# Lagune vs. Deepsec: два підходи до безпеки на основі ШІ пліч-о-пліч

> Довідка, що порівнює Lagune і Deepsec від Vercel за принципом роботи, життєвим циклом, виявленням, вартістю, знахідками й закриттям.

Канонічна URL-адреса: https://lagune.ai/uk-UA/docs/references/deepsec
Мова: uk-UA
Оригінал: https://lagune.ai/docs/references/deepsec
Останнє оновлення: 2026-11-03

[Lagune](https://github.com/wellwelwel/lagune) і [Deepsec](https://github.com/vercel-labs/deepsec) (`v2.2.1`) є двома оборонними відповідями на ту саму проблему: безпеку в епоху розробки з допомогою ШІ. Їхня вихідна ідея, їхні початок, середина й кінець, а також те, як кожен подає себе користувачу, свідомо розходяться, навіть там, де їхні механізми перетинаються.

**Порада**

Чи натхненний Lagune проєктом Deepsec? Ні, Lagune написано з нуля, і його натхненням є Spec-Driven Development і Security Hardening. Обидва проєкти розроблялися незалежно, а це порівняння має допомогти користувачам зрозуміти їхні відмінності.

## Коротко

| Аспект               | Lagune                                                                                                                | Deepsec                                                                            |
| -------------------- | --------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------- |
| Тип                  | Методологія (SDH) з еталонною реалізацією                                                                             | Продукт: сканер вразливостей на основі агентів                                     |
| Центр ваги           | Принципи безпеки й знання на вимогу керують агентом, спираючись на детерміновані хуки                                 | Широка сітка регулярних виразів живить обов'язкове розслідування ШІ                |
| Що створює           | Захищений код, доведення й відстежуваний ланцюжок знахідок                                                            | Звіт зі знахідками, відсортованими за критичністю й пріоритетом                    |
| Чи торкається коду   | Так: `harden` редагує ваш код                                                                                         | Ні: лише статичний аналіз, видає знахідки й текст рекомендацій                     |
| Середовище виконання | Працює на агенті й моделі, які ви вже використовуєте, будь-якого рівня                                                | Запускає власний конвеєр моделей, за замовчуванням передового рівня                |
| Початок роботи       | Одне встановлення плагіна чи `npx skills add`, а далі керування простою мовою, без нового інструмента для розгортання | Розгорнути робочий простір `.deepsec/`, встановити залежності й додати ключ моделі |

## Як це працює

Lagune ставить агента на перше місце: агент керує процесом, на вимогу підтягує знання про те, чим є код, і делегує частину, яку можна визначити, детермінованим хукам.

Deepsec ставить на перше місце детермінованість: широка перевірка позначає кандидатів, які вказують обов'язковій моделі, що розслідувати й оцінювати.

| Аспект             | Lagune                                                                                            | Deepsec                                                           |
| ------------------ | ------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------- |
| Порядок            | Принципи безпеки й відповідні знання спрямовують агента, який делегує хукам і оцінює решту        | Матчери позначають кандидатів, модель розслідує й оцінює кожного  |
| Детермінована роль | Багатомовні хуки, що повертають вердикт або спрямовують агента, у поєднанні зі знаннями категорій | Матчери, що позначають кандидатів для оцінки обов'язковою моделлю |
| Процес розробки    | `/lagune` створює безпечний код просто під час програмування                                      | Переглядає код, а не пише його                                    |
| Процес аудиту      | `charter` → `detect` → `plan` → `harden` → `verify`                                               | `scan` → `process` → `triage` → `revalidate` → `report`           |
| Завдання ШІ        | Міркувати на основі знань, застосовувати виправлення й доводити, що воно діє                      | Розслідувати кожного кандидата й звітувати про знахідки           |

## Життєвий цикл

Lagune працює до, під час і після написання коду. Deepsec перевіряє репозиторій, коли код уже існує.

| Момент                | Lagune                                                                           | Deepsec                                                               |
| --------------------- | -------------------------------------------------------------------------------- | --------------------------------------------------------------------- |
| До появи коду         | `charter` формує політику безпеки із заявленого наміру                           | Починає з наявного коду: `init` потребує каталогу                     |
| Під час розробки      | `/lagune` створює безпечний за замовчуванням код одразу, не залишаючи артефактів | Перевіряє після розробки, а не під час неї                            |
| Для наявного коду     | `detect` → `plan` → `harden` → `verify`                                          | `scan` → `process`, основний процес                                   |
| Безперервна перевірка | Повторний запуск фаз для потрібного обсягу, без готового шлюзу CI                | Інкрементальна повторна перевірка, `process --diff` як шлюз виходу CI |

## Рівень виявлення

Два детерміновані рівні протилежні за своєю природою: один вирішує, інший позначає.

