Lagune membantu agen AI Anda membuat proyek lebih aman. Anda cukup mengarahkannya ke kode Anda, lalu agen mencari tahu apa yang sebenarnya dilakukan sistem Anda dan memandu Anda menjalankan pekerjaan keamanan yang penting bagi sistem tersebut. Lagune adalah proyek pertama dari metodologi Security-Driven Hardening (SDH).

Dukung open source

Suka Lagune? Beri kami ⭐ di GitHub

Pilih agen Anda

Claude CodeTool coding agentic dari AnthropicCodexAgen coding dari OpenAICursorEditor kode berbasis AIGitHub CopilotPair programmer AI dari GitHubGemini CLIAgen terminal open source dari GoogleAntigravityPlatform pengembangan agentic dari GoogleOpenCodeAgen coding open sourceDevin for TerminalAgen terminal dari CognitionFactory DroidAgen pengembangan perangkat lunak dari FactoryGrok BuildAgen coding dari xAIQwen CodeAgen coding terminal dari QwenKimi CodeAgen coding dari Moonshot AIMuse CodeAgen coding dari MetaPiAgen coding minimalis untuk terminalHermes AgentAgen open source dari Nous ResearchUniversalCline, Kiro CLI, Windsurf, Zed dan 66 lainnya

info

• Di balik layar, Lagune berjalan di Node.js, tetapi Anda bebas memakai bahasa apa pun.
• Untuk menjalankannya sepenuhnya offline, instal Lagune di proyek Anda dengan npm i -D lagune@0.18.1.

Kategori

Pengetahuan keamanan Lagune hadir dalam bentuk spesialisasi, yang dikelompokkan ke dalam kategori.

Pilih kategoriOpsional

Jalankan perintah ini

$npx lagune write add --categories owasp

tip

Setiap proyek dimulai dengan owasp, lalu perintah /lagune-charter menambahkan kategori yang didukung oleh hasil pembacaannya atas proyek tersebut.

Persyaratan

Node.js (LTS) harus sudah terinstal di sistem Anda.

Gunakan badge ✨

Memakai Lagune? Tambahkan salah satunya ke README Anda:

Dua warna

Solid

Selanjutnya

Lihat apa yang dilakukan setiap skill milik Lagune.

Pertanyaan yang sering diajukan

Lagune adalah alur kerja keamanan open source yang khusus pertahanan, yang membantu agen AI Anda memperkuat keamanan basis kode apa pun. Anda mengarahkannya ke kode Anda, Lagune mendeteksi apa yang sebenarnya dilakukan sistem Anda, lalu memandu perbaikan keamanan yang penting untuk konteks tersebut.

Pilih agen Anda: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI, dan Hermes Agent menginstal Lagune sebagai plugin, Gemini CLI dan Qwen Code sebagai ekstensi, Pi sebagai paket, dan agen lain mana pun dengan npx skills add wellwelwel/lagune. Lagune bekerja di proyek baru maupun lama.

Tidak. Lagune berjalan melalui agen AI Anda sendiri, jadi tidak perlu kunci API.

Node.js (LTS) harus sudah terinstal di sistem Anda.

Semua. Di balik layar, Lagune berjalan di Node.js, tetapi Lagune mengaudit dan memperkuat keamanan proyek yang ditulis dalam bahasa pemrograman apa pun.

Direktori .lagune/ yang berisi status keamanan proyek Anda, dibuat oleh perintah pertama yang menulis sesuatu. Selain itu, skills CLI menginstal perintah slash di proyek, tempat agen Anda membacanya, sedangkan plugin menyimpannya di dalam agen.

Sama seperti saat Anda menginstalnya. Halaman instalasi setiap agen menunjukkan cara memperbarui Lagune di agen tersebut, dan skills CLI memperbaruinya dengan npx skills update. Charter, artefak fase, dan spesialisasi milik Anda sendiri tetap utuh.

Spesialisasi bawaan dari kategorinya, ditambah spesialisasi milik proyek itu sendiri. Charter mencatat kategori yang didukung oleh hasil pembacaannya atas proyek, dan npx lagune write add --categories mengubahnya.

