# Orkestra + Kırmızı-Takım Paketi — Kullanım Talimatı

> **Kaynak doğruluk:** `CLAUDE-v1.md` (tek yetkili kaynak; çakışırsa o kazanır). Bu dosya ondan türetilmiştir.

**Tarih:** 2026-10-18 · **Sağlayıcı:** Anthropic API (model takma adları kullanılıyor)

Bu paket iki ayrı sistemdir:
1. **Üretim Orkestrası** — büyük işleri şef + uzman ajanlar + bağımsız denetçiyle bölerek yürütmek.
2. **Kırmızı-Takım (Red Agents)** — yalnızca **kendi/yetkili** uygulamanda güvenlik öz-testi.

> **Temel ilke:** "Şef çalmaz, yönetir." İşi yapan ajan kendi işini onaylamaz; saldıran ajan düzeltmez.

---

## 1. Paketin içinde ne var?

```
agents/                 15 ajan tanımı (.claude/agents/ içine gider)
  ── Üretim (7):        denetci, gelistirici, arastirmaci, yukleyici,
                        tasarimci, derin-akil, video-ureticisi
  ── Kırmızı-Takım (8): orkestrator, kimlige-burun, ui-sinirlari, disaridan,
                        llm-uygulamalari, sir-ve-bagimlilik, oran-ve-izleme, duzeltici
skills/                 4 beceri (orkestra'dan yalnızca biri aktif olmalı)
  ── orkestra-free/     Sohbet sürümü (Claude Code / alt ajan yok)
  ── orkestra-pro/      Hafif sürüm (alt ajan var, limit ortak)
  ── orkestra-max/      Tam sürüm (paralel ajanlar + Fable)
  ── karpathy-guidelines/  Önce sadelik · cerrahi · varsayım (her kod/metin işinde)
CLAUDE-v1.md            Birleşik kural dosyası (Bölüm 8 Karpathy dahil; projeye konur)
inceleme-ve-duzeltmeler.md   Bulunan hatalar + düzeltme raporu
KULLANIM-TALIMATI.md    Bu dosya
```

---

## 2. Nereye kurulur?

### A) Global (her oturumda görünür) — ŞU AN KURULU
- `~/.claude/agents/` → 15 ajan (Karpathy'li + 5 alanlı yetki kapısı)
- `~/.claude/skills/` → 4 beceri (orkestra-free/pro/max + karpathy-guidelines)
- `~/.claude/CLAUDE.md` → **hafif** global yönerge (Pro varsayılan; orkestra + Karpathy + kırmızı-takımı her yeni Claude Code oturumunda devreye alır). 28 KB'lık ağır referans global'e KONMADI; o `CLAUDE-v1.md` olarak başvuru/proje dosyasıdır.

### B) Proje bazlı (önerilen, daha temiz)
Bir projede orkestra/tatbikat istiyorsan o projenin kök dizinine:
- `CLAUDE-v1.md` içeriğini → projedeki **`CLAUDE.md`** dosyasına ekle (üzerine yazma, ekle).
- İstersen ajanları da projeye özel `./.claude/agents/` altına koy.

> Claude Code ajan/beceri okuma sırası: önce proje (`./.claude/`), sonra global (`~/.claude/`). İkisi de varsa proje kazanır.

---

## 3. Üretim Orkestrası nasıl kullanılır?

### Plan sürümünü seç (yalnızca biri aktif)
| Plan | Ne zaman | Davranış |
|---|---|---|
| **free** | Alt ajan (`Agent`) aracı yoksa / normal sohbet | Şef sensin; her parça ayrı sohbet, denetçi yeni sohbet |
| **pro** | Alt ajan var ama limit dar | Ana oturum yapar, orta/büyük işi `denetci` kontrol eder, paralel yok |
| **max** | Limit yüksek | Şef hiç üretmez; paralel uzman ajanlar + her parçaya `denetci` |

Claude'a sadece **"orkestra"** ya da **"orkestrayı kur"** demen yeter; uygun beceri tetiklenir.