| Аспект               | Lagune                                                                           | Deepsec                                                               |
| -------------------- | -------------------------------------------------------------------------------- | --------------------------------------------------------------------- |
| Групування           | Хуки й спеціалізації, згруповані в категорії                                     | Матчери для кожного шаблону чи фреймворку                             |
| Вивід                | Буквальний вердикт (знахідка / перегляд / рекомендація) плюс мітка класифікації  | Кандидат без вердикту (slug, рядки, фрагмент коду, шаблон, що збігся) |
| Налаштування         | Точність: врахування коментарів, захист від заповнювачів і вікон                 | Повнота: широкі сітки, а хибні спрацьовування потім відсіює ШІ        |
| Глибина              | Глибше в спільних класах                                                         | Ширше, але менш глибоко в спільних класах                             |
| Хибні спрацьовування | Утримуються на низькому рівні від самого джерела, а потім оцінюються в контексті | Навмисно генеруються з надлишком і скорочуються проходом `revalidate` |

## Знання й судження

Обидва несуть знання з безпеки, недоступні регулярним виразам. Вони відрізняються тим, де ці знання зберігаються і хто може їх формувати.

| Аспект                | Lagune                                                                        | Deepsec                                                                                 |
| --------------------- | ----------------------------------------------------------------------------- | --------------------------------------------------------------------------------------- |
| Форма                 | Редаговані модулі в markdown, кілька з яких підкріплені детермінованим хуком  | Короткий промпт і підказки для кожної технології, що спираються на власні знання моделі |
| Вибір                 | Підбираються до коду, завантажуються лише тоді, коли присутній їхній контекст | Вставляються в кожну партію ШІ, плюс підказки для виявленої технології                  |
| Хто їх пише           | Користувач редагує модулі й додає нові через `specialize`                     | Промптом володіє мейнтейнер, а користувач заповнює `INFO.md`                            |
| Де місце судження     | Хуки вирішують свій мінімум, а агент оцінює решту на основі знань             | Централізовано: один процесор ШІ оцінює кожного кандидата                               |
| Повторне використання | Один модуль спрямовує і `detect`, і `verify`                                  | Один промпт керує єдиним етапом `process`                                               |

## Знахідки й закриття

Найбільше вони розходяться в тому, чим стає знахідка після розв'язання.

| Аспект              | Lagune                                                                                          | Deepsec                                                                              |
| ------------------- | ----------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------ |
| Критичність         | Оцінка CVSS v4.0, скоригована з урахуванням відкритості й значущості                            | Критичність від ШІ плюс сортування P0 / P1 / P2 за можливістю експлуатації й впливом |
| Вердикти            | Risk closed, not closed або cannot tell from the code                                           | true-positive, false-positive, fixed, uncertain, accepted-risk, duplicate            |
| Зберігання          | Робочий ланцюжок узгоджується, закриті знахідки стисло переходять в історію                     | Записи для кожного файлу лише з дописуванням, нічого не видаляється                  |
| Кінцевий стан       | Безпеку можна закрити: доведену знахідку знімають з обліку, ланцюжок може перейти в стан спокою | Кожна знахідка зберігається назавжди й ховається з переглядів після розв'язання      |
| Деталізація історії | Стислий підсумок того, яким був ризик                                                           | Повний слід вердиктів, зокрема те, як ризик виправили                                |

## Вартість

| Аспект                 | Lagune                                                                                                                                                               | Deepsec                                                                                                                                                                                                                       |
| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Детермінований мінімум | Безкоштовно: хуки працюють без ШІ й без ключа і вже видають вердикти                                                                                                 | Безкоштовно: `scan` працює без ШІ, але сам по собі не видає вердиктів                                                                                                                                                         |
| Типовий рахунок        | Входить в агента, якого ви вже використовуєте: аж до $0 на локальній моделі, ціна плану, яким ви вже користуєтеся, або оплата за ітерацію при використанні через API | [Приблизно від $25 до $1200 за запуск, якщо файлів від 100 до 2000, більше в масштабі](https://github.com/vercel-labs/deepsec/blob/f75a16803ec5250938bacfe41571d929e8564f45/docs/getting-started.md#run-the-ai-investigation) |
| Найдешевший шлях       | Будь-яка модель, зокрема безкоштовна локальна, закриває цикл                                                                                                         | Є дешевші платні рівні, але знахідки потребують платного етапу ШІ                                                                                                                                                             |

## Розширюваність і керування

Кожен відкриває той рівень, який інший тримає закритим.

| Аспект                   | Lagune                                               | Deepsec                                                  |
| ------------------------ | ---------------------------------------------------- | -------------------------------------------------------- |
| Що ви розширюєте         | Редагуєте модулі або додаєте нові через `specialize` | Додаєте матчери, агентів, сповіщувачі й відповідальність |
| Рівень політик           | Принципи безпеки керують кожною фазою й мають версії | Конфігурація операційна (матчери, моделі, шляхи)         |
| Перевизначення за назвою | Уточнений модуль перекриває вбудований               | При збігу slug матчера перемагає ваш матчер              |

