# /lagune-prove: суто оборонний Proof of Concept

> Перетворіть кожну виявлену знахідку на виконуваний, суто оборонний Proof of Concept (PoC) і бюлетень безпеки для відповідального розкриття.

Канонічна URL-адреса: https://lagune.ai/uk-UA/docs/commands/prove
Мова: uk-UA
Оригінал: https://lagune.ai/docs/commands/prove
Останнє оновлення: 2026-11-03

🧪 Перетворіть кожну виявлену знахідку на виконуваний, суто оборонний доказ для відповідального розкриття.

Для кожної знахідки з карти виявлення вона пише самодостатній бюлетень безпеки й тест, що перевіряє **безпечний шлях**, тож тест не проходить, поки проблема існує, і проходить, щойно код виправлено.

**Порада**

Тести **Lagune** зберігаються ізольовано в `.lagune/`, окремо від вашого власного набору тестів.

## Використання

**Кожна знахідка**

```prompt
/lagune-prove
```

**Знахідка за назвою**

Перегляньте знахідки, які вже відстежуються, за назвою:

```prompt
npx lagune read list --findings

# Findings
#   ...
#   • SQL injection у пошуку користувачів
#   ...
```

```prompt
# Потім доведи одну з них
/lagune-prove SQL injection у пошуку користувачів
```

## Як це працює

Вона читає вихідний код, на який вказує кожна знахідка, і для кожної доведеної знахідки створює в `.lagune/proofs/` окремий каталог, що містить рівно два файли:

| Файл                           | Що це                                                                                                                                            |
| ------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------ |
| `report.test.mjs` (або `.cjs`) | Тест. Він запускається на Poku, якщо ваш проєкт уже його використовує, інакше на вбудованому раннері Node.js, тож нічого не треба встановлювати. |
| `report.md`                    | Самодостатній бюлетень безпеки: критичність, вплив, як відтворити проблему й команда запуску, зрозумілий сам по собі.                            |

Доведення завжди написані на JavaScript, тож залишаються переносними, хоч би якою мовою був написаний ваш проєкт. Індекс `README.md` містить посилання на кожне доведення й одну команду, щоб запустити їх усі.

**Порада**

- Вона **необов'язкова й автономна**: не входить до п'яти фаз і не є частиною ланцюжка відстеження.
- Вона пише лише в `.lagune/proofs/` і ніколи не торкається артефактів фаз чи вашого коду, який лише читає.
- Знахідка, тест якої не відтворює проблему, не отримує доведення, і вона попросить виконати [`/lagune-detect`](https://lagune.ai/uk-UA/docs/commands/detect) для цього місця, щоб узгодити стан.
- Повторний запуск узгоджує доведення: каталог знахідки, яка зникла чи більше не відтворюється, видаляється.

**Примітка**

**Вона запускається лише тоді, коли ви її викликаєте:** агент ніколи не запускає її сам.

**Спирається на detect**

Prove читає карту виявлення від [`/lagune-detect`](https://lagune.ai/uk-UA/docs/commands/detect), тож спершу виконайте detect.

## Лише захист і лише з дозволу

Перш ніж щось генерувати, вона підтверджує, що ви маєте дозвіл тестувати ціль, і відхиляє будь-який запит на робочий експлойт, payload атаки чи обхід виявлення. Доведення демонструє безпечну поведінку й ніколи не видає вхідних даних для атаки.

## Від доведення до розкриття

Два файли кожної доведеної знахідки разом вирушають у **приватний GitHub Gist**, щоб повідомити про вразливість. Вони є доказом чинної, ще не розкритої проблеми, тож `.gitignore` усередині `.lagune/proofs/` не пускає їх у жоден коміт: діліться ними лише через цей Gist, доки мейнтейнери не розв'яжуть проблему.

Закривати знахідку в ланцюжку **Lagune** і далі мають [`/lagune-harden`](https://lagune.ai/uk-UA/docs/commands/harden) і [`/lagune-verify`](https://lagune.ai/uk-UA/docs/commands/verify): prove створює докази, а не закриває щось.

## Часті запитання

### Чи генерує Lagune експлойти?

Ні. /lagune-prove пише суто оборонні докази: тест, що перевіряє безпечний шлях, тож він не проходить, поки проблема існує, і проходить, щойно код виправлено, а також бюлетень безпеки для відповідального розкриття.

### Що створює prove?

Два файли на кожну знахідку: тест (report.test.mjs або .cjs) і бюлетень безпеки (report.md).

### Як відповідально розкрити помилку, яку знайшов Lagune?

Prove пише самодостатній бюлетень безпеки, яким можна поділитися через приватний канал, як-от приватний GitHub Gist, дотримуючись принципів відповідального розкриття.