Lagune hjelper KI-agenten din med å gjøre et prosjekt sikrere. Du peker det mot koden din, og agenten finner ut hva systemet ditt faktisk gjør, og leder deg deretter gjennom sikkerhetsarbeidet som betyr noe for det. Lagune er det første prosjektet i metodikken Security-Driven Hardening (SDH).
Liker du Lagune? Gi oss en ⭐ på GitHub
Velg agenten din
- Lagune kjører på Node.js i bakgrunnen, men du bruker det språket du vil.
- Vil du kjøre helt offline, installerer du Lagune i prosjektet ditt med
npm i -D lagune@0.18.1.
Kategorier
Sikkerhetskunnskapen i Lagune kommer som spesialiseringer, gruppert i kategorier.
npx lagune write add --categories owaspEt prosjekt starter med owasp, og /lagune-charter legger til kategoriene som vurderingen av prosjektet gir grunnlag for.
Krav
Du trenger Node.js (LTS) installert på systemet ditt.
Bruk et merke ✨
Bruker du Lagune? Legg til et merke i README:
- To farger
- Ensfarget
Neste steg
Se hva hver av skillene i Lagune gjør.
Vanlige spørsmål
Lagune er en arbeidsflyt med åpen kildekode for kun defensiv sikkerhet, som hjelper KI-agenten din med å herde enhver kodebase. Du peker det mot koden din, det oppdager hva systemet ditt faktisk gjør, og deretter leder det deg gjennom sikkerhetsutbedringene som betyr noe i den konteksten.
Velg agenten din: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI og Hermes Agent installerer Lagune som plugin, Gemini CLI og Qwen Code som utvidelse, Pi som pakke, og alle andre agenter med npx skills add wellwelwel/lagune. Det fungerer i nye og eksisterende prosjekter.
Nei. Det kjører gjennom din egen KI-agent, så du trenger ingen API-nøkler.
Du trenger Node.js (LTS) installert på systemet ditt.
Alle. Lagune kjører på Node.js i bakgrunnen, men reviderer og herder prosjekter skrevet i alle programmeringsspråk.
En mappe .lagune/ med sikkerhetstilstanden til prosjektet ditt, som den første kommandoen som skriver noe, oppretter. CLI-en til skills installerer også skråstrekkommandoene i prosjektet, der agenten din leser dem, mens en plugin holder dem inne i agenten.
På samme måte som du installerte det. Installasjonssiden for hver agent viser hvordan du oppdaterer Lagune der, og CLI-en til skills oppdaterer det med npx skills update. Sikkerhetsprinsippene dine, artefaktene fra fasene og dine egne spesialiseringer forblir urørt.
De innebygde i kategoriene prosjektet har, pluss sine egne. Fasen charter registrerer kategoriene som vurderingen av prosjektet gir grunnlag for, og npx lagune write add --categories endrer dem.
Nei. Kommandoen /lagune herder arbeidet mens det skrives: Den tar imot en hvilken som helst prompt, bygger det du ba om, og herder det med sikre standardinnstillinger, veiledet av sikkerhetsprinsippene. Blue Team-flyten i fem faser reviderer det som allerede finnes.
Ja. Blue Team-flyten i fem faser reviderer det som allerede finnes: charter fastsetter sikkerhetsreglene dine, detect kartlegger hva systemet gjør og hvor risikoene ligger, plan vurderer hvert funn og kobler det til en utbedring, harden tar i bruk utbedringene, og verify beviser at de holder, og lukker dem.
En agent som leser på egen hånd, finner det som ser ut som en sårbarhet, og hopper over det som ser ut som et sikringstiltak. En liste over blokkerte adresser ser ut som om noen allerede har håndtert risikoen, så ingen sjekker at den mangler de fleste av dem, og koden går i produksjon. Lagune snur denne standarden: Et vern som allerede finnes i koden, regnes som ubevist til det er sjekket, hver spesialisering i katalogen får en eksplisitt konklusjon, og verify spør om risikoen er borte, ikke om et sikringstiltak er der. Hvert funn forblir dessuten ett sporet element på tvers av kjøringer, slik at det kan bevises lukket og tas ut, mens en vanlig forespørsel gir deg en ny rapport hver gang, uten noe å sammenligne med.
Ber du om sikker kode, overlater du til agenten å avgjøre hva sikker betyr, og det forutsetter at du vet hva du skal be om. Kravet ligger som regel allerede i forespørselen din uten at noen av dere ser det: Ber du om en side som viser kursene en bruker har tilgang til, uttrykker du en autorisasjonsregel, og en sjekk som aldri blir skrevet, etterlater ingenting i koden som kan legges merke til. Kommandoen /lagune laster inn sikkerhetsprinsippene dine og spesialiseringene som passer til det som skal bygges, før den første linjen er skrevet, og leser deretter resultatet på nytt opp mot forsvaret den brukte. Den sikre løsningen koster sjelden mer enn den usikre, så det som avgjør utfallet, er å vite hvilken du skal velge, og nettopp det får du på forhånd.
Nei. Lagune leser kode og kjører aldri systemet ditt eller sender det manipulerte forespørsler. Fasen verify bekrefter at et sikringstiltak finnes og er riktig i kildekoden, og det er et annet spørsmål enn om det tåler et angrep mot et live mål, så "cannot tell from the code" er en legitim konklusjon i stedet for en stille godkjenning. DAST besvarer spørsmålet om kjøretiden og Lagune spørsmålet om kildekoden, så ingen av dem erstatter den andre. Selv den valgfrie kommandoen prove holder seg innenfor denne grensen: Testene dens bekrefter den sikre oppførselen, aldri en angreps-payload.
Nei, absolutt ikke! En pentest er et autorisert oppdrag der en fagperson bruker eget skjønn mot det kjørende systemet ditt, kobler sammen funn og undersøker forretningslogikken som ingen regel per angrepsflate beskriver. Funn fra en pentest kan gå inn i Blue Team-flyten i Lagune som problemstillinger du gir til detect, slik at det en fagperson rapporterer, blir planlagt, herdet og verifisert.
Sikkerhetspolicy
Se SECURITY.md.
Lisens
Lagune er lisensiert under Apache License 2.0.
Copyright © 2026-i dag Weslley Araújo og bidragsytere.