يساعد Lagune وكيل الذكاء الاصطناعي على جعل المشروع أكثر أمانًا. توجّهه إلى الكود، فيكتشف الوكيل ما يفعله نظامك فعلًا، ثم يرشدك خلال العمل الأمني المهم له. و Lagune أول مشروع في منهجية Security-Driven Hardening (SDH).
هل أعجبك Lagune؟ امنحنا ⭐ على GitHub
اختر وكيلك
- يعمل Lagune على Node.js في الخلفية، لكنك تستخدم أي لغة برمجة تريدها.
- للعمل دون اتصال بالإنترنت تمامًا، ثبّت Lagune في مشروعك عبر
npm i -D lagune@0.18.1.
الفئات
تأتي المعرفة الأمنية في Lagune على شكل تخصصات، مجمّعة في فئات.
npx lagune write add --categories owaspيبدأ المشروع بالفئة owasp، ثم يضيف الأمر /lagune-charter الفئات التي تدعمها قراءته للمشروع.
المتطلبات
ستحتاج إلى تثبيت Node.js (LTS) على نظامك.
استخدم شارة ✨
هل تستخدم Lagune؟ أضف شارة إلى ملف README:
- لونان
- لون واحد
التالي
اطّلع على ما تفعله كل مهارة من مهارات Lagune.
الأسئلة الشائعة
Lagune سير عمل أمني مفتوح المصدر، للدفاع فقط، يساعد وكيل الذكاء الاصطناعي على تحصين أي قاعدة كود. توجّهه إلى الكود، فيرصد ما يفعله نظامك فعلًا، ثم يوجّه إصلاحات الأمان المهمة في هذا السياق.
اختر وكيلك: يثبّت Claude Code و GitHub Copilot CLI و Muse Code و Antigravity CLI و Cursor و Kimi Code و OpenCode و Codex CLI و Factory Droid و Grok Build و Devin CLI و Hermes Agent أداة Lagune كإضافة، ويثبّته Gemini CLI و Qwen Code كامتداد، و Pi كحزمة، وأي وكيل آخر عبر npx skills add wellwelwel/lagune. يعمل مع المشاريع الجديدة والقائمة.
لا. يعمل عبر وكيل الذكاء الاصطناعي الخاص بك، لذلك لا يحتاج إلى أي مفتاح API.
تحتاج إلى تثبيت Node.js (LTS) على نظامك.
أي لغة. يعمل Lagune على Node.js في الخلفية، لكنه يدقّق المشاريع المكتوبة بأي لغة برمجة ويحصّنها.
مجلد .lagune/ يحفظ الحالة الأمنية لمشروعك، ينشئه أول أمر يكتب فيه. ويثبّت skills CLI أيضًا أوامر slash داخل المشروع، حيث يقرؤها وكيلك، بينما تُبقيها الإضافة داخل الوكيل.
بالطريقة نفسها التي ثبّته بها. تعرض صفحة التثبيت الخاصة بكل وكيل طريقة تحديث Lagune فيه، ويحدّثه skills CLI عبر npx skills update. ويبقى ميثاق الأمان ومُخرَجات المراحل وتخصصاتك الخاصة كما هي.
التخصصات المدمجة في فئاته، إضافة إلى تخصصاته الخاصة. يسجّل ميثاق الأمان الفئات التي تدعمها قراءته للمشروع، ويغيّرها الأمر npx lagune write add --categories.
لا. يحصّن الأمر /lagune العمل أثناء كتابته: يأخذ أي موجّه، ويبني ما طلبته، ويحصّنه بإعدادات افتراضية آمنة، مسترشدًا بميثاق الأمان. أما مسار الفريق الأزرق ذو المراحل الخمس فيدقّق ما هو موجود بالفعل.
نعم. يدقّق مسار الفريق الأزرق ذو المراحل الخمس ما هو موجود بالفعل: تضع مرحلة charter قواعد الأمان الخاصة بك، وترصد مرحلة detect ما يفعله النظام وأين تكمن المخاطر، وتقيّم مرحلة plan كل ملاحظة وتقرنها بإصلاح، وتطبّق مرحلة harden الإصلاحات، وتُثبت مرحلة verify أنها تصمد ثم تغلقها.
الوكيل الذي يقرأ الكود وحده يجد ما يبدو ثغرة ويتجاوز ما يبدو ضابطًا أمنيًا. قائمة العناوين المحظورة توحي بأن أحدًا تعامل مع الخطر بالفعل، فلا يتحقق أحد من أنها تُفلت معظمها، ويُشحن الكود. يقلب Lagune هذا الافتراض: الحماية الموجودة في الكود تُعدّ غير مُثبتة حتى تُفحص، وكل تخصص في الكتالوج يحصل على حكم صريح، وتسأل مرحلة verify هل زال الخطر، لا هل يوجد ضابط. وتبقى كل ملاحظة عنصرًا متتبَّعًا واحدًا عبر مرات التشغيل، فيمكن إثبات إغلاقها وإخراجها من السلسلة، بينما يمنحك الطلب العادي تقريرًا مختلفًا في كل مرة دون شيء تقارنه به.
طلب كود آمن يترك تعريف الأمان للوكيل، ويفترض أنك تعرف ما يجب أن تطلبه. وغالبًا ما يكون المتطلب موجودًا في طلبك دون أن يلاحظه أي منكما: طلب صفحة تعرض الدورات التي يملك المستخدم صلاحية الوصول إليها ينص على قاعدة تفويض، والفحص الذي لا يُكتب أبدًا لا يترك في الكود شيئًا يُلفت الانتباه. يحمّل الأمر /lagune ميثاق الأمان والتخصصات المطابقة لما سيُبنى قبل كتابة السطر الأول، ثم يعيد قراءة النتيجة مقابل الدفاع الذي استخدمه. نادرًا ما يكلّف الشكل الآمن أكثر من غير الآمن، فما يحسم النتيجة هو معرفة أيهما تختار، وهذا ما يصل مسبقًا.
لا. يقرأ Lagune الكود ولا يشغّل نظامك أبدًا ولا يرسل إليه طلبات مُصاغة عمدًا. تؤكد مرحلة verify أن الضابط موجود وصحيح في الكود المصدري، وهذا سؤال مختلف عن صموده أمام هجوم على نظام يعمل، لذلك فإن "cannot tell from the code" حكم مشروع وليس نجاحًا صامتًا. يجيب DAST عن سؤال وقت التشغيل ويجيب Lagune عن سؤال الكود المصدري، فلا يغني أحدهما عن الآخر. وحتى الأمر الاختياري prove يلتزم بهذا الحد: اختباراته تتحقق من السلوك الآمن، ولا تستخدم payload هجوميًا أبدًا.
لا، بالتأكيد لا! اختبار الاختراق مهمة مصرّح بها يمارس فيها محترف تقديره على نظامك الحي، فيربط الملاحظات ببعضها ويختبر منطق الأعمال الذي لا تصفه أي قاعدة خاصة بسطح بعينه. ويمكن أن تدخل ملاحظات اختبار الاختراق مسار الفريق الأزرق في Lagune كمصادر قلق تسلّمها لمرحلة detect، فيُخطَّط لما يبلّغ عنه المحترف ويُحصَّن ويُتحقق منه.
سياسة الأمان
اطّلع على SECURITY.md.
الترخيص
يُتاح Lagune بموجب Apache License 2.0.
حقوق النشر © 2026 حتى الآن، Weslley Araújo و المساهمون.