prompt ของ Lagune ที่พร้อมคัดลอกไปวางในเอเจนต์ AI ของคุณได้ทันที

💧 สแกนแบบรวดเร็ว

การสแกนแบบอ่านอย่างเดียวที่อ่านโค้ดด้วยตัวเองและรายงานจุดบกพร่องทุกจุดพร้อมการแก้ไข โดยไม่รันขั้นตอนแบบ Blue Team และไม่เขียนอะไรลงในการติดตามของ Lagune

tip

ได้ผลดีกว่าในโหมดวางแผน และเมื่อกำหนด charter (/lagune-charter) ไว้แล้ว

🪼 ค่าเริ่มต้น

ด้าน	ข้อแลกเปลี่ยน	ระดับ
ปริมาณงาน	เอเจนต์ 1 ตัวสแกนและรายงาน ไม่มีซับเอเจนต์
เวลา	เร็ว อ่านอย่างเดียวรอบเดียวและไม่นำอะไรไปใช้
การใช้ token	ปานกลางและใช้บริบทร่วมกัน การสแกนทั้งหมดรันในบริบทเดียว

/lagune คุณคือนักวิจัยด้านความปลอดภัยไซเบอร์ที่เชี่ยวชาญด้านความปลอดภัยเชิงป้องกันอย่างลึกซึ้ง และใช้ Lagune เพื่อเพิ่มความรู้และความแม่นยำของคุณ

สแกนเวิร์กสเปซด้วยตัวเอง และจับคู่จุดบกพร่องทุกจุดที่พบกับการแก้ไขที่เป็นรูปธรรม นี่คือการสแกนแบบแยกเดี่ยว ไม่ใช่ขั้นตอนแบบ Blue Team: ห้ามรัน detect, plan, harden หรือ verify และห้ามเขียนอะไรลงในการติดตามของ Lagune

สุดท้าย แสดงรายการจุดบกพร่องทุกจุดที่พบ พร้อมระดับความรุนแรงและการแก้ไขที่เป็นรูปธรรมของแต่ละจุด

🐬 หลายเอเจนต์

ด้าน	ข้อแลกเปลี่ยน	ระดับ
ปริมาณงาน	ซับเอเจนต์ 1 ตัวต่อ 1 ไฟล์ ปรับจำนวนตามขนาดโค้ดเบสของคุณ
เวลา	รันขนานกันรายไฟล์ แล้วรวมเป็นรายงานเดียว และยังคงอ่านอย่างเดียว
การใช้ token	สูงกว่า แต่แยกขาดจากกัน ซับเอเจนต์แต่ละตัวสแกนในบริบทของตัวเอง

/lagune คุณคือ orchestrator ด้านความปลอดภัยไซเบอร์ที่ใช้ Lagune เพื่อแจกแจง path ส่งซับเอเจนต์ 1 ตัวต่อ 1 path และรวมรายงานของซับเอเจนต์ทั้งหมด (ซับเอเจนต์เป็นผู้อ่านเนื้อหาทั้งหมด)

คุณต้องมอบหมายงานให้ซับเอเจนต์ตามขนาดของโปรเจกต์ปัจจุบัน: ยิ่งโค้ดเบสใหญ่ ยิ่งต้องส่งซับเอเจนต์มากขึ้น โดยรันทั้งหมดขนานกัน และให้ prompt ด้านล่างนี้กับซับเอเจนต์แต่ละตัว:

```prompt
/lagune คุณคือนักวิจัยด้านความปลอดภัยไซเบอร์ที่เชี่ยวชาญด้านความปลอดภัยเชิงป้องกันอย่างลึกซึ้ง และใช้ Lagune เพื่อเพิ่มความรู้และความแม่นยำของคุณ

สแกน <path> ด้วยตัวเอง และจับคู่จุดบกพร่องทุกจุดที่พบกับการแก้ไขที่เป็นรูปธรรม นี่คือการสแกนแบบแยกเดี่ยว ไม่ใช่ขั้นตอนแบบ Blue Team: ห้ามรัน detect, plan, harden หรือ verify และห้ามเขียนอะไรลงในการติดตามของ Lagune

สุดท้าย แสดงรายการจุดบกพร่องทุกจุดใน <path> พร้อมระดับความรุนแรงและการแก้ไขที่เป็นรูปธรรมของแต่ละจุด
```

สุดท้าย รวมรายงานของซับเอเจนต์ทั้งหมดเป็นรายการจุดบกพร่องและการแก้ไขรายการเดียวที่เรียงตามลำดับความสำคัญ

warning

การสแกนแบบรวดเร็วคือ prompt เดียวที่กว้างและไม่จำกัดขอบเขต เอเจนต์บางตัวจึงมีแนวโน้มจะปฏิเสธหรือหยุดกลางคัน หากเอเจนต์ของคุณไม่ยอมทำ ให้รัน ขั้นตอนแบบ Blue Team เต็มรูปแบบด้านล่างแทน: เฟสต่าง ๆ ที่จำกัดขอบเขตและทำทีละขั้นถูกบล็อกน้อยกว่ามาก

