🧠 Spesialiseringene i Lagune er fokuserte, språkuavhengige kunnskapsmoduler for sikkerhet som bare lastes ved behov, aldri som standard. De er ikke kommandoer. Katalogen til prosjektet ditt er utvalget det bruker: de innebygde spesialiseringene fra kategoriene til prosjektet, pluss prosjektets egne. Fasene detect og verify henter dem inn mens de kjører, og du kan når som helst laste en direkte.
- Oversikt
- Slik fungerer det
Tilgangskontroll
Sørger for at folk bare kan se og gjøre det de har lov til, slik at ingen når andre brukeres data eller handlinger som bare er for administratorer, bare ved å endre en lenke eller en ID.
npx lagune read catalog access-controlAPI-endepunkt
Sjekker dørene appen din åpner mot omverdenen, slik at forespørsler fra fremmede ikke kan hente ut private data eller utløse handlinger de ikke skal kunne utløse.
npx lagune read catalog api-endpointNettleser
Beskytter det som kjører i nettleseren til de besøkende, slik at en angriper ikke kan sprøyte inn kode som stjeler innlogginger eller kaprer det brukerne dine ser og klikker på.
npx lagune read catalog browserC / C++
Fanger opp minnefeil på lavt nivå som lar angripere krasje programmet eller kjøre sin egen kode på serveren din.
npx lagune read catalog c-cppContainer
Går gjennom hvordan appen din pakkes og rulles ut, slik at et innbrudd holdes avgrenset i stedet for å gi en angriper hele maskinen.
npx lagune read catalog containerPåloggingsendepunkt
Beskytter innlogging, registrering og tilbakestilling av passord, slik at angripere ikke kan gjette passord, ta over kontoer eller tilbakestille passordet til andre.
npx lagune read catalog credential-endpointKryptografi
Sørger for at sensitive data krypteres riktig, slik at passord, tokens og personopplysninger ikke kan leses selv om de lekker.
npx lagune read catalog cryptoCSV
Herder eksporterte regneark, slik at det er langt mindre sannsynlig at en nedlastet fil i det stille kjører en skadelig kommando på noens datamaskin når den åpnes.
npx lagune read catalog csv.NET
Dekker sikkerhetsfeller som er spesifikke for .NET-apper, og som kan la en angriper kjøre sin egen kode på serveren din.
npx lagune read catalog dotnetFøderasjon
Herder "Logg inn med Google, Microsoft osv.", slik at det blir mye vanskeligere for en angriper å utgi seg for å være en bruker eller snike seg inn i en konto som ikke er deres.
npx lagune read catalog federationGo
Dekker sikkerhetsfeller som er spesifikke for Go-apper, særlig subtile feil som først viser seg under ekte trafikk.
npx lagune read catalog goHTTP-forespørsel
Undersøker dataene som følger med hver nettforespørsel, slik at skjulte eller ondsinnede inndata ikke kan få appen din til å gjøre noe galt.
npx lagune read catalog http-requestInfrastruktur
Går gjennom filene som bygger og ruller ut appen din, som Dockerfile, Terraform og CI-arbeidsflyter, slik at én for slapp innstilling ikke kan eksponere hele miljøet.
npx lagune read catalog infraTolker
Hindrer at brukerinndata kjøres som kommandoer, slik at et skjemafelt eller en opplasting ikke kan få serveren din til å utføre instruksjonene til en angriper.
npx lagune read catalog interpreterJava
Dekker sikkerhetsfeller som er spesifikke for Java-apper, og som kan la en angriper kjøre sin egen kode på serveren din.
npx lagune read catalog javaJavaScript
Dekker sikkerhetsfeller som er spesifikke for JavaScript- og Node-apper, fra kjøring av ikke-klarert kode til lesing av filer de ikke skal ha tilgang til.
npx lagune read catalog javascriptLLM
Beskytter funksjoner bygget på KI-modeller, slik at en lurt formulert melding ikke kan narre KI-en til å lekke data eller misbruke tilkoblede verktøy.
npx lagune read catalog llmNettverk
Sjekker hvordan appen din kommuniserer med andre tjenester, slik at den ikke kan lures til å hente eller stole på noe en angriper kontrollerer.
npx lagune read catalog networkSti
Hindrer angripere i å vandre rundt i filene på serveren din, slik at de ikke kan lese private filer eller overskrive viktige filer ved å manipulere et filnavn.
npx lagune read catalog pathBetaling
Herder kassen og faktureringen, slik at det blir langt vanskeligere å tukle med priser, slippe unna betaling eller gjenta en belastning.
npx lagune read catalog paymentPHP
Dekker sikkerhetsfeller som er spesifikke for PHP-apper, og som kan la en angriper kjøre sin egen kode eller omgå en innlogging.