> **Önemli — "en üst sürümü kullan" yanlıştır:** `free/pro/max` kalite kademesi değil, plan-uyumudur. Pro'da `max` açmak sınırlı ortak kotayı yakar ve `fable` (ek kredi) ister. **Plana denk olanı kullan** (Pro → `pro`; alt ajan yoksa `free`; `max` yalnızca Max planında).

### İş boyutuna göre akış
- **Küçük** (<~30 satır, tek dosya, mekanik): doğrudan yap, denetçi yok.
- **Orta** (birkaç dosya): 1 uzman ajan + `denetci`.
- **Büyük** (bağımsız çok parça): paralel ajanlar (max), her parçaya `denetci`, şef `merge --no-ff` ile birleştirir.
- **Çok büyük:** yalnızca sen **"workflow kullan"** dersen.

### Model seçimi (varsayılan `sonnet`)
- `haiku`: mekanik iş, basit okuma/özet/format → `yukleyici`
- `sonnet`: kod, araştırma, normal denetim, metin → `gelistirici`, `arastirmaci`
- `opus`: görsel tasarım yönü + güvenlik/para/veri riskli denetim → `tasarimci`, riskli `denetci`, Şef
- `fable`: çok nadir; 2 DUZELT turunda çözülmeyen, çelişkili veya yüksek bedelli karar → `derin-akil`

### 6 başlıklı brif şablonu
```
GÖREV: ne yapılacak ve neden
SENİN DOSYALARIN: ajanın değiştirebileceği dosyalar
DOKUNMA: başka ajanın / riskli dosyalar
ÖNCE OKU: kural ve bağlam belgeleri
BİTTİ TANIMI: ölçülebilir ("testler geçiyor", "390 px'te taşma yok", "düzeltme geri alınınca test kırılıyor")
RAPOR: {"dosyalar": [], "ozet": "", "testler": "", "acikSorunlar": []}
```

### Denetçi (`denetci`) cevabı — her zaman tek biçim
```json
{"karar": "ONAY | DUZELT", "engeller": [], "cilalar": [], "gercekHatalari": []}
```
`DUZELT` gelirse yalnızca `engeller` düzeltilir; en fazla **3 tur**, sonra sana sorulur.

### Değişmez kurallar (her brife eklenir)
1. Ücretli kaynak açmadan önce aylık tutarı yaz, onay al.
2. Erişilemeyen kaynak → "doğrulanamadı" yaz, uydurma yok.
3. Yeşil test kanıt değildir → mutasyon kontrolü (düzeltmeyi geri alınca test kırılmalı).
4. Yasak git: `stash`, `reset --hard`, `rebase`, `push --force`. Birleştirme yalnızca şef, `merge --no-ff`.
5. Sırlar koda/loga/sohbete yazılmaz.
6. Gereksiz kişisel veri toplanmaz.
7. **Karpathy:** önce sadelik (en az kod; spekülatif özellik/soyutlama yok), cerrahi değişiklik (yalnızca gerekene dokun, bitişiği "iyileştirme", mevcut stile uy), başlamadan varsayımları yaz ve belirsizse sor.

---

## 4. Kırmızı-Takım (Red Agents) nasıl kullanılır?

> ⚠️ **Yalnızca sahibi olduğun veya yazılı test yetkin olan sistemde.** Başka bir sisteme karşı kullanılamaz.

### Ön Uçuş / Yetki Kapısı — ilk istekten önce ZORUNLU
Claude bu 4+1 alanı dolu görmeden ve senden **"başla"** onayı almadan tek bir istek bile göndermez:
1. **Hedef:** tam URL (sahibi senin / yazılı yetki). Yetki geçişsiz — kardeş host'a, ortak SSO'ya, 3. taraf API'ye geçmez.
2. **Yetki kanıtı:** sahiplik / imzalı sözleşme / yayınlı bug-bounty + link / işveren onayı.
3. **Ortam:** `yerel` veya `staging-tek-kullanımlık-db` (canlı ancak yazılı onay + değişiklik penceresiyle; emin değilsen canlı say ve dur).
4. **Test hesapları:** `redteam-a@example.com`, `redteam-b@example.com`, `redteam-admin@example.com` — tüm testler yalnızca bunlar arasında.
5. **Durdurma/bildirim yolu:** nasıl durdurulacağı ve kime haber verileceği baştan belli.