---

🌊 การตรวจสอบแบบ Blue Team อัตโนมัติ

รัน ขั้นตอนคำสั่งทั้งหมด ตั้งแต่ต้นจนจบ

🪼 ค่าเริ่มต้น

ด้าน	ข้อแลกเปลี่ยน	ระดับ
ปริมาณงาน	เอเจนต์ 1 ตัว ไม่มีซับเอเจนต์ ไม่ว่าโค้ดเบสจะใหญ่แค่ไหน
เวลา	ปานกลาง แต่ละเอียดน้อยลงในโค้ดเบสขนาดใหญ่ แต่ละคำสั่งรันครั้งเดียวต่อกันไปตามลำดับ
การใช้ token	น้อยกว่า แต่แยกขาดน้อยกว่า ทุกคำสั่งใช้บริบทเดียวกัน

รันคำสั่งต่อไปนี้ทีละคำสั่ง: `/lagune-charter`, `/lagune-detect`, `/lagune-plan`, `/lagune-harden` และ `/lagune-verify`

## วนซ้ำ

เมื่อ `/lagune-verify` ปฏิเสธการแก้ไขตั้งแต่หนึ่งรายการขึ้นไป ให้รัน `/lagune-harden` แล้วตามด้วย `/lagune-verify` ซ้ำจนกว่าข้อตรวจพบทั้งหมดจะได้รับการแก้ไขอย่างถูกต้อง

🐋 หลายเอเจนต์ (Deep Scan)

ด้าน	ข้อแลกเปลี่ยน	ระดับ
ปริมาณงาน	จำนวนซับเอเจนต์ปรับตามขนาดโค้ดเบสของคุณ
เวลา	นานกว่า แต่ละเอียดกว่า ส่งซับเอเจนต์หลายตัวไปตรวจจับ วางแผน และเสริมความปลอดภัยให้ข้อตรวจพบแบบขนานกัน
การใช้ token	สูงกว่า แต่ปลอดภัยกว่า ซับเอเจนต์แต่ละตัวมีบริบทแยกของตัวเองโดยไม่มีอคติ

รันคำสั่งต่อไปนี้ โดยให้ซับเอเจนต์ 1 ตัวต่อ 1 คำสั่ง ทีละตัว (ไม่ต้องใส่ backtick ส่งแค่คำสั่ง):

prompt ของซับเอเจนต์ 1: `/lagune-charter`
prompt ของซับเอเจนต์ 2: `/lagune-detect`
prompt ของซับเอเจนต์ 3: `/lagune-plan`
prompt ของซับเอเจนต์ 4: `/lagune-harden`
prompt ของซับเอเจนต์ 5: `/lagune-verify`

ในคำสั่ง `/lagune-detect`, `/lagune-plan`, `/lagune-harden` และ `/lagune-verify` คุณต้องมอบหมายงานให้ซับเอเจนต์ตามขนาดของโปรเจกต์ปัจจุบัน: ยิ่งโค้ดเบสใหญ่ ยิ่งต้องส่งซับเอเจนต์มากขึ้น ตัวอย่างเช่น:

```prompt
/lagune-detect <path>
```

```prompt
/lagune-plan <finding>
```

```prompt
/lagune-harden <finding>
```

```prompt
/lagune-verify <finding>
```

- เอเจนต์หลายตัวที่ทำคำสั่งเดียวกันต้องรันขนานกัน
- เมื่อซับเอเจนต์ `/lagune-detect` ทั้งหมดทำงานเสร็จ ให้รัน:

```prompt
/lagune-detect รวมข้อตรวจพบที่เทียบเท่ากัน ไม่ต้องตรวจหาข้อตรวจพบใหม่ และไม่ต้องสแกนโค้ดเบสซ้ำ
```

## วนซ้ำ

เมื่อ `/lagune-verify` ปฏิเสธการแก้ไขตั้งแต่หนึ่งรายการขึ้นไป ให้รัน `/lagune-harden` แล้วตามด้วย `/lagune-verify` ซ้ำจนกว่าข้อตรวจพบทั้งหมดจะได้รับการแก้ไขอย่างถูกต้อง

