Lagune ช่วยให้เอเจนต์ AI ของคุณทำให้โปรเจกต์ปลอดภัยขึ้น คุณเพียงชี้ไปที่โค้ด แล้วเอเจนต์จะค้นหาว่าระบบของคุณทำอะไรจริง ๆ จากนั้นพาคุณทำงานด้านความปลอดภัยที่สำคัญกับระบบนั้น Lagune เป็นโปรเจกต์แรกของระเบียบวิธี Security-Driven Hardening (SDH)
ชอบ Lagune ไหม ให้ ⭐ เราบน GitHub
เลือกเอเจนต์ของคุณ
- เบื้องหลัง Lagune ทำงานบน Node.js แต่คุณใช้ภาษาใดก็ได้ตามต้องการ
- หากต้องการรันแบบออฟไลน์ทั้งหมด ให้ติดตั้ง Lagune ในโปรเจกต์ด้วย
npm i -D lagune@0.18.1
หมวดหมู่
ความรู้ด้านความปลอดภัยของ Lagune มาในรูปแบบ ความรู้เฉพาะทาง ที่จัดกลุ่มเป็น หมวดหมู่
npx lagune write add --categories owaspทุกโปรเจกต์เริ่มต้นด้วย owasp แล้วคำสั่ง /lagune-charter จะเพิ่มหมวดหมู่ที่ผลการอ่านโปรเจกต์รองรับ
สิ่งที่ต้องมี
ระบบของคุณต้องติดตั้ง Node.js (LTS) ไว้แล้ว
ใช้ badge ✨
ใช้ Lagune อยู่ใช่ไหม เพิ่ม badge สักอันลงใน README ของคุณ:
- สองโทนสี
- สีเดียว
ถัดไป
ดูว่า skill แต่ละตัวของ Lagune ทำอะไรได้บ้าง
คำถามที่พบบ่อย
Lagune คือเวิร์กโฟลว์ด้านความปลอดภัยแบบโอเพนซอร์สที่ใช้เพื่อการป้องกันเท่านั้น ช่วยให้เอเจนต์ AI ของคุณเสริมความปลอดภัยให้โค้ดเบสใดก็ได้ คุณชี้ไปที่โค้ด Lagune จะตรวจจับว่าระบบของคุณทำอะไรจริง ๆ แล้วนำทางการแก้ไขด้านความปลอดภัยที่สำคัญกับบริบทนั้น
เลือกเอเจนต์ของคุณ: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI และ Hermes Agent ติดตั้ง Lagune เป็นปลั๊กอิน Gemini CLI และ Qwen Code ติดตั้งเป็นส่วนขยาย Pi ติดตั้งเป็นแพ็กเกจ ส่วนเอเจนต์อื่นติดตั้งด้วย npx skills add wellwelwel/lagune โดย Lagune ใช้ได้ทั้งกับโปรเจกต์ใหม่และโปรเจกต์เดิม
ไม่ต้อง Lagune ทำงานผ่านเอเจนต์ AI ของคุณเอง จึงไม่ต้องใช้คีย์ API
ระบบของคุณต้องติดตั้ง Node.js (LTS) ไว้แล้ว
ทุกภาษา เบื้องหลัง Lagune ทำงานบน Node.js แต่ตรวจสอบและเสริมความปลอดภัยให้โปรเจกต์ที่เขียนด้วยภาษาโปรแกรมใดก็ได้
ไดเรกทอรี .lagune/ ที่เก็บสถานะความปลอดภัยของโปรเจกต์ ซึ่งคำสั่งแรกที่เขียนข้อมูลจะสร้างขึ้น นอกจากนี้ skills CLI ยังติดตั้งคำสั่ง slash ไว้ในโปรเจกต์ให้เอเจนต์อ่าน ส่วนปลั๊กอินจะเก็บคำสั่งเหล่านั้นไว้ภายในเอเจนต์
ทำแบบเดียวกับตอนติดตั้ง หน้าการติดตั้งของแต่ละเอเจนต์บอกวิธีอัปเดต Lagune ในเอเจนต์นั้น ส่วน skills CLI อัปเดตด้วย npx skills update โดย charter อาร์ติแฟกต์ของแต่ละเฟส และความรู้เฉพาะทางของคุณเองจะไม่ถูกแตะต้อง
ความรู้เฉพาะทางในตัวของหมวดหมู่ที่โปรเจกต์บันทึกไว้ รวมกับความรู้เฉพาะทางของโปรเจกต์เอง charter บันทึกหมวดหมู่ที่ผลการอ่านโปรเจกต์รองรับ และคุณเปลี่ยนหมวดหมู่ได้ด้วย npx lagune write add --categories
ไม่ต้อง คำสั่ง /lagune เสริมความปลอดภัยให้งานไปพร้อมกับที่เขียน โดยรับ prompt ใดก็ได้ สร้างสิ่งที่คุณขอ และเสริมความปลอดภัยด้วยค่าเริ่มต้นที่ปลอดภัยตามแนวทางของ charter ส่วนขั้นตอนแบบ Blue Team ทั้ง 5 เฟสใช้ตรวจสอบสิ่งที่มีอยู่แล้ว