### Kadro ve kapsam
| Ajan | Model·çaba | Kapsam |
|---|---|---|
| `orkestrator` | opus | Yetki kapısı, dağıtım, triyaj (Kritik/Yüksek/Orta/Düşük). Saldırmaz, düzeltmez. |
| `kimlige-burun` (A) | opus·high | Grup 1: IDOR/BOLA, BFLA, oturum/JWT, OAuth/SSO, hesap devralma, MFA |
| `ui-sinirlari` (B) | opus·high | Grup 2: istemci doğrulaması, kütle atama, iş mantığı, TOCTOU, hız sınırı |
| `disaridan` (C) | sonnet·medium | Grup 3–7: XSS/SQLi/SSTI, CSRF/CORS, SSRF, GraphQL, dosya yükleme vb. |
| `llm-uygulamalari` (D) | sonnet·medium | Grup 10: prompt injection, araç yetkisi, RAG — yalnızca LLM varsa |
| `sir-ve-bagimlilik` | haiku·low | Grup 7 derin: git sır, .env, npm/pip/osv audit (salt okunur) |
| `oran-ve-izleme` | sonnet·medium | Grup 2&8: ~50 istek tavanı, log/izleme |
| `duzeltici` | opus | AYRI TUR: kök nedeni sunucuda kapatır, yeniden test eder |

### Angajman kuralları
- **Kanıtla, istismar etme:** asgari kanıt al, dur. DoS/toplu veri çekme/arka kapı yasak.
- **Hız/brute testi:** uç başına en çok **~50 istek**, `429` görünce dur.
- Her sır (token/çerez/anahtar/PII) **anında `REDACTED`**; bulunan sır kullanılmaz, konumu bildirilir, iptal ettirilir.
- 3. taraf servisler (model sağlayıcı, e-posta/SMS, ödeme, bulut) taranmaz.
- Saldıran ajan **düzeltmez**; düzeltme rapor bittikten sonra ayrı `duzeltici` turunda.
- Kapsam dışına çıkılacaksa / gerçek veriye değilecekse / sistem kararsızlaşırsa **anında dur ve sor**.

### Akış
1. `orkestrator` yetki kapısını geçirir, kapsamı tek satırda söyler, "başla" onayı alır.
2. Saldırgan ajanlar taze bağlamda paralel/sıralı koşar, bulguları **tek maskeli kanıt defterine** yazar.
3. `orkestrator` tekilleştirir + triyaj yapar → `rapor.md`.
4. **Ayrı turda** `duzeltici` kök nedeni kapatır, yeniden test eder.

---

## 5. prompts.chat eklentisi (opsiyonel)
Claude Code içinde hazır prompt/skill aramak için:
```
/plugin marketplace add f/prompts.chat
/plugin install prompts.chat@prompts.chat
export PROMPTS_API_KEY=...   # yalnızca kaydetmek için (https://prompts.chat/settings)
```
Komutlar: `/prompts.chat:prompts <sorgu>`, `/prompts.chat:skills <sorgu>`.

---

## 6. Hızlı başlangıç
1. Bir projede çalışıyorsan `CLAUDE-v1.md` içeriğini o projenin `CLAUDE.md`'sine ekle.
2. Üretim için: Claude'a **"orkestra"** de, planını (free/pro/max) söyle.
3. Güvenlik için: **sadece kendi/yetkili uygulamanda** "kırmızı takım" de, yetki kapısını doldur, "başla" de.

Kaynak: Rues Community — "Yapay Zekâ Orkestrası #1" & "Kırmızı-Takım Sürüsü #2" (github.com/ruesandora/RuesCommunity).