---
name: orkestra-free
description: Free plan sürümü. Büyük, çok parçalı bir işi (kod, Excel, içerik, araştırma) veya kendi uygulamanda yetkili bir Kırmızı-Takım (Red Agents) güvenlik tatbikatını sohbette parçalara bölüp brifle yürütmek ve bağımsız denetimle/düzeltmeyle bitirmek için. Orkestra ya da kırmızı takım denince de kullan.
---

# Orkestra & Kırmızı-Takım · Free Plan (Sohbet Sürümü)

Free planda Claude Code ve alt ajan (`Agent`) yoktur; modeller `Sonnet 5.5` ve `Haiku 5.5` ile sınırlıdır ve kullanım limiti düşüktür. Bu yüzden hem **Üretim Orkestrası (Notlar #1)** hem de **Kırmızı-Takım Tatbikatı / Red Agents (Notlar #2)** elle, ayrı sohbet oturumlarıyla kurulur:
- **Şef (veya Orkestrator) kullanıcıdır.**
- Büyük işin her parçası (veya her saldırgan rolü) ayrı bir sohbet oturumudur.
- **Bağımsız Denetçi (`denetci`)** ve **Düzeltici (`duzeltici`)** de işi nasıl yaptığını görmeyen **yeni birer sohbet oturumudur**.

Bu becerinin `orkestra-pro` ve `orkestra-max` sürümleri de vardır; aynı anda yalnızca biri açık olmalıdır. Alt ajan (`Agent`) aracın varsa kullanıcıya `orkestra-pro` veya `orkestra-max` sürümünün daha uygun olduğunu söyle.

## Bölüm A: Üretim Orkestrası Akışı (Notlar #1)

### Ne Zaman Kullanılır?
- İş birden fazla parçadan oluşuyorsa (ör. bir Excel şablonunun birkaç sayfası, beş içerikten oluşan bir seri, bir sitenin birkaç bölümü).
- Tek parçalı, kısa ve mekanik işte bu düzeni kurma; doğrudan yap.

### 6 Adımlı Üretim Akışı
1. **Böl:** İşi 3–5 bağımsız parçaya ayır; her parça tek oturumda bitebilecek büyüklükte olsun. Parça listesini kullanıcıya göster.
2. **Brif Yaz:** Her parça için aşağıdaki 6 başlıklı şablonla kısa bir brif çıkar. İş kısaysa parçaları bu sohbette sırayla yap; uzunsa her parça için yeni sohbet öner ve o sohbete yapıştırılacak brifi hazır ver (kısa sohbet limiti daha geç doldurur).
3. **Üret:** Sıradaki parçayı yap. Bitince brifteki `BİTTİ TANIMI` maddelerini tek tek kontrol edip sonucu yaz.
4. **Denetim Paketi:** Önemli parçalarda (satılacak şablon, yayınlanacak metin, çalışacak kod) sona kopyalanmaya hazır **Denetçi Promptu**nu ekle. Kullanıcı bunu çıktıyla birlikte yeni bir sohbete yapıştırır; yeni sohbet işin nasıl yapıldığını görmediği için bağımsız bakar.
5. **Düzelt:** Denetçi `DUZELT` derse yalnızca `"engeller"` listesindeki maddeleri düzelt. En fazla 3 tur uygula; 3 turda çözülmezse kararı kullanıcıya bırak.
6. **Birleştir:** Tüm parçalar `ONAY` alınca birleştir ve kısa bir özet ver: ne yapıldı, ne denetlendi, ne açık kaldı.

### Standart Brif Şablonu
```text
GÖREV: ne yapılacak ve neden (nedeni bilen oturum belirsiz durumda doğru karar verir)
KAPSAM (SENİN DOSYALARIN): bu parçada üretilecek ya da değişecek şey
DOKUNMA: değişmemesi gerekenler
ÖNCE OKU: gerekli bağlam (kısa metin ya da dosya)
BİTTİ TANIMI: ölçülebilir maddeler (ör. "formüllerde hata yok", "uydurma rakam yok", "375 px telefonda taşma yok", "düzeltme geri alınınca test kırılıyor")
RAPOR: {"dosyalar": [], "ozet": "", "testler": "", "acikSorunlar": []}
```

### Bağımsız Denetçi Promptu (Yeni Sohbete Yapıştırılır)
```text
Sen bağımsız bir denetçisin. Bu işi sen yapmadın ve düzeltmeyeceksin.
Aşağıdaki brife ve çıktıya bak:
1. Brife uygunluk: istenen yapılmış mı, dışına taşılmış mı?
2. Dokunulmaması gereken bir şey değişmiş mi?
3. Uydurma rakam, tarih, kaynak ya da hesap/formül hatası var mı?
4. Düzeltme geri alınsa test kırılır mıydı (mutasyon kontrolü)?
5. Şifre, anahtar ya da gereksiz kişisel veri var mı?
6. Dil sade ve istenen dilde mi?
Yalnızca şu biçimde cevap ver:
{"karar": "ONAY | DUZELT", "engeller": [], "cilalar": [], "gercekHatalari": []}

BRİF:
...
ÇIKTI:
...
```

## Bölüm B: Kırmızı-Takım Tatbikatı / Red Agents (Notlar #2 — Tek Ajan Sıralı Mod)

Alt ajan olmadığında Kırmızı-Takım tatbikatı **sırayla ve temiz bağlamla** yürütülür.