Tidak. Perintah /lagune memperkuat keamanan pekerjaan Anda selagi ditulis: perintah ini menerima prompt apa pun, membangun apa yang Anda minta, lalu memperkuatnya dengan default yang aman, dipandu oleh charter. Alur Blue Team lima fase mengaudit apa yang sudah ada.

Bisa. Alur Blue Team lima fase mengaudit apa yang sudah ada: charter menetapkan aturan keamanan Anda, detect memetakan apa yang dilakukan sistem dan di mana risikonya, plan memberi skor setiap temuan dan memasangkannya dengan perbaikan, harden menerapkan perbaikan, dan verify membuktikan perbaikan tersebut tetap efektif lalu menutupnya.

Agen yang membaca kode sendiri akan menemukan apa yang tampak seperti kerentanan dan melewatkan apa yang tampak seperti kontrol. Daftar alamat yang diblokir terlihat seolah risikonya sudah ditangani, sehingga tidak ada yang memeriksa bahwa daftar itu melewatkan sebagian besar alamat, dan kodenya pun dirilis. Lagune membalik kebiasaan itu: pengaman yang sudah ada di kode dianggap belum terbukti sampai diperiksa, setiap spesialisasi di katalog mendapat putusan yang eksplisit, dan verify menanyakan apakah risikonya sudah hilang, bukan apakah kontrolnya ada. Setiap temuan juga tetap menjadi satu item yang dilacak dari satu eksekusi ke eksekusi berikutnya, sehingga bisa dibuktikan tuntas lalu ditutup, sedangkan permintaan biasa memberi Anda laporan yang berbeda setiap kali tanpa ada yang bisa dibandingkan.

Meminta kode yang aman berarti menyerahkan arti aman kepada agen, dan mengandaikan Anda tahu apa yang harus diminta. Persyaratannya biasanya sudah ada di dalam permintaan Anda tanpa disadari oleh Anda maupun agen: meminta halaman yang menampilkan kursus yang boleh diakses seorang pengguna sudah menyatakan sebuah aturan otorisasi, dan pemeriksaan yang tidak pernah ditulis tidak meninggalkan apa pun di kode untuk disadari. Perintah /lagune memuat charter Anda dan spesialisasi yang cocok dengan apa yang akan dibangun sebelum baris pertama ditulis, lalu membaca ulang hasilnya berdasarkan pertahanan yang dipakainya. Bentuk yang aman jarang lebih mahal daripada yang tidak aman, jadi yang menentukan hasilnya adalah mengetahui mana yang harus dipilih, dan justru itulah yang tersedia sejak awal.

Tidak. Lagune membaca kode dan tidak pernah menjalankan sistem Anda atau mengirim request yang sengaja dirancang ke sistem tersebut. Verify memastikan sebuah kontrol ada dan benar di kode sumber, dan itu pertanyaan yang berbeda dari apakah kontrol tersebut tahan terhadap serangan pada target yang sedang berjalan, sehingga "cannot tell from the code" adalah putusan yang sah, bukan sekadar diloloskan diam-diam. DAST menjawab pertanyaan saat runtime dan Lagune menjawab pertanyaan di kode sumber, jadi keduanya tidak saling menggantikan. Bahkan perintah prove yang opsional pun memegang batas ini: tesnya memastikan perilaku yang aman, tidak pernah memakai payload serangan.

Tidak, sama sekali tidak! Pentest adalah penugasan resmi yang diizinkan, ketika seorang profesional menggunakan penilaiannya sendiri terhadap sistem Anda yang sedang berjalan, merangkai temuan dan menyelidiki logika bisnis yang tidak dijelaskan oleh aturan per permukaan serangan mana pun. Temuan dari pentest bisa masuk ke alur Blue Team Lagune sebagai kekhawatiran yang Anda serahkan ke detect, sehingga apa yang dilaporkan profesional tersebut direncanakan, diperkuat, dan diverifikasi.

Kebijakan keamanan

Lihat SECURITY.md.

Lisensi

Lagune dirilis di bawah Apache License 2.0.

Copyright © 2026-sekarang Weslley Araújo dan kontributor.