Lagune आपके AI एजेंट को प्रोजेक्ट ज़्यादा सुरक्षित बनाने में मदद करता है। आप इसे अपने कोड पर चलाते हैं, एजेंट समझता है कि आपका सिस्टम असल में क्या करता है, और फिर आपको वह सुरक्षा का काम कराता है जो उस सिस्टम के लिए मायने रखता है। Lagune Security-Driven Hardening (SDH) पद्धति का पहला प्रोजेक्ट है।
Lagune पसंद आया? GitHub पर हमें एक ⭐ दें
अपना एजेंट चुनें
- Lagune अंदर से Node.js पर चलता है, लेकिन आप अपनी पसंद की कोई भी भाषा इस्तेमाल कर सकते हैं।
- पूरी तरह ऑफ़लाइन चलाने के लिए
npm i -D lagune@0.18.1से अपने प्रोजेक्ट में Lagune इंस्टॉल करें।
श्रेणियाँ
Lagune का सुरक्षा ज्ञान विशेषज्ञताओं के रूप में आता है, जो श्रेणियों में बँटी हैं।
npx lagune write add --categories owaspहर प्रोजेक्ट owasp श्रेणी से शुरू होता है, और /lagune-charter कमांड प्रोजेक्ट को पढ़कर वे श्रेणियाँ जोड़ती है जिनका आधार उसे प्रोजेक्ट में मिलता है।
ज़रूरतें
आपके सिस्टम पर Node.js (LTS) इंस्टॉल होना चाहिए।
बैज लगाएँ ✨
Lagune इस्तेमाल कर रहे हैं? अपनी README में एक बैज जोड़ें:
- दो रंग
- एक रंग
आगे क्या
देखें कि Lagune की हर स्किल क्या करती है।
अक्सर पूछे जाने वाले सवाल
Lagune एक ओपन सोर्स, केवल रक्षा के लिए बना सुरक्षा वर्कफ़्लो है, जो आपके AI एजेंट को किसी भी कोडबेस की सुरक्षा मज़बूत करने में मदद करता है। आप इसे अपने कोड पर चलाते हैं, यह पहचानता है कि आपका सिस्टम असल में क्या करता है, और फिर उस संदर्भ के लिए ज़रूरी सुरक्षा सुधारों में मार्गदर्शन करता है।
अपना एजेंट चुनें: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI और Hermes Agent में Lagune प्लगइन के रूप में इंस्टॉल होता है, Gemini CLI और Qwen Code में एक्सटेंशन के रूप में, Pi में पैकेज के रूप में, और बाकी किसी भी एजेंट में npx skills add wellwelwel/lagune से। यह नए और पुराने, दोनों तरह के प्रोजेक्ट में काम करता है।
नहीं। यह आपके अपने AI एजेंट के ज़रिए चलता है, इसलिए किसी API कुंजी की ज़रूरत नहीं है।
आपके सिस्टम पर Node.js (LTS) इंस्टॉल होना चाहिए।
सभी। Lagune अंदर से Node.js पर चलता है, लेकिन यह किसी भी प्रोग्रामिंग भाषा में लिखे प्रोजेक्ट का ऑडिट करता है और उसकी सुरक्षा मज़बूत करता है।
एक .lagune/ डायरेक्टरी, जिसमें आपके प्रोजेक्ट की सुरक्षा स्थिति रहती है। इसे वह पहली कमांड बनाती है जो कुछ लिखती है। skills CLI स्लैश कमांड भी प्रोजेक्ट में इंस्टॉल करता है, जहाँ से आपका एजेंट उन्हें पढ़ता है, जबकि प्लगइन उन्हें एजेंट के अंदर ही रखता है।
जैसे इंस्टॉल किया था, वैसे ही। हर एजेंट का इंस्टॉल पेज बताता है कि वहाँ Lagune को कैसे अपडेट करें, और skills CLI इसे npx skills update से अपडेट करता है। आपके सुरक्षा सिद्धांत, चरणों के आर्टिफ़ैक्ट और आपकी अपनी विशेषज्ञताएँ जैसी हैं वैसी ही रहती हैं।
उसकी श्रेणियों की बिल्ट-इन विशेषज्ञताएँ, और साथ में उसकी अपनी। charter चरण प्रोजेक्ट को पढ़कर वे श्रेणियाँ दर्ज करता है जिनका आधार उसे मिलता है, और npx lagune write add --categories से आप उन्हें बदल सकते हैं।
नहीं। /lagune कमांड काम लिखे जाते समय ही उसकी सुरक्षा मज़बूत करती है: यह कोई भी प्रॉम्प्ट लेती है, आपने जो माँगा वह बनाती है, और सुरक्षा सिद्धांतों के मार्गदर्शन में सुरक्षित डिफ़ॉल्ट के साथ उसे मज़बूत करती है। जो पहले से मौजूद है, उसका ऑडिट पाँच चरणों वाला Blue Team फ़्लो करता है।
