Lagune помогает вашему ИИ-агенту сделать проект безопаснее. Вы указываете на свой код, агент разбирается, что на самом деле делает ваша система, а затем ведет вас через ту работу по безопасности, которая для нее важна. Lagune является первым проектом методологии Security-Driven Hardening (SDH).
Нравится Lagune? Поставьте нам ⭐ на GitHub
Выберите агента
- Внутри Lagune работает на Node.js, но вы пишете на любом языке.
- Чтобы работать полностью офлайн, установите Lagune в проект командой
npm i -D lagune@0.16.0.
Категории
Знания Lagune о безопасности поставляются в виде специализаций, сгруппированных по категориям.
npx lagune write add --categories owaspПроект начинается с owasp, а /lagune-charter добавляет категории, которые подтверждает анализ проекта.
Требования
В системе должен быть установлен Node.js (LTS).
Добавьте бейдж ✨
Используете Lagune? Добавьте бейдж в свой README:
- Двухцветный
- Одноцветный
Что дальше
Узнайте, что делает каждый из навыков Lagune.
Частые вопросы
Lagune представляет собой открытый процесс безопасности, ориентированный только на защиту, который помогает вашему ИИ-агенту усилить защиту любой кодовой базы. Вы указываете на свой код, Lagune выявляет, что на самом деле делает ваша система, и направляет исправления безопасности, важные именно в этом контексте.
Выберите своего агента: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI и Hermes Agent устанавливают Lagune как плагин, Gemini CLI и Qwen Code как расширение, Pi как пакет, а любой другой агент через npx skills add wellwelwel/lagune. Lagune работает и в новых, и в существующих проектах.
Нет. Lagune работает через вашего собственного ИИ-агента, поэтому API-ключи не нужны.
В системе должен быть установлен Node.js (LTS).
Любые. Внутри Lagune работает на Node.js, но проводит аудит и усиливает защиту проектов на любом языке программирования.
Директорию .lagune/ с состоянием безопасности вашего проекта, которую создает первая команда, записывающая данные. CLI skills также устанавливает slash-команды в проект, где их читает ваш агент, а плагин хранит их внутри агента.
Так же, как вы его установили. На странице установки каждого агента показано, как обновить Lagune в нем, а CLI skills обновляет его командой npx skills update. Ваши принципы безопасности, артефакты фаз и собственные специализации остаются нетронутыми.
Встроенные специализации его категорий плюс собственные. Принципы безопасности фиксируют категории, которые подтверждает анализ проекта, а npx lagune write add --categories их меняет.
Нет. Команда /lagune усиливает защиту кода прямо во время написания: она принимает любой промпт, создает то, что вы попросили, и защищает результат безопасными настройками по умолчанию, следуя принципам безопасности. Пятифазный процесс Blue Team проводит аудит того, что уже есть.
Да. Пятифазный процесс Blue Team проводит аудит того, что уже есть: charter задает ваши правила безопасности, detect выявляет, что делает система и где находятся риски, plan оценивает каждую находку и подбирает к ней исправление, harden применяет исправления, а verify доказывает, что они действуют, и закрывает их.
Агент, читающий код сам по себе, находит то, что похоже на уязвимость, и пропускает то, что похоже на меру защиты. Список заблокированных адресов выглядит так, будто кто-то уже справился с риском, поэтому никто не проверяет, что он пропускает большинство адресов, и код уходит в продакшен. Lagune переворачивает это поведение по умолчанию: защита, которая уже есть в коде, считается недоказанной, пока ее не проверят, каждая специализация из каталога получает явный вердикт, а verify спрашивает, исчез ли риск, а не есть ли мера защиты. Каждая находка также остается одним отслеживаемым элементом между запусками, поэтому ее можно доказанно закрыть и снять с учета, тогда как простая просьба каждый раз дает новый отчет, который не с чем сравнить.
Просьба писать безопасный код оставляет определение безопасности агенту и предполагает, что вы знаете, о чем просить. Требование обычно уже скрыто в вашей просьбе, и ни вы, ни агент его не замечаете: просьба сделать страницу с курсами, к которым у пользователя есть доступ, задает правило авторизации, а проверка, которую так и не написали, не оставляет в коде ничего, что можно было бы заметить. Команда /lagune загружает ваши принципы безопасности и специализации, подходящие к тому, что предстоит создать, еще до первой строки кода, а затем перечитывает результат, сверяя его с примененной защитой. Безопасный вариант редко обходится дороже небезопасного, поэтому исход решает знание того, какой из них выбрать, и именно это знание приходит заранее.
Нет. Lagune читает код и никогда не запускает вашу систему и не отправляет ей специально сформированные запросы. Verify подтверждает, что мера защиты присутствует в исходном коде и реализована правильно, а это другой вопрос, чем выдержит ли она атаку на работающую систему, поэтому "по коду определить нельзя" является законным вердиктом, а не молчаливым прохождением проверки. DAST отвечает на вопрос о времени выполнения, а Lagune на вопрос об исходном коде, поэтому ни один не заменяет другой. Даже необязательная команда prove держится этой границы: ее тесты проверяют безопасное поведение и никогда не содержат атакующую нагрузку.
Нет, определенно нет! Пентест представляет собой санкционированную работу, в которой специалист применяет собственное суждение к вашей работающей системе, выстраивая цепочки из находок и исследуя бизнес-логику, которую не описывает ни одно правило для отдельной поверхности. Находки пентеста можно передать в процесс Blue Team от Lagune как опасения для фазы detect, чтобы то, о чем сообщил специалист, было спланировано, исправлено и проверено.
Политика безопасности
Ознакомьтесь с SECURITY.md.
Лицензия
Lagune распространяется по лицензии Apache License 2.0.
Copyright © 2026-н. в. Weslley Araújo и участники.