Orkestra + Kırmızı-Takım Paketi — Kullanım Talimatı

Kaynak doğruluk: CLAUDE-v1.md (tek yetkili kaynak; çakışırsa o kazanır). Bu dosya ondan türetilmiştir.

Tarih: 2026-10-18 · Sağlayıcı: Anthropic API (model takma adları kullanılıyor)

Bu paket iki ayrı sistemdir:

Üretim Orkestrası — büyük işleri şef + uzman ajanlar + bağımsız denetçiyle bölerek yürütmek.
Kırmızı-Takım (Red Agents) — yalnızca kendi/yetkili uygulamanda güvenlik öz-testi.

Temel ilke: "Şef çalmaz, yönetir." İşi yapan ajan kendi işini onaylamaz; saldıran ajan düzeltmez.

1. Paketin içinde ne var?

agents/                 15 ajan tanımı (.claude/agents/ içine gider)
  ── Üretim (7):        denetci, gelistirici, arastirmaci, yukleyici,
                        tasarimci, derin-akil, video-ureticisi
  ── Kırmızı-Takım (8): orkestrator, kimlige-burun, ui-sinirlari, disaridan,
                        llm-uygulamalari, sir-ve-bagimlilik, oran-ve-izleme, duzeltici
skills/                 4 beceri (orkestra'dan yalnızca biri aktif olmalı)
  ── orkestra-free/     Sohbet sürümü (Claude Code / alt ajan yok)
  ── orkestra-pro/      Hafif sürüm (alt ajan var, limit ortak)
  ── orkestra-max/      Tam sürüm (paralel ajanlar + Fable)
  ── karpathy-guidelines/  Önce sadelik · cerrahi · varsayım (her kod/metin işinde)
CLAUDE-v1.md            Birleşik kural dosyası (Bölüm 8 Karpathy dahil; projeye konur)
inceleme-ve-duzeltmeler.md   Bulunan hatalar + düzeltme raporu
KULLANIM-TALIMATI.md    Bu dosya

2. Nereye kurulur?

A) Global (her oturumda görünür) — ŞU AN KURULU

~/.claude/agents/ → 15 ajan (Karpathy'li + 5 alanlı yetki kapısı)
~/.claude/skills/ → 4 beceri (orkestra-free/pro/max + karpathy-guidelines)
~/.claude/CLAUDE.md → hafif global yönerge (Pro varsayılan; orkestra + Karpathy + kırmızı-takımı her yeni Claude Code oturumunda devreye alır). 28 KB'lık ağır referans global'e KONMADI; o CLAUDE-v1.md olarak başvuru/proje dosyasıdır.

B) Proje bazlı (önerilen, daha temiz)

Bir projede orkestra/tatbikat istiyorsan o projenin kök dizinine:

CLAUDE-v1.md içeriğini → projedeki CLAUDE.md dosyasına ekle (üzerine yazma, ekle).
İstersen ajanları da projeye özel ./.claude/agents/ altına koy.

Claude Code ajan/beceri okuma sırası: önce proje (./.claude/), sonra global (~/.claude/). İkisi de varsa proje kazanır.

3. Üretim Orkestrası nasıl kullanılır?

Plan sürümünü seç (yalnızca biri aktif)

Plan	Ne zaman	Davranış
free	Alt ajan (`Agent`) aracı yoksa / normal sohbet	Şef sensin; her parça ayrı sohbet, denetçi yeni sohbet
pro	Alt ajan var ama limit dar	Ana oturum yapar, orta/büyük işi `denetci` kontrol eder, paralel yok
max	Limit yüksek	Şef hiç üretmez; paralel uzman ajanlar + her parçaya `denetci`

Claude'a sadece "orkestra" ya da "orkestrayı kur" demen yeter; uygun beceri tetiklenir.

Önemli — "en üst sürümü kullan" yanlıştır: free/pro/max kalite kademesi değil, plan-uyumudur. Pro'da max açmak sınırlı ortak kotayı yakar ve fable (ek kredi) ister. Plana denk olanı kullan (Pro → pro; alt ajan yoksa free; max yalnızca Max planında).

İş boyutuna göre akış

Küçük (<~30 satır, tek dosya, mekanik): doğrudan yap, denetçi yok.
Orta (birkaç dosya): 1 uzman ajan + denetci.
Büyük (bağımsız çok parça): paralel ajanlar (max), her parçaya denetci, şef merge --no-ff ile birleştirir.
Çok büyük: yalnızca sen "workflow kullan" dersen.

Model seçimi (varsayılan `sonnet`)

haiku: mekanik iş, basit okuma/özet/format → yukleyici
sonnet: kod, araştırma, normal denetim, metin → gelistirici, arastirmaci
opus: görsel tasarım yönü + güvenlik/para/veri riskli denetim → tasarimci, riskli denetci, Şef
fable: çok nadir; 2 DUZELT turunda çözülmeyen, çelişkili veya yüksek bedelli karar → derin-akil

6 başlıklı brif şablonu

GÖREV: ne yapılacak ve neden
SENİN DOSYALARIN: ajanın değiştirebileceği dosyalar
DOKUNMA: başka ajanın / riskli dosyalar
ÖNCE OKU: kural ve bağlam belgeleri
BİTTİ TANIMI: ölçülebilir ("testler geçiyor", "390 px'te taşma yok", "düzeltme geri alınınca test kırılıyor")
RAPOR: {"dosyalar": [], "ozet": "", "testler": "", "acikSorunlar": []}

Denetçi (`denetci`) cevabı — her zaman tek biçim

{"karar": "ONAY | DUZELT", "engeller": [], "cilalar": [], "gercekHatalari": []}

DUZELT gelirse yalnızca engeller düzeltilir; en fazla 3 tur, sonra sana sorulur.

