Lagune допомагає вашому ШІ-агенту зробити проєкт безпечнішим. Ви спрямовуєте його на свій код, агент з'ясовує, що насправді робить ваша система, а потім веде вас через роботу з безпеки, важливу саме для неї. Lagune є першим проєктом методології Security-Driven Hardening (SDH).
Подобається Lagune? Поставте нам ⭐ на GitHub
Оберіть свій агент
- Під капотом Lagune працює на Node.js, але ви використовуєте будь-яку мову, яку хочете.
- Щоб працювати повністю офлайн, встановіть Lagune у свій проєкт командою
npm i -D lagune@0.16.0.
Категорії
Знання Lagune з безпеки надходять у вигляді спеціалізацій, згрупованих у категорії.
npx lagune write add --categories owaspПроєкт починає з owasp, а /lagune-charter додає категорії, які підтверджує її аналіз проєкту.
Вимоги
У вашій системі має бути встановлено Node.js (LTS).
Додайте бейдж ✨
Використовуєте Lagune? Додайте бейдж у свій README:
- Двоколірний
- Суцільний
Далі
Дізнайтеся, що робить кожна з навичок Lagune.
Часті запитання
Lagune є робочим процесом безпеки з відкритим кодом, суто оборонним, який допомагає вашому ШІ-агенту посилити захист будь-якої кодової бази. Ви спрямовуєте його на свій код, він визначає, що насправді робить ваша система, а потім спрямовує виправлення безпеки, важливі саме для цього контексту.
Оберіть свій агент: Claude Code, GitHub Copilot CLI, Muse Code, Antigravity CLI, Cursor, Kimi Code, OpenCode, Codex CLI, Factory Droid, Grok Build, Devin CLI і Hermes Agent встановлюють Lagune як плагін, Gemini CLI і Qwen Code як розширення, Pi як пакет, а будь-який інший агент через npx skills add wellwelwel/lagune. Lagune працює як у нових, так і в наявних проєктах.
Ні. Lagune працює через вашого власного ШІ-агента, тож API-ключі не потрібні.
У вашій системі має бути встановлено Node.js (LTS).
Будь-які. Під капотом Lagune працює на Node.js, але перевіряє й посилює захист проєктів, написаних будь-якою мовою програмування.
Каталог .lagune/ зі станом безпеки вашого проєкту, який створює перша команда, що щось записує. CLI skills також встановлює slash-команди в проєкт, звідки їх читає ваш агент, а плагін тримає їх усередині агента.
Так само, як ви його встановили. Сторінка встановлення кожного агента показує, як оновити там Lagune, а CLI skills оновлює його командою npx skills update. Ваші принципи безпеки, артефакти фаз і власні спеціалізації залишаються недоторканими.
Вбудовані спеціалізації його категорій, а також власні. Фаза charter записує категорії, які підтверджує її аналіз проєкту, а npx lagune write add --categories їх змінює.
Ні. Команда /lagune посилює захист роботи під час написання коду: вона приймає будь-який промпт, створює те, що ви попросили, і посилює захист безпечними налаштуваннями за замовчуванням, керуючись принципами безпеки. П'ятифазний процес Blue Team перевіряє те, що вже існує.
Так. П'ятифазний процес Blue Team перевіряє те, що вже існує: charter встановлює ваші правила безпеки, detect визначає, що робить система і де ризики, plan оцінює кожну знахідку й підбирає до неї виправлення, harden застосовує виправлення, а verify доводить, що вони діють, і закриває їх.
Агент, що читає код сам, знаходить те, що схоже на вразливість, і пропускає те, що схоже на засіб захисту. Список заблокованих адрес виглядає так, ніби хтось уже впорався з ризиком, тож ніхто не перевіряє, що він пропускає більшість із них, і код іде в реліз. Lagune перевертає це припущення: засіб захисту, що вже є в коді, вважається недоведеним, доки його не перевірено, кожна спеціалізація з каталогу отримує явний вердикт, а verify питає, чи зник ризик, а не чи є засіб захисту. Кожна знахідка також залишається одним відстежуваним елементом між запусками, тож можна довести, що її закрито, і зняти її з обліку, тоді як звичайне прохання щоразу дає інший звіт, який нема з чим порівняти.
Прохання про безпечний код залишає визначення безпеки агенту й припускає, що ви знаєте, про що просити. Вимога зазвичай уже міститься у вашому запиті, хоч ні ви, ні агент її не бачите: прохання про сторінку з курсами, до яких користувач має доступ, задає правило авторизації, а перевірка, яку так і не написали, не залишає в коді нічого, що можна помітити. Команда /lagune завантажує ваші принципи безпеки й спеціалізації, що відповідають тому, що зараз створюватиметься, ще до першого рядка коду, а потім перечитує результат з огляду на захист, який використала. Безпечний варіант рідко коштує більше за небезпечний, тож результат визначає знання, який із них обрати, і саме це знання надходить заздалегідь.
Ні. Lagune читає код і ніколи не запускає вашу систему й не надсилає їй підроблених запитів. Verify підтверджує, що засіб захисту наявний і коректний у вихідному коді, а це інше питання, ніж те, чи витримає він атаку на робочу систему, тож "cannot tell from the code" є законним вердиктом, а не тихим проходженням перевірки. DAST відповідає на питання про час виконання, а Lagune на питання про вихідний код, тож жоден не замінює іншого. Навіть необов'язкова команда prove дотримується цієї межі: її тести перевіряють безпечну поведінку, а не payload атаки.
Ні, точно ні! Пентест є авторизованою роботою, у якій фахівець застосовує власне судження до вашої робочої системи, поєднує знахідки в ланцюжки й досліджує бізнес-логіку, яку не описує жодне правило для окремої поверхні. Знахідки з пентесту можуть увійти в процес Blue Team від Lagune через фазу detect як занепокоєння, тож те, про що звітує фахівець, буде сплановано, захищено й перевірено.
Політика безпеки
Ознайомтеся з SECURITY.md.
Ліцензія
Lagune поширюється за ліцензією Apache License 2.0.
Copyright © 2026-дотепер Weslley Araújo і контриб'ютори.