agentowi nie wprowadzać zmian, ale prompt nie jest mechanizmem kontroli. Claude Code v2.1.283 (kanał latest) uruchamia sesje interaktywne w trybie auto, w którym akcje zatwierdza klasyfikator. To rola IAM bez prawa zapisu sprawia, że „nie wprowadzaj zmian” jest prawdą. W lutym 2026 roku Engadget, powołując się na Financial Times, podał, że agent Kiro od Amazona postanowił „delete and recreate the environment” i spowodował 13-godzinną awarię Cost Explorer w jednym regionie; Amazon nazwał to „user error — specifically misconfigured access controls — not AI”. To doniesienie wtórne i sporne, ale wniosek jest ten sam niezależnie od winnego: ogranicz uprawnienia.

Wyjaśnij rachunek: które usługi urosły i dlaczego?

Sesje analityczne uruchamiaj w trybie, który nie pozwala edytować plików, żeby agent tylko czytał i raportował.

Claude Code

Uruchom claude --permission-mode plan albo naciskaj Shift+Tab, aż pojawi się tryb plan. Claude może wywoływać narzędzia rozliczeniowe i opisać wnioski, ale proponuje zamiast edytować. Claude może pytać przed każdym wywołaniem narzędzia MCP; zatwierdź narzędzia rozliczeniowe tylko do odczytu albo dodaj je do permissions.allow.

Codex

Uruchom codex -c default_permissions=":read-only" (profile uprawnień są w wersji beta w Codex CLI 0.157.1). Sandbox ogranicza polecenia powłoki, nie wywołania MCP (sprawdzone w Codex CLI 0.157.1), więc prawdziwą granicą pozostaje rola IAM.

Cursor

Na czas analizy przełącz agenta w Plan Mode. Do trybu Agent przejdź dopiero przy zmianie w Terraformie, opisanej niżej.

Następnie zadaj pytanie z nazwaną metryką, oknem czasu, grupowaniem i kształtem wyniku:

Prompt do skopiowania: uszereguj źródła kosztów

Use the aws-billing MCP server. Compare UnblendedCost for the last full calendar
month against the month before, grouped by SERVICE, at MONTHLY granularity.
1. Table: top 10 services by spend, amount, percent of total, and change in
   dollars and percent versus the prior month.
2. For every service that grew more than 15% and more than $200, call the cost
   comparison drivers tool and name the driver: usage type, region, linked
   account, or a new resource.
3. State the grand total you summed and the exact time period you queried, so I
   can reconcile it against Cost Explorer.
Read only. Do not propose changes yet.

Ostatni numerowany punkt sprawia, że wynik da się sprawdzić. Porównujesz jedną sumę, a nie dziesięć wierszy (zobacz jak udowodnić, że liczby się zgadzają).

Kolejne pytanie to zwykle nieotagowane wydatki, bo duży nieotagowany koszyk to najczęstszy powód, dla którego nikt nie umie wyjaśnić rachunku:

Prompt do skopiowania: znajdź nieotagowane wydatki

Using the aws-billing MCP server, break last month's UnblendedCost down by the
cost allocation tag `team`, including resources with no `team` tag. Show the
untagged total and its share of the bill, the top five services inside the
untagged bucket, and the linked accounts they sit in. Then list cost allocation
tags whose status is Inactive, so I know which to activate. Read only.

Aktywacja tagu działa od chwili włączenia, a nie wstecz, chyba że zlecisz backfill. Licz się z tym, że raport z bieżącego miesiąca pozostanie częściowo nieotagowany nawet po poprawieniu tagów.

Przeanalizuj anomalię bez budzenia całego zespołu

Jeśli masz włączone AWS Cost Anomaly Detection, serwer może czytać jego wyniki. Niech detektor decyduje, co jest anomalią, a agent ją wyjaśnia; agent wymyślający własne progi da inną odpowiedź przy każdym uruchomieniu. Wersjonowane reguły alertów testowane na danych historycznych opisuje strona deterministyczne wykrywanie anomalii.

Prompt do skopiowania: wyjaśnij anomalie kosztów z tego tygodnia

Use the aws-billing MCP server to list Cost Anomaly Detection anomalies from the
last 7 days with an impact above $50. For each one, give the service, account,
region, usage type, total impact, and the root causes the detector reports.
Then check the git log of this repository for infrastructure changes in the two
days before the anomaly started, and tell me whether a commit plausibly explains
it. Label each anomaly EXPLAINED (cite the commit) or UNEXPLAINED. Read only.

