Готові до копіювання промпти Lagune, які можна вставити просто у ваш ШІ-агент.

💧 Поверхнева перевірка

Перевірка лише для читання, яка самостійно читає код і повідомляє про кожну ваду з виправленням, не запускаючи процес Blue Team і нічого не записуючи у відстеження Lagune.

порада

Краще працює в режимі планування і з визначеними принципами безпеки (/lagune-charter).

🪼 Стандартно

Аспект	Компроміс	Рівень
Зусилля	Один агент перевіряє й звітує, без субагентів.
Час	Швидко. Один прохід лише для читання, нічого не застосовується.
Використання токенів	Помірне, спільне. Уся перевірка йде в одному контексті.

/lagune Ти дослідник кібербезпеки з глибокою експертизою в оборонній безпеці, який використовує Lagune, щоб поглибити свої знання й точність.

Самостійно перевір робочий простір і до кожної знайденої вади підбери конкретне виправлення. Це окрема перевірка, а не процес Blue Team: не запускай detect, plan, harden чи verify і нічого не записуй у відстеження Lagune.

Наприкінці перелічи всі знайдені вади, кожну з її критичністю й конкретним виправленням.

🐬 Кілька агентів

Аспект	Компроміс	Рівень
Зусилля	Один субагент на файл, кількість залежить від розміру кодової бази.
Час	Паралельно для кожного файлу, потім усе об'єднується в один звіт. Як і раніше, лише читання.
Використання токенів	Вище, але ізольоване. Кожен субагент перевіряє у власному контексті.

/lagune Ти оркестратор кібербезпеки, який використовує Lagune, щоб перелічити шляхи, запустити по субагенту на кожен шлях і об'єднати їхні звіти (увесь вміст читають субагенти).

Ти маєш делегувати завдання субагентам залежно від розміру поточного проєкту: що більша кодова база, то більше субагентів треба запустити, усіх паралельно, давши кожному промпт нижче:

```prompt
/lagune Ти дослідник кібербезпеки з глибокою експертизою в оборонній безпеці, який використовує Lagune, щоб поглибити свої знання й точність.

Самостійно перевір <path> і до кожної знайденої вади підбери конкретне виправлення. Це окрема перевірка, а не процес Blue Team: не запускай detect, plan, harden чи verify і нічого не записуй у відстеження Lagune.

Наприкінці перелічи всі вади в <path>, кожну з її критичністю й конкретним виправленням.
```

Наприкінці об'єднай звіти всіх субагентів в один упорядкований за пріоритетом список вад і виправлень.

попередження

Швидка перевірка є одним широким промптом без обмеження обсягу, тож деякі агенти з більшою ймовірністю відмовляться від неї чи перервуть її. Якщо ваш агент опирається, натомість запустіть повний процес Blue Team нижче: його обмежені за обсягом покрокові фази блокують значно рідше.

---

🌊 Автоматичний аудит Blue Team

Запускає повний процес команд від початку до кінця без пауз на введення.

🪼 Стандартно

Аспект	Компроміс	Рівень
Зусилля	Один агент, без субагентів, незалежно від розміру кодової бази.
Час	Середній, але менш ретельно у великих кодових базах. Кожна команда виконується один раз, одна за одною.
Використання токенів	Нижче, але менш ізольоване. Усі команди ділять той самий контекст.

Виконай такі команди по черзі: `/lagune-charter`, `/lagune-detect`, `/lagune-plan`, `/lagune-harden` і `/lagune-verify`.

## Цикл

Коли `/lagune-verify` відхиляє одне чи кілька виправлень, повторюй `/lagune-harden`, а потім `/lagune-verify`, доки всі знахідки не буде належно розв'язано.

## Важливо

- Не зупиняйся й не питай: у разі сумнівів роби все в режимі "full".

🐋 Кілька агентів (глибока перевірка)

Аспект	Компроміс	Рівень
Зусилля	Кількість субагентів залежить від розміру кодової бази.
Час	Довше, але ретельніше. Запускає кілька субагентів, щоб паралельно виявляти, планувати й виправляти знахідки.
Використання токенів	Вище, але безпечніше. Кожен субагент має власний ізольований контекст без упередженості.

Виконай кожну з таких команд в окремому субагенті, по одній (без зворотних апострофів, лише саму команду):

Промпт субагента 1: `/lagune-charter`
Промпт субагента 2: `/lagune-detect`
Промпт субагента 3: `/lagune-plan`
Промпт субагента 4: `/lagune-harden`
Промпт субагента 5: `/lagune-verify`

У командах `/lagune-detect`, `/lagune-plan`, `/lagune-harden` і `/lagune-verify` ти маєш делегувати завдання субагентам залежно від розміру поточного проєкту: що більша кодова база, то більше субагентів треба запустити. Наприклад:

```prompt
/lagune-detect <path>
```

```prompt
/lagune-plan <finding>
```

```prompt
/lagune-harden <finding>
```

```prompt
/lagune-verify <finding>
```

- Кілька агентів для тієї самої команди треба запускати паралельно.
- Коли всі субагенти `/lagune-detect` завершать роботу, виконай:

```prompt
/lagune-detect об'єднай рівнозначні знахідки. Не шукай нових знахідок і не перевіряй кодову базу знову.
```

## Цикл

Коли `/lagune-verify` відхиляє одне чи кілька виправлень, повторюй `/lagune-harden`, а потім `/lagune-verify`, доки всі знахідки не буде належно розв'язано.