ได้ ขั้นตอนแบบ Blue Team ทั้ง 5 เฟสตรวจสอบสิ่งที่มีอยู่แล้ว: charter กำหนดกฎความปลอดภัยของคุณ detect ทำแผนผังว่าระบบทำอะไรและความเสี่ยงอยู่ตรงไหน plan ให้คะแนนข้อตรวจพบแต่ละข้อและจับคู่กับการแก้ไข harden นำการแก้ไขไปใช้ และ verify พิสูจน์ว่าการแก้ไขใช้ได้จริงแล้วปิดให้จบ
เอเจนต์ที่อ่านโค้ดเองจะเจอสิ่งที่ดูเหมือนช่องโหว่ และข้ามสิ่งที่ดูเหมือนมาตรการควบคุม รายการที่อยู่ที่ถูกบล็อกดูเหมือนมีคนจัดการความเสี่ยงไว้แล้ว จึงไม่มีใครตรวจว่ารายการนั้นพลาดที่อยู่ส่วนใหญ่ไป แล้วโค้ดก็ถูกปล่อยออกไป Lagune กลับค่าเริ่มต้นนั้น: กลไกป้องกันที่มีอยู่ในโค้ดถือว่ายังไม่ได้พิสูจน์จนกว่าจะได้ตรวจสอบ ความรู้เฉพาะทางทุกตัวในแคตตาล็อกได้รับผลตัดสินที่ชัดเจน และ verify ถามว่าความเสี่ยงหมดไปแล้วหรือยัง ไม่ใช่ถามว่ามีมาตรการควบคุมอยู่หรือไม่ ข้อตรวจพบแต่ละข้อยังคงเป็นรายการที่ติดตามรายการเดียวตลอดทุกการรัน จึงพิสูจน์ได้ว่าปิดแล้วและปิดออกจากห่วงโซ่ได้ ขณะที่คำขอธรรมดาให้รายงานที่ต่างกันทุกครั้งโดยไม่มีอะไรให้เทียบ
การขอโค้ดที่ปลอดภัยเป็นการปล่อยให้เอเจนต์นิยามคำว่าปลอดภัยเอง และถือว่าคุณรู้ว่าต้องขออะไร ข้อกำหนดมักแฝงอยู่ในคำขอของคุณแล้วโดยที่ทั้งคุณและเอเจนต์ไม่ทันเห็น: การขอหน้าที่แสดงคอร์สที่ผู้ใช้มีสิทธิ์เข้าถึงคือการระบุกฎการตรวจสอบสิทธิ์ และการตรวจที่ไม่เคยถูกเขียนก็ไม่ทิ้งอะไรไว้ในโค้ดให้สังเกตเห็น คำสั่ง /lagune โหลด charter ของคุณและความรู้เฉพาะทางที่ตรงกับสิ่งที่กำลังจะสร้างก่อนเขียนโค้ดบรรทัดแรก แล้วอ่านผลลัพธ์ซ้ำเทียบกับการป้องกันที่ใช้ รูปแบบที่ปลอดภัยแทบไม่เคยมีต้นทุนสูงกว่ารูปแบบที่ไม่ปลอดภัย สิ่งที่ตัดสินผลลัพธ์จึงอยู่ที่การรู้ว่าควรเลือกแบบไหน และนั่นคือสิ่งที่มาถึงตั้งแต่ต้น
ไม่ได้ Lagune อ่านโค้ดและไม่เคยรันระบบของคุณหรือส่ง request ที่จงใจสร้างขึ้นไปยังระบบ ส่วนเฟส verify ยืนยันว่ามาตรการควบคุมมีอยู่และถูกต้องในซอร์สโค้ด ซึ่งเป็นคนละคำถามกับว่ามาตรการนั้นทนการโจมตีบนระบบที่กำลังทำงานได้หรือไม่ ดังนั้น "cannot tell from the code" จึงเป็นผลตัดสินที่ชอบธรรม ไม่ใช่การปล่อยผ่านอย่างเงียบ ๆ DAST ตอบคำถามขณะรันไทม์ ส่วน Lagune ตอบคำถามในซอร์สโค้ด จึงไม่มีฝ่ายใดแทนอีกฝ่ายได้ แม้แต่คำสั่ง prove ที่เป็นตัวเลือกเสริมก็ยึดเส้นนี้: การทดสอบของคำสั่งนี้ยืนยันพฤติกรรมที่ปลอดภัย และไม่เคยใช้ payload โจมตี
ไม่ได้อย่างแน่นอน! Pentest คือการทดสอบที่ได้รับอนุญาต ซึ่งผู้เชี่ยวชาญใช้วิจารณญาณของตนกับระบบที่กำลังทำงานจริงของคุณ ร้อยเรียงข้อตรวจพบเข้าด้วยกัน และเจาะลึกตรรกะทางธุรกิจที่ไม่มีกฎรายพื้นผิวการโจมตีข้อใดอธิบายไว้ ข้อตรวจพบจาก pentest เข้าสู่ขั้นตอนแบบ Blue Team ของ Lagune ได้ในฐานะข้อกังวลที่คุณส่งให้ detect เพื่อให้สิ่งที่ผู้เชี่ยวชาญรายงานได้รับการวางแผน เสริมความปลอดภัย และตรวจยืนยัน
นโยบายความปลอดภัย
ดู SECURITY.md
สัญญาอนุญาต
Lagune เผยแพร่ภายใต้ Apache License 2.0
Copyright © 2026-ปัจจุบัน Weslley Araújo และ ผู้ร่วมพัฒนา