Zamień rekomendację right-sizingu w zrecenzowaną zmianę

Kandydatów dostarczają Compute Optimizer i Cost Optimization Hub; zadaniem agenta jest je uszeregować, dopisać ryzyko i zmienić kod infrastruktury, a nie działający zasób. Sam proces recenzji IaC opisuje strona infrastruktura jako kod z AI.

Prompt do skopiowania: right-sizing jednej usługi w Terraformie

Use the aws-billing MCP server to get Compute Optimizer EC2 and RDS
recommendations and Cost Optimization Hub recommendations for resources tagged
service=checkout. Rank them by estimated monthly savings. For each, state the
lookback window, current and recommended type, and peak (not average) CPU and
memory utilisation.
Skip anything whose peak utilisation after the change would exceed 70%.
For the top recommendation only: find the resource in infra/, change its
instance type, add a comment with today's date and the Compute Optimizer finding,
and run `terraform plan -out=rightsize.tfplan`. Show me the plan summary.
Do not run terraform apply.

Sposób prowadzenia edycji różni się między narzędziami:

Claude Code

Tylko na ten prompt wyjdź z trybu plan (Shift+Tab do acceptEdits). Claude zapyta przed uruchomieniem terraform plan, chyba że dopuściłeś tę komendę w .claude/settings.json. terraform apply trzymaj poza listą dozwolonych.

Codex

Uruchom codex -c default_permissions=":workspace" -a on-request (profile uprawnień są w wersji beta w 0.157.1). Profil workspace pozwala Codeksowi edytować pliki Terraform, a terraform plan nadal potrzebuje sieci i poświadczeń providera, więc trafia do ciebie jako prośba o zgodę: przeczytaj ją, zanim ją zatwierdzisz.

Cursor

Przełącz się w tryb Agent i wskaż plik Terraform przez @. Przejrzyj diff pokazany przez Cursora, zanim go zaakceptujesz, i trzymaj zmianę na osobnej gałęzi, żeby móc ją odrzucić, jeśli plan wygląda źle.

Dalej zmiana idzie zwykłym potokiem: pull request, terraform plan w CI i zatwierdzenie przez właściciela usługi. Zakupy Savings Plans i Reserved Instances nigdy nie przechodzą przez agenta. To zobowiązania finansowe na rok lub trzy lata, więc agent szkicuje rekomendację, a podpisują ją finanse.

Tryby zatwierdzania i sandboksy obok siebie znajdziesz na stronie uprawnienia, sandboksy i tryby zatwierdzania.

Prognozuj wydatki na kolejny kwartał i porównaj je z budżetami

Płaska projekcja „tyle samo co w zeszłym miesiącu” zawodzi przy każdej usłudze z sezonowością. Użyj prognozy samego Cost Explorer, która zawiera przedział predykcji, i niech agent zestawi ją z budżetami:

Prompt do skopiowania: prognoza a budżety

Use the aws-billing MCP server to get the Cost Explorer forecast of
UnblendedCost for the next 90 days at MONTHLY granularity, with the 80%
prediction interval. List our AWS Budgets and their limits. Tell me which
budgets the forecast's upper bound would exceed, in which month and by how much,
and which service drives the overage. Keep the forecast figures exactly as the
tool returns them; do not adjust them.

Prognozy dziedziczą jakość tagów. Jeśli ćwierć rachunku jest nieotagowana, każda liczba per zespół jest szacunkiem; najpierw popraw pokrycie tagami.

Zautomatyzuj cotygodniowy raport skryptem

W raporcie cyklicznym licz liczby w kodzie, a modelowi zostaw tylko ich objaśnienie. Różnice są wtedy deterministyczne i testowalne, a model nie może się pomylić w rachunkach.