Değişmez kurallar (her brife eklenir)

Ücretli kaynak açmadan önce aylık tutarı yaz, onay al.
Erişilemeyen kaynak → "doğrulanamadı" yaz, uydurma yok.
Yeşil test kanıt değildir → mutasyon kontrolü (düzeltmeyi geri alınca test kırılmalı).
Yasak git: stash, reset --hard, rebase, push --force. Birleştirme yalnızca şef, merge --no-ff.
Sırlar koda/loga/sohbete yazılmaz.
Gereksiz kişisel veri toplanmaz.
Karpathy: önce sadelik (en az kod; spekülatif özellik/soyutlama yok), cerrahi değişiklik (yalnızca gerekene dokun, bitişiği "iyileştirme", mevcut stile uy), başlamadan varsayımları yaz ve belirsizse sor.

4. Kırmızı-Takım (Red Agents) nasıl kullanılır?

⚠️ Yalnızca sahibi olduğun veya yazılı test yetkin olan sistemde. Başka bir sisteme karşı kullanılamaz.

Ön Uçuş / Yetki Kapısı — ilk istekten önce ZORUNLU

Claude bu 4+1 alanı dolu görmeden ve senden "başla" onayı almadan tek bir istek bile göndermez:

Hedef: tam URL (sahibi senin / yazılı yetki). Yetki geçişsiz — kardeş host'a, ortak SSO'ya, 3. taraf API'ye geçmez.
Yetki kanıtı: sahiplik / imzalı sözleşme / yayınlı bug-bounty + link / işveren onayı.
Ortam: yerel veya staging-tek-kullanımlık-db (canlı ancak yazılı onay + değişiklik penceresiyle; emin değilsen canlı say ve dur).
Test hesapları: redteam-a@example.com, redteam-b@example.com, redteam-admin@example.com — tüm testler yalnızca bunlar arasında.
Durdurma/bildirim yolu: nasıl durdurulacağı ve kime haber verileceği baştan belli.

Kadro ve kapsam

Ajan	Model·çaba	Kapsam
`orkestrator`	opus	Yetki kapısı, dağıtım, triyaj (Kritik/Yüksek/Orta/Düşük). Saldırmaz, düzeltmez.
`kimlige-burun` (A)	opus·high	Grup 1: IDOR/BOLA, BFLA, oturum/JWT, OAuth/SSO, hesap devralma, MFA
`ui-sinirlari` (B)	opus·high	Grup 2: istemci doğrulaması, kütle atama, iş mantığı, TOCTOU, hız sınırı
`disaridan` (C)	sonnet·medium	Grup 3–7: XSS/SQLi/SSTI, CSRF/CORS, SSRF, GraphQL, dosya yükleme vb.
`llm-uygulamalari` (D)	sonnet·medium	Grup 10: prompt injection, araç yetkisi, RAG — yalnızca LLM varsa
`sir-ve-bagimlilik`	haiku·low	Grup 7 derin: git sır, .env, npm/pip/osv audit (salt okunur)
`oran-ve-izleme`	sonnet·medium	Grup 2&8: ~50 istek tavanı, log/izleme
`duzeltici`	opus	AYRI TUR: kök nedeni sunucuda kapatır, yeniden test eder

Angajman kuralları

Kanıtla, istismar etme: asgari kanıt al, dur. DoS/toplu veri çekme/arka kapı yasak.
Hız/brute testi: uç başına en çok ~50 istek, 429 görünce dur.
Her sır (token/çerez/anahtar/PII) anında REDACTED; bulunan sır kullanılmaz, konumu bildirilir, iptal ettirilir.
1. taraf servisler (model sağlayıcı, e-posta/SMS, ödeme, bulut) taranmaz.
Saldıran ajan düzeltmez; düzeltme rapor bittikten sonra ayrı duzeltici turunda.
Kapsam dışına çıkılacaksa / gerçek veriye değilecekse / sistem kararsızlaşırsa anında dur ve sor.

Akış

orkestrator yetki kapısını geçirir, kapsamı tek satırda söyler, "başla" onayı alır.
Saldırgan ajanlar taze bağlamda paralel/sıralı koşar, bulguları tek maskeli kanıt defterine yazar.
orkestrator tekilleştirir + triyaj yapar → rapor.md.
Ayrı turda duzeltici kök nedeni kapatır, yeniden test eder.

5. prompts.chat eklentisi (opsiyonel)

Claude Code içinde hazır prompt/skill aramak için:

/plugin marketplace add f/prompts.chat
/plugin install prompts.chat@prompts.chat
export PROMPTS_API_KEY=...   # yalnızca kaydetmek için (https://prompts.chat/settings)

Komutlar: /prompts.chat:prompts <sorgu>, /prompts.chat:skills <sorgu>.

6. Hızlı başlangıç

Bir projede çalışıyorsan CLAUDE-v1.md içeriğini o projenin CLAUDE.md'sine ekle.
Üretim için: Claude'a "orkestra" de, planını (free/pro/max) söyle.
Güvenlik için: sadece kendi/yetkili uygulamanda "kırmızı takım" de, yetki kapısını doldur, "başla" de.

Kaynak: Rues Community — "Yapay Zekâ Orkestrası #1" & "Kırmızı-Takım Sürüsü #2" (github.com/ruesandora/RuesCommunity).

Ham markdown (.md) indir