Lagune pomaga twojemu agentowi AI zwiększyć bezpieczeństwo projektu. Wskazujesz mu swój kod, a agent ustala, co twój system faktycznie robi, i prowadzi cię przez prace nad bezpieczeństwem, które mają dla niego znaczenie. Lagune to pierwszy projekt metodologii Security-Driven Hardening (SDH).
Podoba ci się Lagune? Zostaw nam ⭐ w serwisie GitHub
Wybierz swojego agenta
- Lagune działa pod maską na Node.js, ale ty pracujesz w dowolnym języku.
- Aby pracować całkowicie offline, zainstaluj Lagune w swoim projekcie poleceniem
npm i -D lagune@0.18.1.
Kategorie
Wiedza o bezpieczeństwie w Lagune ma postać specjalizacji, pogrupowanych w kategorie.
npx lagune write add --categories owaspProjekt zaczyna od kategorii owasp, a polecenie /lagune-charter dodaje te kategorie, za którymi przemawia jego analiza projektu.
Wymagania
W systemie musisz mieć zainstalowany Node.js (LTS).
Dodaj odznakę ✨
Używasz Lagune? Dodaj odznakę do swojego pliku README:
- Dwukolorowa
- Jednolita
Co dalej
Sprawdź, do czego służy każdy skill Lagune.
Najczęściej zadawane pytania
Lagune to przepływ pracy open source nastawiony wyłącznie na bezpieczeństwo defensywne, który pomaga twojemu agentowi AI utwardzić dowolną bazę kodu. Wskazujesz mu swój kod, a on wykrywa, co twój system faktycznie robi, i prowadzi cię przez poprawki bezpieczeństwa, które mają znaczenie w tym kontekście.
Wybierz swojego agenta: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI i Hermes Agent instalują Lagune jako wtyczkę, Gemini CLI i Qwen Code jako rozszerzenie, Pi jako pakiet, a każdy inny agent poleceniem npx skills add wellwelwel/lagune. Działa zarówno w nowych, jak i w istniejących projektach.
Nie. Działa przez twojego własnego agenta AI, więc nie potrzebujesz żadnych kluczy API.
W systemie musisz mieć zainstalowany Node.js (LTS).
Wszystkie. Lagune działa pod maską na Node.js, ale audytuje i utwardza projekty napisane w dowolnym języku programowania.
Folder .lagune/ ze stanem bezpieczeństwa projektu. Tworzy go pierwsze polecenie, które coś zapisuje. CLI skills instaluje też w projekcie polecenia z ukośnikiem, skąd czyta je twój agent, a wtyczka trzyma je wewnątrz agenta.
Tak samo jak przy instalacji. Strona instalacji każdego agenta pokazuje, jak zaktualizować w nim Lagune, a przy CLI skills służy do tego polecenie npx skills update. Twoje zasady bezpieczeństwa, artefakty faz i własne specjalizacje pozostają nietknięte.
Wbudowanych z jego kategorii oraz własnych. Faza charter zapisuje kategorie, za którymi przemawia jej analiza projektu, a polecenie npx lagune write add --categories je zmienia.
Nie. Polecenie /lagune utwardza kod na bieżąco, w miarę jak powstaje: przyjmuje dowolny prompt, buduje to, o co prosisz, i utwardza wynik bezpiecznymi ustawieniami domyślnymi, kierując się zasadami bezpieczeństwa. Pięciofazowy przepływ pracy Blue Team audytuje to, co już istnieje.
Tak. Pięciofazowy przepływ pracy Blue Team audytuje to, co już istnieje: charter ustala twoje zasady bezpieczeństwa, detect mapuje, co robi system i gdzie leżą ryzyka, plan ocenia każde ustalenie i dobiera do niego poprawkę, harden wdraża poprawki, a verify wykazuje, że działają, i je zamyka.
Agent czytający kod na własną rękę znajduje to, co wygląda na podatność, i pomija to, co wygląda na zabezpieczenie. Lista zablokowanych adresów sprawia wrażenie, jakby ktoś już zajął się ryzykiem, więc nikt nie zauważa, że brakuje na niej większości z nich, i kod trafia na produkcję. Lagune odwraca to domyślne założenie: zabezpieczenie obecne już w kodzie uznaje za niewykazane, dopóki go nie sprawdzi, każda specjalizacja z katalogu dostaje wyraźny werdykt, a verify pyta, czy ryzyko zniknęło, a nie, czy zabezpieczenie istnieje. Każde ustalenie pozostaje też jednym śledzonym elementem we wszystkich uruchomieniach, więc można wykazać jego zamknięcie i wycofać je, podczas gdy zwykła prośba daje za każdym razem inny raport, bez punktu odniesienia.
Prośba o bezpieczny kod zostawia agentowi decyzję, co znaczy "bezpieczny", i zakłada, że wiesz, o co pytać. Wymaganie zwykle kryje się już w twojej prośbie, choć nie dostrzega go ani ty, ani agent: prośba o stronę z kursami, do których użytkownik ma dostęp, wyraża regułę autoryzacji, a sprawdzenie, którego nikt nie napisał, nie zostawia w kodzie niczego, co mogłoby zwrócić uwagę. Polecenie /lagune wczytuje twoje zasady bezpieczeństwa i specjalizacje pasujące do tego, co ma powstać, zanim powstanie pierwsza linia kodu, a potem ponownie sprawdza wynik pod kątem zastosowanej obrony. Bezpieczny wariant rzadko kosztuje więcej niż niebezpieczny, więc o wyniku decyduje wiedza, po który sięgnąć, i właśnie ta wiedza jest dostępna od samego początku.
Nie. Lagune czyta kod i nigdy nie uruchamia twojego systemu ani nie wysyła do niego spreparowanych żądań. Faza verify potwierdza, że zabezpieczenie jest obecne i poprawne w kodzie źródłowym, a to inne pytanie niż to, czy wytrzyma atak na działający cel, więc "cannot tell from the code" to uprawniony werdykt, a nie ciche przepuszczenie. DAST odpowiada na pytanie o czas działania, a Lagune na pytanie o kod źródłowy, więc żadne z nich nie zastępuje drugiego. Nawet opcjonalne polecenie prove trzyma się tej granicy: jego testy sprawdzają bezpieczne zachowanie, nigdy payload ataku.
Nie, zdecydowanie nie! Pentest to autoryzowane zlecenie, w którym specjalista ocenia twój działający system według własnego osądu, łączy ustalenia w łańcuchy i bada logikę biznesową, której nie opisuje żadna reguła dla pojedynczej powierzchni ataku. Ustalenia z pentestu mogą trafić do przepływu pracy Blue Team w Lagune jako zagadnienia przekazane fazie detect, dzięki czemu to, co zgłasza specjalista, zostaje zaplanowane, utwardzone i zweryfikowane.
Polityka bezpieczeństwa
Zapoznaj się z plikiem SECURITY.md.
Licencja
Projekt Lagune jest udostępniany na licencji Apache License 2.0.
Copyright © 2026-obecnie Weslley Araújo i współtwórcy.