// weekly-cost-report.mts: run with `npx tsx weekly-cost-report.mts`
// (.mts makes tsx emit ESM, which the top-level await below needs)
import { CostExplorer } from '@aws-sdk/client-cost-explorer';
import Anthropic from '@anthropic-ai/sdk';

const ce = new CostExplorer({ region: 'us-east-1' }); // uses AWS_PROFILE
const anthropic = new Anthropic(); // reads ANTHROPIC_API_KEY from the environment

const day = (offset: number) => new Date(Date.now() - offset * 864e5).toISOString().slice(0, 10);
async function byService(start: string, end: string): Promise<Map<string, number>> {
  const { ResultsByTime = [] } = await ce.getCostAndUsage({
    TimePeriod: { Start: start, End: end },
    Granularity: 'MONTHLY',
    Metrics: ['UnblendedCost'],
    GroupBy: [{ Type: 'DIMENSION', Key: 'SERVICE' }],
  });
  const totals = new Map<string, number>();
  for (const period of ResultsByTime) {
    for (const g of period.Groups ?? []) {
      const name = g.Keys?.[0] ?? 'unknown';
      totals.set(name, (totals.get(name) ?? 0) + Number(g.Metrics?.UnblendedCost?.Amount ?? 0));
    }
  }
  return totals;
}

// Skip the last two days: Cost Explorer data for today and yesterday is still incomplete.
const [current, previous] = await Promise.all([byService(day(9), day(2)), byService(day(16), day(9))]);
const movers = [...current]
  .map(([service, cost]) => ({ service, cost, delta: cost - (previous.get(service) ?? 0) }))
  .sort((a, b) => b.delta - a.delta)
  .slice(0, 5);

const msg = await anthropic.messages.create({
  model: 'claude-opus-5-5',
  max_tokens: 4000, // Opus 5.5 always thinks, and thinking tokens count against this limit
  messages: [{
    role: 'user',
    content: `These are the five AWS services whose cost grew most this week versus last week, as JSON.
Write a five-line summary for the engineering channel. Use the numbers exactly as given; do not compute new ones.
${JSON.stringify(movers)}`,
  }],
});
for (const block of msg.content) if (block.type === 'text') console.log(block.text);

claude-opus-5-5 to model, od którego Anthropic zaleca zacząć (i domyślny model Claude Code od v2.1.280, w kanale latest); do tak krótkiego podsumowania wystarczy tańszy model, a ceny znajdziesz w przeglądzie modeli. ANTHROPIC_API_KEY trzymaj w magazynie sekretów harmonogramu, nigdy w skrypcie. API Budgets jest w osobnym pakiecie, @aws-sdk/client-budgets.

Koszty Kubernetesa: requests a faktyczne zużycie

Gdy wydatki siedzą w klastrze, marnotrawstwo zwykle kryje się w requests kontenerów znacznie powyżej faktycznego zużycia. Podłącz serwer MCP dla Kubernetesa w trybie tylko do odczytu; konfigurację i ustawienie read_only = true w TOML opisuje strona serwery MCP dla infrastruktury. Serwer widzi bieżące zużycie z metrics API, a nie historię, więc cięcie requestów na podstawie jednego popołudnia to zgadywanie. Połącz go z danymi z Prometheusa, żeby mieć p95 z co najmniej tygodnia.

Prompt do skopiowania: znajdź przewymiarowane deploymenty

Use the Kubernetes MCP server, read only, on the `production` namespace. For each
Deployment, list CPU and memory requests and limits and the current usage of its
pods. Flag deployments whose requests exceed current usage by more than 3x, and
any container with no memory limit. Do not change anything. Output a table, and
for each flagged deployment tell me which Prometheus query would give its p95
usage over 14 days so I can confirm before I edit the manifest.

Jak udowodnić, że liczby kosztów od agenta są poprawne?

Nie czytasz analizy ponownie. Sprawdzasz kilka liczb, od których zależy reszta, a zmianę weryfikują istniejące bramki.