npx lagune read catalog phpPython
Dekker sikkerhetsfeller som er spesifikke for Python-apper, særlig innlasting av ikke-klarerte data som kan kjøre koden til en angriper.
npx lagune read catalog pythonRegex
Herder tekstsjekker så de forblir effektive, slik at det blir langt vanskeligere for ondsinnede inndata å fryse appen din ved å overbelaste den.
npx lagune read catalog regexRuby
Dekker sikkerhetsfeller som er spesifikke for Ruby-apper, særlig innlasting av ikke-klarerte data som kan kjøre koden til en angriper.
npx lagune read catalog rubyRust
Dekker sikkerhetsfeller som er spesifikke for Rust-apper, særlig unsafe-kode som kan ødelegge minnet eller få programmet til å krasje.
npx lagune read catalog rustHemmeligheter
Holder passord, API-nøkler og tokens ute av kildekoden din, slik at et delt repository eller et lekket bygg aldri gir dem til en angriper.
npx lagune read catalog secretsServerless
Går gjennom skyfunksjoner og tillatelsene deres, slik at én enkelt funksjon ikke kan misbrukes til å nå langt mer enn den skal.
npx lagune read catalog serverlessSQL
Beskytter hvordan appen din snakker med databasen, slik at manipulerte inndata ikke kan lese, endre eller slette data de aldri skulle røre.
npx lagune read catalog sqlSupabase
Sikrer Supabase-backenden din, slik at databasereglene faktisk holder og hemmelige nøkler ikke blir eksponert for offentligheten.
npx lagune read catalog supabaseTransport
Herder transporten slik at data går over en kryptert forbindelse, og gjør det langt vanskeligere å lese eller endre dem underveis mellom brukerne dine og appen din.
npx lagune read catalog transportFilopplasting
Herder filopplasting, slik at det blir langt vanskeligere for noen å laste opp en forkledd fil som kjører kode, overskriver data eller fyller opp lagringsplassen din.
npx lagune read catalog uploadXML
Herder hvordan appen din leser XML-data, slik at en manipulert fil har langt mindre mulighet til å lekke serverfiler eller slå ut appen din.
npx lagune read catalog xmlBruk den selv
Vil du bruke en spesialisering direkte, ber du agenten laste den med read catalog <name> og skriver oppgaven i samme prompt. Kunnskapen virker da på det du ba om. Dette fungerer i alle prompter, også i en som ikke har noe med flyten i Lagune å gjøre.
Her er for eksempel en direkte, fritt formulert prompt som lager en sikker samling RegExp i Python:
Last inn spesialiseringen regex med `npx lagune read catalog regex`, og lag deretter en samling regulære uttrykk i @src/utils/regex.py som validerer e-postadresser og brukernavn.
Dette bruker en deterministisk hook til å teste hver RegExp mot ReDoS, beholder de trygge og gir omtrent dette:
import re
EMAIL = re.compile(r"^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$")
USERNAME = re.compile(r"^[a-zA-Z0-9_]{3,20}$")
def is_email(value: str) -> bool:
return EMAIL.match(value) is not None
def is_username(value: str) -> bool:
return USERNAME.match(value) is not None
Test et mønster selv på devina.io/redos-checker.
De innebygde spesialiseringene
De innebygde spesialiseringene er gruppert i kategorier. Dette er utvalget som følger med Lagune:
| Spesialisering | Kategori | Fokus |
|---|---|---|
regex | owasp | ReDoS: mønstre som eksploderer ved manipulert inndata. |
network | owasp | SSRF og omdirigeringer: brukeroppgitte mål for henting eller omdirigering. |
interpreter | owasp, lovable | Kodeinjeksjon: eval, dynamisk inkludering, dispatch via navn. |
sql | owasp | Relasjonsdatabaser: injeksjon, rå ORM-kall, privilegier, rekkevidden til databasemotoren. |
path | owasp | Filsystemstier: traversal, null-byte, NTFS-strømmer, planting. |
upload | owasp | Filopplasting: type/signatur, ondsinnet innhold, lagring, grenser. |
access-control | owasp, lovable | Autentisering, autorisasjon og økter: IDOR, mass assignment, leietakere, økter. |
credential-endpoint | owasp, lovable | Gjetting og boter: brute force, password spraying, credential stuffing, hastighetsbegrensning. |
federation | owasp | Tillit til tokens: OAuth/OIDC, SAML, JWT-validering, QR-innlogging. |
http-request | owasp | Opprinnelsen til forespørsler: CSRF, feilkonfigurert CORS, forfalsket klient-IP. |