## Інтерфейси

Deepsec видає результати для організації з безпеки. Lagune показує огляд наживо для того, хто його запускає.

| Аспект                 | Lagune                                                  | Deepsec                                                                     |
| ---------------------- | ------------------------------------------------------- | --------------------------------------------------------------------------- |
| Інтерфейс для людини   | Локальний дашборд усього ланцюжка наживо, простою мовою | Файли звіту, експорту, метрик і коментарів до PR, а також сайт документації |
| Відповідальність       | Показує файли й спеціалізації, які застосувалися        | Пропонує відповідального: чергового, менеджера чи автора коміту             |
| Відтворюване доведення | `prove` пише виконувані тести й бюлетень для розкриття  | Свідомо залишається статичним і ніколи не виконує ціль                      |
| Самозахист інструмента | Захищає локальний API запису в дашборді                 | Захищає власне виконання ШІ від недовіреного коду цілі                      |

## Масштаб і розгортання

| Аспект               | Lagune                                                                                   | Deepsec                                                      |
| -------------------- | ---------------------------------------------------------------------------------------- | ------------------------------------------------------------ |
| Встановлення         | Дев'ять команд із плагіна вашого агента чи CLI skills, без жодних згенерованих заготовок | Робочий простір `.deepsec/` з власним пакетом і залежностями |
| Напрям масштабування | Обмежується будь-якою частиною: контекстом, одним файлом чи всім проєктом                | Перевіряє цілі репозиторії, аж до великих монорепозиторіїв   |
| Розподіл             | Лише локально, єдиний сервер прив'язаний до loopback                                     | Необов'язковий розподіл між робочими VM у Vercel Sandbox     |

## Досвід користувача

Як кожен зустрічає людину, що його запускає: чого потребує перший запуск і як оператор його спрямовує.

### Початок роботи

Lagune працює через уже відкритого агента. Deepsec спершу готує власний робочий простір і доступ до моделі.

| Аспект                    | Lagune                                                                                   | Deepsec                                                                               |
| ------------------------- | ---------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------- |
| Перша команда             | Встановлення плагіна чи `npx skills add wellwelwel/lagune`, а потім `/lagune-*` в агенті | `npx deepsec init`, потім `cd .deepsec`, `pnpm install`, `scan`, `process`            |
| Облікові дані для запуску | Окремий ключ не потрібен, використовується ваш поточний агент                            | Ключ моделі (наприклад, AI Gateway, 12-годинний токен Vercel OIDC чи токен Anthropic) |

### Керування

Обидва приймають вказівки. Lagune у кожній фазі читає форму вхідних даних. Deepsec звужує набір файлів, над яким виконується те саме розслідування.

| Аспект            | Lagune                                                                 | Deepsec                                                |
| ----------------- | ---------------------------------------------------------------------- | ------------------------------------------------------ |
| Увесь проєкт      | Фаза без вхідних даних перевіряє весь обсяг                            | `scan` і `process` перевіряють репозиторій             |
| Частина           | Будь-яка фаза обмежується заданими файлами чи каталогами               | `--files`, `--files-from` або `--diff` звужують запуск |
| Занепокоєння      | Фаза обмежується описаним побоюванням                                  | Промпт розслідування незмінний                         |
| Рівень пріоритету | `harden` і `verify` обмежуються рівнями Critical, High, Medium чи Low  | Знахідкам призначають мітки після запуску              |
| Окреме значення   | Хук напряму оцінює один фрагмент, шаблон чи URL (`--pattern`, `--url`) | Одиницею роботи є файл                                 |

## Часті запитання

### Чим Lagune відрізняється від Deepsec?

Lagune ставить агента на перше місце й працює до, під час і після написання коду: встановлює політику ще до коду, посилює захист одразу під час розробки, а також перевіряє, захищає й верифікує вже написаний код. Deepsec ставить на перше місце детермінованість: широка перевірка регулярними виразами живить обов'язкове розслідування моделлю передового рівня, яке переглядає наявний код і звітує про знахідки, не змінюючи його.

### Чи можна запускати будь-який із них безкоштовно?

Увесь процес Lagune може працювати за $0 на безкоштовній локальній моделі, а його детерміновані хуки видають вердикти взагалі без ШІ. Перевірка Deepsec безкоштовна, але не видає вердиктів, тож будь-яка знахідка потребує платного етапу ШІ.

### Чи змінює хтось із них мій код?

Lagune змінює: harden застосовує виправлення до вашого коду. Deepsec не змінює: це лише статичний аналіз, що видає знахідки й текст рекомендацій, які людина чи агент застосовує окремо.