Co sprawdzić	Jak	Kto zatwierdza
Sumy rachunku	Uruchom to samo zapytanie samodzielnie i porównaj jedną sumę całkowitą, o którą prosił prompt: aws ce get-cost-and-usage --time-period Start=2026-08-01,End=2026-09-01 --granularity MONTHLY --metrics UnblendedCost --group-by Type=DIMENSION,Key=SERVICE --profile finops-readonly (podmień daty na okres podany przez agenta). Rozbieżność oznacza, że agent pytał o inny okres, konto lub metrykę.	Ty
Każda rekomendacja jest prawdziwa	Każdy wiersz musi wskazywać ARN lub ID zasobu i wynik z Compute Optimizer albo Cost Optimization Hub. Sprawdź wyrywkowo jeden przez aws compute-optimizer get-ec2-instance-recommendations --instance-arns INSTANCE_ARN. INSTANCE_ARN to ARN z wiersza agenta. Odrzuć wiersze bez źródła.	Ty
Zmiana robi tylko to, co deklaruje	terraform plan w CI pokazuje jedną zmianę atrybutu na zasób i żadnych nieoczekiwanych zastąpień. Linia forces replacement przy bazie danych oznacza stop.	Właściciel usługi, w pull requeście
Produkcja to przeżyje	Przez siedem dni po zmianie obserwuj opóźnienia, odsetek błędów i throttling względem SLO usługi, z zapisanym poprzednim typem instancji na wypadek wycofania. Zobacz monitoring i obserwowalność.	Dyżurny
Oszczędność naprawdę wystąpiła	W kolejnym miesiącu uruchom ponownie prompt o źródłach kosztów i porównaj koszt usługi z szacunkiem z pull requesta.	Tech lead

Co się psuje, gdy agent analizuje koszty chmury?

1. Każde zapytanie zwraca pusty wynik albo błąd dostępu. Profil wskazuje złe konto, rola nie ma ce:Get* albo Cost Explorer nigdy nie został włączony w konsoli rozliczeń. Uruchom aws sts get-caller-identity --profile finops-readonly, popraw politykę, włącz Cost Explorer i zrestartuj agenta, żeby ponownie uruchomił serwer.

2. Serwer w ogóle nie startuje. uvx nie jest w PATH widocznym dla procesu agenta, co często się zdarza, gdy agent startuje z aplikacji desktopowej. Uruchom uvx awslabs.billing-cost-management-mcp-server@latest w terminalu: serwer powinien wystartować i czekać na stdin. Potem zrestartuj narzędzie albo wpisz bezwzględną ścieżkę do uvx jako command.

3. Liczby nie zgadzają się z konsolą. Dane Cost Explorer nie są w czasie rzeczywistym, więc wydatki z dziś i wczoraj mogą być niepełne. Agent mógł też użyć BlendedCost lub AmortizedCost albo konta członkowskiego zamiast płatnika. Poproś go o podanie metryki, okresu i konta, a potem uruchom zapytanie ponownie.

4. Rośnie rachunek za samą analizę. Zapytania do API Cost Explorer są płatne za każde żądanie, a agent iterujący po dziennych danych każdej usługi potrafi wysłać ich setki. Zacznij od granulacji miesięcznej, schodź do dziennej tylko przy usługach, które urosły, i nie podpinaj serwera rozliczeń do pętli działającej bez nadzoru.

5. Po right-sizingu pojawia się throttling. Rekomendacja pochodziła z okna obserwacji o niskim ruchu albo ze średniego, a nie szczytowego wykorzystania. Przywróć zapisany typ instancji tym samym potokiem, a potem uruchom prompt right-sizingu z oknem obejmującym miesięczny szczyt.

6. Alokacja per zespół jest błędna. Brakuje tagów albo aktywowano je w połowie miesiąca. Traktuj liczby per zespół jako szacunki, dopóki pokrycie tagami nie będzie wysokie, i uruchamiaj prompt o nieotagowanych wydatkach po każdej zmianie tagowania.

7. Agent powołuje się na serwer lub narzędzie, które nie istnieje. Prompt wskazujący nieskonfigurowany serwer nic nie robi, a agent może wypełnić lukę wiarygodnie wyglądającymi liczbami. Używaj dokładnej nazwy serwera z claude mcp list lub codex mcp list i odrzucaj każdą liczbę, której nie da się odtworzyć procedurą z tabeli weryfikacji.

Dokąd dalej z kosztami chmury

• Serwery MCP chmur i platform: tożsamości tylko do odczytu dla AWS, Azure i Google Cloud poza rozliczeniami.
• Infrastruktura jako kod z AI: recenzja i wdrożenie zmiany w Terraformie, którą tworzy ta strona.
• Deterministyczne wykrywanie anomalii: zamień alerty kosztowe w wersjonowane reguły z diagnozą agenta o ograniczonym zakresie.
• Zarządzanie kosztami użycia AI: drugi rachunek, za same Claude Code, Codex i Cursora.
• DevOps z AI: reszta etapu eksploatacji.