---

🪄 การตรวจจับแบบจำกัดขอบเขต

ชี้คำสั่ง /lagune-detect ไปที่บางส่วนของโปรเจกต์แทนทั้งโปรเจกต์ อธิบายขอบเขตด้วยภาษาธรรมดา (commit, pull request หรือสถานการณ์จริง) แล้วคำสั่งจะทำแผนผังเฉพาะข้อตรวจพบที่เกี่ยวกับความปลอดภัยในส่วนนั้น

tip

ทุกสิ่งที่ตรวจพบในที่นี้เป็นข้อตรวจพบปกติ คุณจึงนำไปใช้ต่อกับ /lagune-plan, /lagune-harden และ /lagune-verify ได้ทันที โดยจำกัดขอบเขตไว้เฉพาะรายการเหล่านั้น

📌 ตั้งแต่ commit หนึ่ง

ตรวจความปลอดภัยให้ชุด commit ใหม่โดยเฉพาะ จำกัดขอบเขตไว้แค่สิ่งที่ commit เหล่านั้นเปลี่ยน ตัวอย่างเช่น:

/lagune-detect จำกัดขอบเขตการตรวจจับไว้ที่ทุกสิ่งที่เปลี่ยนไปตั้งแต่ commit `a1b2c3d`

🔀 diff ของ branch หรือ PR

ตรวจความปลอดภัยของ pull request ก่อน merge โดยจำกัดขอบเขตไว้แค่ diff ของ pull request นั้น ตัวอย่างเช่น:

/lagune-detect จำกัดขอบเขตการตรวจจับไว้ที่การเปลี่ยนแปลงที่ branch นี้นำเข้ามาเมื่อเทียบกับ `main`

⛑️ หลังเกิดเหตุ

เล่าสิ่งที่เกิดขึ้นด้วยคำพูดของคุณเอง Lagune อ่านสถานการณ์ ไม่ใช่ flag แล้วเปลี่ยนเป็นการไล่ตรวจที่เจาะจง ตัวอย่างเช่น:

/lagune-detect เว็บไซต์ของเราเกิดข้อมูลรั่วไหลเมื่อไม่กี่สัปดาห์ก่อน ไม่รู้แน่ชัดว่าเกิดขึ้นได้อย่างไร และกังวลว่ายังมีช่องโหว่ที่เปิดอยู่ซึ่งอาจทำให้ข้อมูลรั่วอีก ไล่ตรวจโค้ดอย่างละเอียด เน้นทุกจุดที่มีการอ่าน จัดเก็บ หรือเปิดเผยข้อมูลที่ละเอียดอ่อน และทำแผนผังทุกอย่างที่อาจยังเป็นทางให้ข้อมูลหลุดออกไปได้ ให้ถือว่านี่คือเหตุการณ์จริง ไม่ใช่การซ้อม

---

🚨 การตรวจสอบแบบ Zero Trust

ถือว่าทั้งเวิร์กสเปซและ dependency ทุกตัวเป็นปฏิปักษ์: การตรวจสอบนี้ไล่หา interpreter การเรียกเครือข่าย payload ที่ถูกเข้ารหัส และโค้ดที่ซ่อนอยู่ในที่ที่ไม่น่าเป็นไปได้เพื่อเล็ดลอดตัวสแกน แล้วจบด้วยผลตัดสิน go/no-go ว่าโปรเจกต์ปลอดภัยพอจะใช้หรือไม่

prompt เหล่านี้โหลดความรู้เฉพาะทางที่การตรวจสอบนี้ต้องใช้โดยตรง ไม่ว่าโปรเจกต์ของคุณจะใช้หมวดหมู่ใด สำหรับส่วนอื่นของแคตตาล็อกที่ /lagune จับคู่ ให้ตรวจว่าโปรเจกต์ใช้ OWASP, AI/LLM และหมวดหมู่ของ stack ที่ใช้ (เช่น JavaScript, Python และอื่น ๆ):

npx lagune write add --categories owasp ai javascript

ไฟล์ .gitignore และการตั้งค่าของ repository เองอาจซ่อนไฟล์จากตัวตรวจได้ จึงควรตั้งบล็อก checkers ใน .lagune/configs.json ให้ สแกนทุกอย่าง โดยแทนที่บล็อกใด ๆ ที่มากับ repository:

{
  "checkers": { "gitignore": false }
}

danger

ระวังเมื่อรันโปรเจกต์จากแหล่งที่ไม่น่าเชื่อถือในสภาพแวดล้อมบนเครื่องของคุณ ใช้สภาพแวดล้อมที่แยกออกมา เช่น sandbox (แนะนำ), VM หรือสภาพแวดล้อมที่คล้ายกัน เพื่อไม่ให้โค้ดอันตรายส่งผลต่อระบบของคุณ

🪼 ค่าเริ่มต้น

ด้าน	ข้อแลกเปลี่ยน	ระดับ
ปริมาณงาน	เอเจนต์ 1 ตัวสแกนทั้งเวิร์กสเปซ ไม่มีซับเอเจนต์
เวลา	ปานกลาง เอเจนต์ 1 ตัวไล่ตรวจโค้ดและ dependency ตามลำดับ
การใช้ token	ปานกลาง แต่ใช้บริบทร่วมกัน ความรู้เฉพาะทาง โค้ด และ dependency ทั้งหมดโหลดเข้าบริบทเดียว

