Lagune и Deepsec (v2.2.1) представляют собой два защитных ответа на одну и ту же проблему: безопасность в эпоху разработки с помощью ИИ. Их исходная посылка, их начало, середина и конец, а также то, как каждый из них предстает перед пользователем, расходятся намеренно, даже там, где их механизмы пересекаются.
Вдохновлен ли Lagune проектом Deepsec? Нет, Lagune написан с нуля и вдохновлен Spec-Driven Development и Security Hardening. Два проекта разрабатывались независимо, а это сравнение призвано помочь пользователям понять их различия.
Коротко
| Аспект | Lagune | Deepsec |
|---|---|---|
| Тип | Методология (SDH) с эталонной реализацией | Продукт: сканер уязвимостей на основе агентов |
| Центр тяжести | Принципы безопасности и знания по запросу ведут агента, опираясь на детерминированные хуки | Широкая сеть регулярных выражений питает обязательное расследование ИИ |
| Что он создает | Защищенный код, доказательства и отслеживаемую цепочку находок | Отчет о находках с сортировкой и ранжированием по критичности |
| Трогает ли ваш код | Да: harden правит ваш код | Нет: только статический анализ, выдает находки и текст рекомендаций |
| Среда выполнения | Работает на том агенте и той модели, которые у вас уже есть, любого уровня | Запускает собственный конвейер моделей, по умолчанию уровня frontier |
| Начало работы | Одна установка плагина или npx skills add, а дальше управление простым языком, без нового инструмента, который нужно разворачивать | Развернуть рабочее пространство .deepsec/, установить зависимости и добавить ключ модели |
Как это работает
Lagune ставит агента на первое место: агент ведет работу, подключает знания по запросу под то, чем является код, и делегирует однозначно решаемую часть детерминированным хукам.
Deepsec ставит на первое место детерминированность: широкое сканирование помечает кандидатов, которые указывают обязательной модели, что расследовать и оценивать.
| Аспект | Lagune | Deepsec |
|---|---|---|
| Порядок | Принципы безопасности и подобранные знания направляют агента, который делегирует хукам и оценивает остальное | Сопоставители помечают кандидатов, модель расследует и оценивает каждого |
| Роль детерминированности | Многоязычные хуки, которые выносят вердикт или нацеливают агента, в сочетании со знаниями категорий | Сопоставители, которые помечают кандидатов для оценки обязательной моделью |
| Процесс разработки | /lagune создает безопасный код прямо по ходу программирования | Он проверяет код, но не пишет его |
| Процесс аудита | charter → detect → plan → harden → verify | scan → process → triage → revalidate → report |
| Задача ИИ | Рассуждать на основе знаний, применить исправление и доказать, что оно действует | Расследовать каждого кандидата и сообщить о находках |
Жизненный цикл
Lagune работает до, во время и после написания кода. Deepsec проверяет репозиторий, когда код уже существует.
| Момент | Lagune | Deepsec |
|---|---|---|
| До появления кода | charter выводит политику безопасности из заявленного намерения | Начинает с существующего кода: init нужна директория |
| Во время разработки | /lagune создает код, безопасный по умолчанию, прямо по ходу, не оставляя артефактов | Проверяет после разработки, а не во время нее |
| Для существующего кода | detect → plan → harden → verify | scan → process, основной процесс |
| Непрерывная проверка | Повторный запуск фаз для нужного охвата, без готового шлюза для CI | Инкрементальное повторное сканирование, process --diff как шлюз выхода в CI |
Уровень обнаружения
Два детерминированных уровня противоположны по природе: один решает, другой помечает.
| Аспект | Lagune | Deepsec |
|---|---|---|
| Группировка | Хуки и специализации, сгруппированные по категориям | Сопоставители для каждого шаблона или фреймворка |
| Вывод | Буквальный вердикт (finding / review / advisory) плюс метка классификации | Кандидат без вердикта (slug, строки, фрагмент, совпавший шаблон) |
| Настройка | Точность: учет комментариев, защита от заглушек и окна контекста | Полнота: широкие сети, а ложные срабатывания потом отсекает ИИ |
| Глубина | Глубже в общих классах | Шире, но менее глубоко в общих классах |
| Ложные срабатывания | Удерживаются на низком уровне у источника, затем оцениваются в контексте | Намеренно генерируются с избытком и сокращаются проходом revalidate |
Знания и суждение
Оба несут знания о безопасности, недоступные регулярным выражениям. Различаются они тем, где эти знания живут и кто может их формировать.
| Аспект | Lagune | Deepsec |
|---|---|---|
| Форма | Редактируемые модули на markdown, некоторые из которых опираются на детерминированный хук | Короткий промпт и подсказки по технологиям, опирающиеся на собственные знания модели |
| Выбор | Подбираются под код и загружаются, только когда присутствует их контекст | Внедряется в каждый пакет для ИИ, плюс подсказки для обнаруженных технологий |
| Кто их пишет | Пользователь правит модули и добавляет новые с помощью specialize | Промпт принадлежит мейнтейнеру, а пользователь заполняет INFO.md |
| Где находится суждение | Хуки решают свой минимум, а остальное агент оценивает на основе знаний | Централизованно: один обработчик ИИ оценивает каждого кандидата |
| Повторное использование | Один модуль направляет и detect, и verify | Один промпт управляет единственным этапом process |
Находки и закрытие
Сильнее всего они расходятся в том, чем становится находка, когда она устранена.