हाँ। पाँच चरणों वाला Blue Team फ़्लो पहले से मौजूद कोड का ऑडिट करता है: charter आपके सुरक्षा नियम तय करता है, detect पहचानता है कि सिस्टम क्या करता है और जोखिम कहाँ हैं, plan हर निष्कर्ष को स्कोर देकर उसके साथ एक सुधार जोड़ता है, harden सुधार लागू करता है, और verify साबित करता है कि वे कारगर हैं, फिर उन्हें बंद करता है।
अपने आप कोड पढ़ने वाला एजेंट वह ढूँढ लेता है जो कमज़ोरी जैसा दिखता है, और जो नियंत्रण जैसा दिखता है उसे छोड़ देता है। ब्लॉक किए गए पतों की एक सूची देखकर लगता है कि किसी ने जोखिम पहले ही संभाल लिया है, इसलिए कोई नहीं जाँचता कि वह सूची ज़्यादातर पतों को छोड़ देती है, और कोड शिप हो जाता है। Lagune यह डिफ़ॉल्ट सोच उलट देता है: कोड में पहले से मौजूद कोई भी बचाव तब तक साबित नहीं माना जाता जब तक उसकी जाँच न हो जाए, कैटलॉग की हर विशेषज्ञता पर साफ़ फ़ैसला दिया जाता है, और verify चरण यह पूछता है कि जोखिम खत्म हुआ या नहीं, यह नहीं कि नियंत्रण मौजूद है या नहीं। हर निष्कर्ष कई रन के बाद भी एक ही ट्रैक किया गया आइटम रहता है, इसलिए उसे बंद हुआ साबित करके निपटाया जा सकता है, जबकि सीधे पूछने पर हर बार एक अलग रिपोर्ट मिलती है और तुलना करने को कुछ नहीं होता।
सिर्फ़ सुरक्षित कोड माँगने पर "सुरक्षित" का मतलब एजेंट तय करता है, और यह मान लिया जाता है कि आपको पता है क्या माँगना है। सुरक्षा की ज़रूरत अक्सर आपके अनुरोध में पहले से छिपी होती है, और न आप उसे देखते हैं न एजेंट: ऐसा पेज माँगना जो यूज़र को उसकी पहुँच वाले कोर्स दिखाए, अपने आप में एक ऑथराइज़ेशन नियम है, और जो जाँच कभी लिखी ही नहीं गई, उसका कोड में कोई निशान नहीं रहता जिस पर किसी की नज़र पड़े। /lagune कमांड पहली लाइन लिखे जाने से पहले आपके सुरक्षा सिद्धांत और जो बनने वाला है उससे मेल खाती विशेषज्ञताएँ लोड करती है, फिर नतीजे को उसी बचाव के आधार पर दोबारा पढ़ती है जिसका उसने इस्तेमाल किया। सुरक्षित तरीका असुरक्षित तरीके से शायद ही कभी महँगा पड़ता है, इसलिए नतीजा इस पर टिका है कि सही तरीका कौन-सा है, यह पता हो, और यही जानकारी शुरुआत में ही मिल जाती है।
नहीं। Lagune सिर्फ़ कोड पढ़ता है, आपका सिस्टम कभी नहीं चलाता और न उसे जान-बूझकर गढ़े गए अनुरोध भेजता है। verify चरण पुष्टि करता है कि सोर्स कोड में नियंत्रण मौजूद है और सही है, और यह इस सवाल से अलग है कि वह किसी लाइव सिस्टम पर हमले के सामने टिकता है या नहीं, इसलिए "cannot tell from the code" (कोड से तय नहीं हो सकता) चुपचाप पास कर देने के बजाय एक जायज़ फ़ैसला है। DAST रनटाइम वाले सवाल का जवाब देता है और Lagune सोर्स कोड वाले सवाल का, इसलिए कोई भी दूसरे की जगह नहीं लेता। वैकल्पिक prove कमांड भी इसी सीमा में रहती है: उसके टेस्ट सुरक्षित व्यवहार की जाँच करते हैं, कभी किसी हमले के पेलोड की नहीं।
नहीं, बिल्कुल नहीं! पेनटेस्ट एक अधिकृत काम है, जिसमें कोई पेशेवर आपके लाइव सिस्टम पर अपनी समझ से परखता है, निष्कर्षों को आपस में जोड़ता है और उस बिज़नेस लॉजिक की पड़ताल करता है जिसे अटैक सरफ़ेस के हिसाब से बना कोई नियम नहीं बताता। पेनटेस्ट के निष्कर्ष detect चरण को सौंपी गई चिंताओं के रूप में Lagune के Blue Team फ़्लो में आ सकते हैं, ताकि पेशेवर ने जो बताया उसकी योजना बने, उसकी सुरक्षा मज़बूत हो और उसका सत्यापन हो।
सुरक्षा नीति
कृपया SECURITY.md देखें।
लाइसेंस
Lagune Apache License 2.0 के तहत उपलब्ध है।
Copyright © 2026-present Weslley Araújo और योगदानकर्ता।