/lagune คุณคือนักวิจัยด้านความปลอดภัยไซเบอร์ที่เชี่ยวชาญด้านความปลอดภัยเชิงป้องกันแบบ zero trust อย่างลึกซึ้ง และใช้ Lagune เพื่อเพิ่มความรู้และความแม่นยำของคุณ

ทำแผนผังทั้งเวิร์กสเปซโดยถือว่าเป็นแหล่งที่ไม่น่าเชื่อถือและเป็นขอบเขตที่อาจเป็นอันตราย ทุก interpreter, fetch, base64 และสิ่งที่คล้ายกัน ต้องถือว่าเป็นภัยคุกคามที่อาจเกิดขึ้น

ขยายการวิเคราะห์ไปถึง dependency และ dependency ย่อย: โปรเจกต์อาจพยายามซ่อนโค้ดอันตรายไว้ในที่ที่ไม่น่าเป็นไปได้เพื่อเล็ดลอดตัวสแกน

ความรู้เฉพาะทางที่ต้องใช้ (โหลดทีละตัวด้วย `npx lagune read catalog <name>`):

- interpreter
- secrets
- llm
- path

ย้ำให้ชัด: ช่องโหว่ทุกข้อที่ระบุได้ต้องถือว่าเป็นภัยคุกคามที่อาจเกิดขึ้น โดยไม่มีข้อยกเว้น

สุดท้าย ให้ผลตัดสินว่าโปรเจกต์นี้ปลอดภัยและน่าเชื่อถือพอให้ฉันใช้หรือไม่

🐋 หลายเอเจนต์ (Deep Scan)

ด้าน	ข้อแลกเปลี่ยน	ระดับ
ปริมาณงาน	ซับเอเจนต์ 1 ตัวต่อ 1 ไฟล์ ปรับจำนวนตามขนาดโค้ดเบสของคุณ
เวลา	นานกว่า แต่ละเอียดกว่า สแกนไฟล์แบบขนานกัน แล้วรวมเป็นผลตัดสินเดียว
การใช้ token	สูงที่สุด แต่ปลอดภัยที่สุด ซับเอเจนต์แต่ละตัวอ่านความรู้เฉพาะทางในบริบทแยกของตัวเอง

/lagune คุณคือ orchestrator ด้านความปลอดภัยไซเบอร์ที่ใช้ Lagune เพื่อแจกแจงไฟล์ ส่งซับเอเจนต์ 1 ตัวต่อ 1 ไฟล์ และสร้างรายงาน (ซับเอเจนต์เป็นผู้อ่านเนื้อหาทั้งหมด)

ส่งซับเอเจนต์ 1 ตัวต่อ 1 ไฟล์ โดยรันทั้งหมดขนานกัน และให้ prompt ด้านล่างนี้กับซับเอเจนต์แต่ละตัว โดยจำกัดขอบเขตไว้ที่ไฟล์ของตัวเอง:

```prompt
/lagune คุณคือนักวิจัยด้านความปลอดภัยไซเบอร์ที่เชี่ยวชาญด้านความปลอดภัยเชิงป้องกันแบบ zero trust อย่างลึกซึ้ง และใช้ Lagune เพื่อเพิ่มความรู้และความแม่นยำของคุณ

ถือว่า <file> เป็นแหล่งที่ไม่น่าเชื่อถือและเป็นขอบเขตที่อาจเป็นอันตราย ทุก interpreter, fetch, base64 และสิ่งที่คล้ายกัน ต้องถือว่าเป็นภัยคุกคามที่อาจเกิดขึ้น

ขยายการวิเคราะห์ไปถึงทุกสิ่งที่ <file> import รวมถึง dependency และ dependency ย่อย ซึ่งเป็นที่ที่โค้ดอันตรายอาจซ่อนอยู่เพื่อเล็ดลอดตัวสแกน

ความรู้เฉพาะทางที่ซับเอเจนต์ทุกตัวต้องใช้ (โหลดทีละตัวด้วย `npx lagune read catalog <name>`):

- interpreter
- secrets
- llm
- path

ย้ำให้ชัด: ช่องโหว่ทุกข้อที่ระบุได้ต้องถือว่าเป็นภัยคุกคามที่อาจเกิดขึ้น โดยไม่มีข้อยกเว้น

สุดท้าย ให้ผลตัดสินว่าโปรเจกต์นี้ปลอดภัยและน่าเชื่อถือพอให้ฉันใช้หรือไม่
```

สุดท้าย รวมรายงานของซับเอเจนต์ทั้งหมดเป็นผลตัดสินสุดท้ายเพียงผลเดียว