Lagune hjælper din AI-agent med at gøre et projekt mere sikkert. Du peger det mod din kode, og agenten finder ud af, hvad dit system rent faktisk gør, og guider dig derefter gennem det sikkerhedsarbejde, der betyder noget for det. Lagune er det første projekt i metoden Security-Driven Hardening (SDH).
Kan du lide Lagune? Giv os en ⭐ på GitHub
Vælg din agent
- Lagune kører på Node.js bag kulisserne, men du bruger det sprog, du vil.
- Hvis du vil køre helt offline, så installér Lagune i dit projekt med
npm i -D lagune@0.18.1.
Kategorier
Sikkerhedsviden i Lagune kommer som specialiseringer, grupperet i kategorier.
npx lagune write add --categories owaspEt projekt starter med owasp, og /lagune-charter tilføjer de kategorier, som dets læsning af projektet understøtter.
Krav
Du skal have Node.js (LTS) installeret på dit system.
Brug et badge ✨
Bruger du Lagune? Tilføj et til din README:
- To farver
- Ensfarvet
Næste trin
Se, hvad hver af Skills i Lagune gør.
Ofte stillede spørgsmål
Lagune er et open source og udelukkende defensivt sikkerhedsworkflow, der hjælper din AI-agent med at hærde enhver kodebase. Du peger det mod din kode, det finder ud af, hvad dit system rent faktisk gør, og guider derefter de sikkerhedsrettelser, der betyder noget i netop den kontekst.
Vælg din agent: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI og Hermes Agent installerer Lagune som et plugin, Gemini CLI og Qwen Code som en udvidelse, Pi som en pakke og alle andre agenter med npx skills add wellwelwel/lagune. Det virker i nye såvel som eksisterende projekter.
Nej. Det kører gennem din egen AI-agent, så der kræves ingen API-nøgler.
Du skal have Node.js (LTS) installeret på dit system.
Alle. Lagune kører på Node.js bag kulisserne, men det gennemgår og hærder projekter skrevet i ethvert programmeringssprog.
En mappe .lagune/ med dit projekts sikkerhedstilstand, oprettet af den første kommando, der skriver. CLI'en fra skills installerer også slash-kommandoerne i projektet, hvor din agent læser dem, mens et plugin holder dem inde i agenten.
På samme måde, som du installerede det. Installationssiden for hver agent viser, hvordan du opdaterer Lagune dér, og CLI'en fra skills opdaterer det med npx skills update. Dine sikkerhedsprincipper, faseartefakter og egne specialiseringer forbliver uberørte.
De indbyggede i dets kategorier plus dets egne. Charter registrerer de kategorier, som dets læsning af projektet understøtter, og npx lagune write add --categories ændrer dem.
Nej. Kommandoen /lagune hærder arbejdet, mens det bliver skrevet: den tager imod enhver prompt, bygger det, du bad om, og hærder det med sikre standardindstillinger, styret af sikkerhedsprincipperne. Blue Team-workflowet i fem faser gennemgår det, der allerede findes.
Ja. Blue Team-workflowet i fem faser gennemgår det, der allerede findes: charter fastlægger dine sikkerhedsregler, detect kortlægger, hvad systemet gør, og hvor risiciene er, plan vurderer hvert fund og parrer det med en rettelse, harden gennemfører rettelserne, og verify påviser, at de holder, og afslutter dem.
En agent, der læser på egen hånd, finder det, der ligner en sårbarhed, og springer det over, der ligner en kontrol. En liste over blokerede adresser ser ud, som om nogen allerede har håndteret risikoen, så ingen tjekker, at den overser de fleste af dem, og koden bliver udgivet. Lagune vender den standard om: en beskyttelse, der allerede står i koden, anses for ubevist, indtil den er tjekket, hver specialisering i kataloget får en udtrykkelig afgørelse, og verify spørger, om risikoen er væk, ikke om der er en kontrol. Hvert fund forbliver desuden ét sporet punkt på tværs af kørsler, så det kan påvises lukket og tages ud, hvor en almindelig forespørgsel giver dig en ny rapport hver gang uden noget at sammenligne med.
At bede om sikker kode overlader definitionen af sikker til agenten, og det forudsætter, at du ved, hvad du skal bede om. Kravet ligger som regel allerede i din forespørgsel, uden at nogen af jer ser det: at bede om en side, der viser de kurser, en bruger har adgang til, udtrykker en autorisationsregel, og et tjek, der aldrig bliver skrevet, efterlader intet i koden at lægge mærke til. Kommandoen /lagune indlæser dine sikkerhedsprincipper og de specialiseringer, der passer til det, der skal bygges, før den første linje bliver skrevet, og læser derefter resultatet igen op mod det forsvar, den brugte. Den sikre form koster sjældent mere end den usikre, så det, der afgør resultatet, er at vide, hvilken man skal gribe efter, og det er netop det, der er på plads fra starten.
Nej. Lagune læser kode og kører aldrig dit system eller sender det manipulerede forespørgsler. Verify bekræfter, at en kontrol findes og er korrekt i kildekoden, hvilket er et andet spørgsmål end, om den overlever et angreb mod et kørende mål, så "cannot tell from the code" er en legitim afgørelse i stedet for en stille godkendelse. DAST besvarer spørgsmålet om kørsel, og Lagune besvarer spørgsmålet om kildekoden, så ingen af dem erstatter den anden. Selv den valgfrie kommando prove holder den linje: dens tests bekræfter den sikre adfærd, aldrig en angrebspayload.
Nej, bestemt ikke! En pentest er en autoriseret opgave, hvor en professionel bruger sin dømmekraft mod dit kørende system, kæder fund sammen og afprøver den forretningslogik, som ingen regel pr. overflade beskriver. Fund fra en pentest kan komme ind i Blue Team-workflowet i Lagune som bekymringer, du giver til detect, så det, en professionel rapporterer, bliver planlagt, hærdet og verificeret.
Sikkerhedspolitik
Læs venligst SECURITY.md.
Licens
Lagune er udgivet under Apache License 2.0.
Copyright © 2026-nu Weslley Araújo og bidragydere.