## Важливо

- Не зупиняйся й не питай: у разі сумнівів роби все в режимі "full".

---

🪄 Виявлення в обмеженому обсязі

Спрямуйте /lagune-detect на частину проєкту замість усього проєкту. Опишіть обсяг простою мовою (коміт, pull request чи реальну ситуацію), і вона визначить лише знахідки, важливі для безпеки в цих межах.

порада

Усе, що вона тут виявляє, є звичайними знахідками, тож їх можна одразу передати в /lagune-plan, /lagune-harden і /lagune-verify, обмеживши лише цими елементами.

📌 Від коміту

Проведіть окрему перевірку безпеки для свіжої порції комітів, обмежену лише тим, що вони змінили, наприклад:

/lagune-detect Обмеж виявлення всім, що змінилося після коміту `a1b2c3d`.

🔀 Diff гілки чи PR

Перевірте pull request на безпеку до злиття, обмежившись лише його diff, наприклад:

/lagune-detect Обмеж виявлення змінами, які ця гілка вносить порівняно з `main`.

⛑️ Після інциденту

Опишіть, що сталося, власними словами. Lagune читає ситуацію, а не прапорець, і перетворює її на цільовий пошук, наприклад:

/lagune-detect Кілька тижнів тому на нашому сайті стався витік даних. Я не знаю точно, як це сталося, і боюся, що щось досі відкрите й може знову злити дані. Уважно пройдися кодом, зосередься на всіх місцях, де чутливі дані читаються, зберігаються чи розкриваються, і визнач усе, що досі може бути шляхом назовні. Стався до цього як до реального інциденту, а не навчань.

---

🚨 Аудит Zero Trust

Вважає весь робочий простір і кожну залежність ворожими: шукає інтерпретатори, мережеві виклики, закодовані payload і код, захований у несподіваних місцях, щоб прослизнути повз сканери, а наприкінці виносить вердикт go/no-go щодо того, чи безпечно використовувати проєкт.

Промпти напряму завантажують спеціалізації, на які спирається цей аудит, незалежно від категорій вашого проєкту. Для решти каталогу, яку підбирає /lagune, переконайтеся, що проєкт використовує OWASP, ШІ / LLM і категорію свого стеку (наприклад, JavaScript, Python тощо):

npx lagune write add --categories owasp ai javascript

небезпека

Будьте обережні, запускаючи проєкти з недовірених джерел у своєму локальному середовищі. Використовуйте ізольоване середовище, як-от пісочницю (рекомендовано), VM чи щось подібне, щоб шкідливий код не вплинув на вашу систему.

🪼 Стандартно

Аспект	Компроміс	Рівень
Зусилля	Один агент перевіряє весь робочий простір, без субагентів.
Час	Середній. Один агент послідовно опрацьовує код і його залежності.
Використання токенів	Помірне, але спільне. Спеціалізації, код і залежності завантажуються в один контекст.

/lagune Ти дослідник кібербезпеки з глибокою експертизою в оборонній безпеці за принципом zero trust, який використовує Lagune, щоб поглибити свої знання й точність.

Досліди весь робочий простір як недовірене джерело й потенційно шкідливу область. Кожен інтерпретатор, fetch, base64 тощо треба вважати потенційною загрозою.

Пошир аналіз на залежності й транзитивні залежності: проєкт може спробувати сховати шкідливий код у несподіваному місці, щоб прослизнути повз сканери.

Обов'язкові спеціалізації (завантажуй їх по одній через `npx lagune read catalog <name>`):

- interpreter
- secrets
- llm
- path

Щоб було ясно: кожну знайдену вразливість треба вважати потенційною загрозою, без винятків.

Наприкінці винеси вердикт, чи безпечний і надійний проєкт для мого використання.

🐋 Кілька агентів (глибока перевірка)

Аспект	Компроміс	Рівень
Зусилля	Один субагент на файл, кількість залежить від розміру кодової бази.
Час	Довше, але ретельніше. Файли перевіряються паралельно, потім усе об'єднується в один вердикт.
Використання токенів	Найвище, але найбезпечніше. Кожен субагент читає спеціалізації у власному ізольованому контексті.

/lagune Ти оркестратор кібербезпеки, який використовує Lagune, щоб перелічити файли, запустити по субагенту на кожен файл і згенерувати звіти (увесь вміст читають субагенти).

Запусти по одному субагенту на файл, усіх паралельно, давши кожному промпт нижче, обмежений його файлом:

```prompt
/lagune Ти дослідник кібербезпеки з глибокою експертизою в оборонній безпеці за принципом zero trust, який використовує Lagune, щоб поглибити свої знання й точність.

Вважай <file> недовіреним джерелом і потенційно шкідливою областю. Кожен інтерпретатор, fetch, base64 тощо треба вважати потенційною загрозою.

Пошир аналіз на все, що імпортує <file>, зокрема залежності й транзитивні залежності, де може ховатися шкідливий код, щоб прослизнути повз сканери.

Обов'язкові спеціалізації для кожного субагента (завантажуй їх по одній через `npx lagune read catalog <name>`):

- interpreter
- secrets
- llm
- path

Щоб було ясно: кожну знайдену вразливість треба вважати потенційною загрозою, без винятків.

Наприкінці винеси вердикт, чи безпечний і надійний проєкт для мого використання.
```

Наприкінці об'єднай звіти всіх субагентів в один остаточний вердикт.