| Аспект | Lagune | Deepsec |
|---|---|---|
| Критичность | Оценка CVSS v4.0 с поправкой на открытость и ставки | Критичность от ИИ плюс сортировка P0 / P1 / P2 по эксплуатируемости и последствиям |
| Вердикты | Risk closed, Risk not closed или Cannot tell from the code | true-positive, false-positive, fixed, uncertain, accepted-risk, duplicate |
| Хранение | Рабочая цепочка сверяется, закрытые находки сводятся в историю | Записи по файлам только с добавлением, ничего не удаляется |
| Конечное состояние | Закрываемо: доказанная находка снимается с учета, цепочка может прийти в покой | Каждая находка хранится навсегда и скрывается из представлений после устранения |
| Подробность истории | Краткая сводка того, в чем состоял риск | Полный след вердиктов, включая то, как проблема была исправлена |
Стоимость
| Аспект | Lagune | Deepsec |
|---|---|---|
| Детерминированный минимум | Бесплатно: хуки работают без ИИ и без ключа и уже выносят вердикты | Бесплатно: scan работает без ИИ, но сам по себе вердиктов не выносит |
| Типичный счет | Входит в стоимость агента, которым вы уже пользуетесь: от $0 на локальной модели до цены вашего текущего тарифа или оплаты за каждую итерацию при работе через API | Примерно от $25 до $1200 за запуск на 100–2000 файлов, больше при большем масштабе |
| Самый дешевый путь | Любая модель, включая бесплатную локальную, закрывает цикл | Есть более дешевые платные тарифы, но для находок нужен платный этап ИИ |
Расширяемость и управление
Каждый открывает тот уровень, который другой держит закрытым.
| Аспект | Lagune | Deepsec |
|---|---|---|
| Что вы расширяете | Правите модули или добавляете новые через specialize | Добавляете сопоставители, агентов, уведомители и владение |
| Уровень политики | Принципы безопасности управляют каждой фазой и версионируются | Конфигурация операционная (сопоставители, модели, пути) |
| Переопределение по имени | Уточненный модуль перекрывает встроенный | При совпадении slug сопоставителя побеждает ваш |
Интерфейсы
Deepsec выдает материалы для службы безопасности. Lagune показывает представление в реальном времени для того, кто его запускает.
| Аспект | Lagune | Deepsec |
|---|---|---|
| Интерфейс для человека | Локальный дашборд всей цепочки в реальном времени, простым языком | Файлы отчета, экспорта, метрик и комментариев к PR, плюс сайт с документацией |
| Ответственность | Показывает файлы и примененные специализации | Предлагает ответственного: дежурного, руководителя или автора коммита |
| Воспроизводимое доказательство | prove пишет запускаемые тесты и бюллетень для раскрытия | Намеренно остается статическим и никогда не запускает цель |
| Самозащита инструмента | Защищает локальный API записи в дашборде | Защищает собственное выполнение ИИ от недоверенного кода цели |
Масштаб и развертывание
| Аспект | Lagune | Deepsec |
|---|---|---|
| Установка | Девять команд из плагина вашего агента или CLI skills, ничего не генерируется в проекте | Рабочее пространство .deepsec/ с собственным пакетом и зависимостями |
| Направление масштаба | Ограничивается любой частью, контекстом, от одного файла до всего проекта | Проходит целые репозитории, вплоть до больших монорепозиториев |
| Распространение | Только локально, единственный сервер привязан к loopback | Необязательное распределение по рабочим виртуальным машинам Vercel Sandbox |
Пользовательский опыт
Как каждый встречает того, кто его запускает: что нужно для первого запуска и как оператор его направляет.
Первый запуск
Lagune работает через уже открытого агента. Deepsec сначала разворачивает собственное рабочее пространство и доступ к модели.
| Аспект | Lagune | Deepsec |
|---|---|---|
| Первая команда | Установка плагина или npx skills add wellwelwel/lagune, затем /lagune-* в агенте | npx deepsec init, затем cd .deepsec, pnpm install, scan, process |
| Учетные данные для запуска | Отдельный ключ не нужен, используется ваш текущий агент | Ключ модели (например, AI Gateway, 12-часовой токен Vercel OIDC или токен Anthropic) |
Управление
Оба принимают указания. Lagune читает форму входных данных для каждой фазы. Deepsec сужает набор файлов, по которому идет то же самое расследование.
| Аспект | Lagune | Deepsec |
|---|---|---|
| Весь проект | Фаза без входных данных сканирует весь охват | scan и process проходят репозиторий |
| Часть проекта | Любую фазу можно ограничить заданными файлами или директориями | --files, --files-from или --diff сужают запуск |
| Опасение | Фазу можно ограничить описанным опасением | Промпт расследования фиксирован |
| Диапазон приоритета | harden и verify можно ограничить уровнями Critical, High, Medium или Low | Находки получают метки после запуска |
| Отдельное значение | Хук напрямую оценивает один фрагмент, шаблон или URL (--pattern, --url) | Единица работы: файл |
Частые вопросы
Lagune ставит агента на первое место и работает до, во время и после написания кода: задает политику до появления кода, усиливает защиту прямо во время разработки и проводит аудит, исправляет и проверяет уже написанный код. Deepsec ставит на первое место детерминированность: широкое сканирование регулярными выражениями питает обязательное расследование моделью уровня frontier, которое проверяет существующий код и сообщает о находках, не меняя его.
Весь процесс Lagune может работать за $0 на бесплатной локальной модели, а его детерминированные хуки выносят вердикты вообще без ИИ. Сканирование Deepsec бесплатно, но не выносит вердиктов, поэтому для любой находки нужен его платный этап ИИ.
Lagune меняет: harden применяет исправления к вашему коду. Deepsec не меняет: это только статический анализ, который выдает находки и текст рекомендаций, а применяет их отдельно человек или агент.