transport | owasp | Kanalsikkerhet: TLS-konfigurasjon, HTTPS/klartekst, HSTS, pinning. |
crypto | owasp, lovable | Kryptografi for lagrede data: svake eller hjemmelagde algoritmer, CSPRNG, nøkkelhåndtering. |
secrets | owasp, lovable | Hardkodede påloggingsdetaljer: nøkler, tokens og passord skrevet rett inn i kildekoden. |
api-endpoint | owasp | Grensesnitt utenom REST: GraphQL, gRPC, autorisasjon for WebSocket, DoS, skjema. |
payment | owasp, lovable | Betalingsflyt: verifisering mot betalingsløsningen på serversiden, signerte callbacks, idempotens. |
xml | owasp | XML-parsing: XXE, eksterne entiteter, billion laughs-ekspansjon. |
csv | owasp | Formelinjeksjon: regnearkceller som starter med =/+/-/@. |
container | owasp, infra | Containerkonfigurasjon: root, capabilities, socket-montering, herding av imaget. |
infra | infra | Infrastruktur som kode: Terraform, Dockerfile, GitHub Actions. |
serverless | owasp, infra, lovable | FaaS-funksjoner: IAM med minste privilegium, hendelsesinndata, kontekst, hemmeligheter. |
llm | ai, lovable | KI- og LLM-risikoer: prompt injection, agency, RAG, MCP, utdata. |
supabase | lovable | Backend med Supabase: RLS av som standard, policyer som KI genererer feil, nøkkelmodell. |
browser | javascript, lovable | Risikoer på klientsiden: XSS, CSP, framing, lagring osv. |
javascript | javascript | Risikoer på språknivå: RCE, prototype pollution osv. |
python | python | Risikoer på språknivå: RCE via pickle, class pollution, -O osv. |
rust | rust | Soundness i unsafe: UB utløst fra trygg kode, transmute, overflyt. |
java | java | Deserialisering og mobil kode: kjeder via readObject, kapring av objekter. |
ruby | ruby | Deserialisering og open: gjenoppliving av objekter via Marshal/YAML, pipe-særhet. |
php | php | Type juggling og unserialize: magiske hasher, POP-kjeder. |
go | go | Typed nil og data races: nil != nil, goroutiner med delt minne. |
c-cpp | c-cpp | Formatstrenger: printf(user_input), write-what-where via %n. |
dotnet | dotnet | Risikoer på plattformnivå: RCE via BinaryFormatter, @Html.Raw, hull i enums. |
Mesteparten av den innebygde kunnskapen er destillert fra OWASP. Under OWASP-kilder finner du hele koblingen mellom hver spesialisering og de kanoniske OWASP-sidene om angrep og Cheat Sheets. Noen få stakkspesifikke moduler bygger i stedet på leverandørens egne anbefalinger: supabase kommer for eksempel fra dokumentasjonen til Supabase og CVE-2025-48757.
Dine egne spesialiseringer
De innebygde vokser med én kunnskapsfil og én indeksrad om gangen, aldri med en ny kommando. Du legger til dine egne på samme måte, med /lagune-specialize: Gi kommandoen en artikkel eller et tema, så destillerer den en ny spesialisering inn i prosjektet ditt, filen under .lagune/catalog/ og oppføringen i .lagune/configs.json. Dine egne er alltid med i katalogen, uansett kategorier, og en av dine overstyrer en innebygd med samme navn.
Når fasen detect eller verify støter på en kontekst som en spesialisering dekker, laster den selv inn spesialiseringen med read catalog <name>. Dette skjer automatisk, som en del av fasen. Du trenger ikke gjøre noe for hånd for at det skal fungere.
Se hva som er tilgjengelig
Slik lister du opp katalogen til prosjektet ditt i terminalen, én spesialisering per linje med taggene sine:
npx lagune read catalog
# regex: Regular Expression [required]
# network: Requests, Webhook, URL Fetch, Socket, IMDS, Redirect
# interpreter: Evaluator, Sink, Shell, Dynamic Execution
# ...
En spesialisering merket [required] gjelder alltid, uansett hva arbeidet er. Hvilke innebygde listen inneholder, avhenger av kategoriene til prosjektet ditt.
Den relevante kunnskapen hentes inn ut fra hva prosjektet faktisk er, i stedet for at alle kontroller kjører som standard.
Vanlige spørsmål
En fokusert, språkuavhengig kunnskapsmodul for sikkerhet som bare lastes ved behov, aldri som standard. Den er ikke en kommando, slik skillene til agenten er.
Spesialiseringene prosjektet bruker: de innebygde fra kategoriene til prosjektet, pluss prosjektets egne. Så lenge ingen kategori er registrert, bruker det bare OWASP.
Nei. De lastes bare ved behov, ut fra hva prosjektet faktisk er.
Be agenten kjøre npx lagune read catalog <name> i samme prompt som oppgaven.
