Lagune, yapay zeka ajanınızın bir projeyi daha güvenli hale getirmesine yardım eder. Ona kodunuzu gösterirsiniz, ajan sisteminizin gerçekte ne yaptığını çıkarır ve ardından o sistem için önemli olan güvenlik çalışmasında size yol gösterir. Lagune, Security-Driven Hardening (SDH) metodolojisinin ilk projesidir.
Lagune'yi sevdiniz mi? GitHub'da bize bir ⭐ verin
Ajanınızı seçin
- Lagune arka planda Node.js üzerinde çalışır, ama siz istediğiniz dili kullanırsınız.
- Tamamen çevrimdışı çalışmak için Lagune'yi projenize
npm i -D lagune@0.16.0ile kurun.
Kategoriler
Lagune'nin güvenlik bilgisi, kategoriler halinde gruplanan uzmanlıklar olarak gelir.
npx lagune write add --categories owaspBir proje owasp ile başlar ve /lagune-charter komutu, projeyi okuyarak gerekçelendirebildiği kategorileri ekler.
Gereksinimler
Sisteminizde Node.js (LTS) kurulu olmalıdır.
Rozet kullanın ✨
Lagune kullanıyor musunuz? README dosyanıza bir rozet ekleyin:
- İki tonlu
- Düz renk
Sırada ne var
Lagune'nin becerilerinin her birinin ne yaptığını görün.
Sıkça sorulan sorular
Lagune, yapay zeka ajanınızın her kod tabanını sıkılaştırmasına yardım eden, açık kaynaklı ve yalnızca savunma odaklı bir güvenlik iş akışıdır. Ona kodunuzu gösterirsiniz, sisteminizin gerçekte ne yaptığını tespit eder, ardından o bağlam için önemli olan güvenlik düzeltmelerinde yol gösterir.
Ajanınızı seçin: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI ve Hermes Agent, Lagune'yi eklenti olarak kurar, Gemini CLI ve Qwen Code uzantı olarak, Pi paket olarak kurar, diğer tüm ajanlar ise npx skills add wellwelwel/lagune ile kurar. Lagune yeni projelerde de mevcut projelerde de çalışır.
Hayır. Kendi yapay zeka ajanınız üzerinden çalışır, bu yüzden hiçbir API anahtarı gerekmez.
Sisteminizde Node.js (LTS) kurulu olmalıdır.
Hepsini. Lagune arka planda Node.js üzerinde çalışır, ama hangi programlama dilinde yazılmış olursa olsun projeleri denetler ve sıkılaştırır.
Projenizin güvenlik durumunu tutan, yazma yapan ilk komutun oluşturduğu bir .lagune/ dizini. skills CLI aracı ayrıca slash komutlarını projeye, ajanınızın onları okuduğu yere kurar, eklenti ise onları ajanın içinde tutar.
Kurduğunuz şekilde. Her ajanın kurulum sayfası Lagune'nin orada nasıl güncelleneceğini gösterir, skills CLI aracı ise onu npx skills update ile günceller. Güvenlik ilkeleriniz, faz artefaktlarınız ve kendi uzmanlıklarınız olduğu gibi kalır.
Kategorilerinin yerleşik uzmanlıklarını ve kendi uzmanlıklarını. charter fazı, projeyi okuyarak gerekçelendirebildiği kategorileri kaydeder, npx lagune write add --categories ise onları değiştirir.
Hayır. /lagune komutu, iş yazılırken onu sıkılaştırır: her prompt kabul eder, istediğinizi geliştirir ve güvenlik ilkelerinin rehberliğinde güvenli varsayılanlarla sıkılaştırır. Beş fazlı Blue Team akışı ise zaten var olanı denetler.
Evet. Beş fazlı Blue Team akışı zaten var olanı denetler: charter güvenlik kurallarınızı belirler, detect sistemin ne yaptığını ve risklerin nerede olduğunu çıkarır, plan her bulguyu puanlayıp bir düzeltmeyle eşleştirir, harden düzeltmeleri uygular, verify ise işe yaradıklarını kanıtlayıp onları kapatır.
Kendi başına okuyan bir ajan, güvenlik açığına benzeyeni bulur ve kontrole benzeyeni atlar. Engellenen adreslerin bir listesi, riski birisi zaten halletmiş gibi görünür, bu yüzden kimse adreslerin çoğunu kaçırdığını kontrol etmez ve kod yayına çıkar. Lagune bu varsayılanı tersine çevirir: kodda zaten bulunan bir koruma, kontrol edilene kadar kanıtlanmamış sayılır, katalogdaki her uzmanlık açık bir karar alır ve verify, bir kontrolün var olup olmadığını değil, riskin ortadan kalkıp kalkmadığını sorar. Her bulgu ayrıca çalıştırmalar boyunca takip edilen tek bir öğe olarak kalır, böylece kapandığı kanıtlanıp takipten çıkarılabilir. Sıradan bir istek ise size her seferinde, karşılaştıracak hiçbir şey bırakmayan farklı bir rapor verir.
Güvenli kod istemek, güvenlinin tanımını ajana bırakır ve neyi isteyeceğinizi bildiğinizi varsayar. Gereksinim çoğu zaman, ikiniz de görmeden, isteğinizin içinde zaten vardır: bir kullanıcının erişebildiği kursları gösteren bir sayfa istemek bir yetkilendirme kuralı koyar ve hiç yazılmayan bir kontrol, kodda fark edilecek hiçbir şey bırakmaz. /lagune komutu, ilk satır yazılmadan önce güvenlik ilkelerinizi ve geliştirilmek üzere olan şeye uyan uzmanlıkları yükler, ardından sonucu kullandığı savunmaya göre yeniden okur. Güvenli yol, güvensiz olandan nadiren daha pahalıdır, bu yüzden sonucu belirleyen hangisine uzanılacağını bilmektir ve en başta gelen de tam olarak budur.
Hayır. Lagune kodu okur, sisteminizi asla çalıştırmaz ve ona özel hazırlanmış istekler göndermez. Verify, bir kontrolün kaynak kodda var ve doğru olduğunu teyit eder. Bu, kontrolün canlı bir hedefe yapılan saldırıya dayanıp dayanmadığından farklı bir sorudur, bu yüzden "Cannot tell from the code" sessiz bir onay yerine meşru bir karardır. DAST çalışma zamanı sorusunu, Lagune ise kaynak kod sorusunu yanıtlar, yani biri diğerinin yerini tutmaz. İsteğe bağlı prove komutu bile bu çizgiyi korur: testleri saldırı payload'unu değil, güvenli davranışı doğrular.
Hayır, kesinlikle hayır! Pentest, bir uzmanın canlı sisteminiz üzerinde kendi muhakemesini kullandığı, bulguları birbirine zincirlediği ve hiçbir yüzey kuralının tarif etmediği iş mantığını yokladığı yetkili bir çalışmadır. Bir pentest'in bulguları, detect fazına verdiğiniz endişeler olarak Lagune Blue Team akışına girebilir, böylece bir uzmanın raporladıkları planlanır, sıkılaştırılır ve doğrulanır.
Güvenlik politikası
Lütfen SECURITY.md dosyasına göz atın.
Lisans
Lagune, Apache License 2.0 ile lisanslanmıştır.
Telif hakkı © 2026-günümüz Weslley Araújo ve katkıda bulunanlar.