### 1. İstisnasız Ön Uçuş ve Yetki Kapısı
Aşağıdaki 4 alan gerçek değerlerle dolmadan ve kullanıcı **"başla"** onayı vermeden tek bir güvenlik testi adımı bile üretilmez:
- **Hedef:** Sahibi olunan veya yazılı test yetkisi bulunan sistem URL'si.
- **Yetki Kanıtı:** Sahibi benim / imzalı sözleşme / kapsamı yayınlı bug-bounty / işveren onayı.
- **Ortam:** `yerel` veya `staging-tek-kullanımlık-db` (gerçek/canlı veriye bağlı olmamalı).
- **Test Hesapları:** `redteam-a@example.com`, `redteam-b@example.com`, `redteam-admin@example.com`.

### 2. Sıralı Koşu Düzeni (Yeni Sohbetlerle)
Her rol için ayrı bir sohbet açılması önerilir (içeriden bilgi taşınmaması için):
1. **Tur 1 — Saldırgan C (Dışarıdan Yabancı · Grup 3–7 · `Sonnet`):** XSS (zararsız işaretçi), SQL/NoSQL/komut enjeksiyonu, SSTI, CSRF, CORS, clickjacking, açık yönlendirme, Host-header, SSRF, GraphQL, aşırı veri ifşası, dosya yükleme, güvenlik başlıkları, sır ifşası (`sir-ve-bagimlilik`), oran sınırı (`~50 istek` tavanı, `429` görünce dur).
2. **Tur 2 — Saldırgan B (UI Sınırları · Grup 2 · Eldeki En Güçlü Model):** İstemci doğrulamasını aşma, kütle atama, iş mantığı (kupon üst üste, negatif adet, atlanmış adım), yarış koşulları / TOCTOU.
3. **Tur 3 — Saldırgan A (Kimliğe Bürünme · Grup 1 · Eldeki En Güçlü Model):** Yalnızca test hesapları arasında IDOR/BOLA, BFLA, oturum & token (JWT claim), OAuth/OIDC/SSO, hesap devralma, MFA/2FA.
4. **Tur 4 — Saldırgan D (LLM Uygulamaları · Grup 10 · Yalnız LLM Varsa):** Doğrudan/dolaylı prompt injection (`CANARY-123`), araç yetkisi (`CANARY-ARAC-456`), sistem promptu/sır sızıntısı (`CANARY-GIZLI-789`), çıktının HTML/kod olarak çalıştırılması, RAG zehirlenmesi, maliyet sınırı.
5. **Tur 5 — Triyaj ve Ayrı Düzeltici Tur (`duzeltici`):** Saldıran sohbet asla düzeltme yapmaz. Bulgular maskeli (`REDACTED`) kanıt defterinde toplanır, tekilleştirilir ve **yeni bir sohbette** kök neden sunucu tarafında düzeltilip yeniden test edilir.

### Kanıt Defteri ve Bulgu Şablonu
```text
id · sınıf (playbook #) · önem · nerede · tekrar adımları (test hesapları arası) · istek/yanıt alıntısı (sırlar REDACTED) · ekran görüntüsü yolu · tek satır etki
```

## Bölüm C: Limiti Tutumlu Kullanma ve Değişmez Kurallar
- **Kısa Oturum:** Uzun sohbet her mesajda daha çok kullanım harcar; büyük işte parça veya rol başına yeni sohbet aç.
- **Yalnızca Farklar:** Değişiklikte dosyanın tamamını baştan yazma; yalnızca değişen kısmı ver.
- **Uydurma Yok:** Doğrulayamadığın veya erişemediğin kaynağa `"doğrulanamadı"` yaz; başka yoldan dolanma.
- **Sır ve Maskeleme:** Şifre, API anahtarı, token veya PII sohbete yapıştırılmaz, dosyaya yazılmaz; güvenlik testinde göründüğü an `REDACTED` yapılır.
- **Para Kuralı:** Ücretli bir hizmet/bulut kaynağı önermeden önce aylık tutarını yaz ve açık onay al.
- **Kişisel Veri ve Zararsızlık:** İşin gerektirmediği kişisel veri istenmez; üretimde yıkıcı test, DoS veya gerçek kullanıcı verisine dokunma kesinlikle yasaktır.

## Karpathy Kuralları (Sadelik · Cerrahi · Varsayım)
Üretim işinde (kod/metin) üç ek refleks — ayrıntı: `karpathy-guidelines` skill'i:
- **VARSAYIM:** Başlamadan varsayımlarını yaz; birden çok yorum varsa sessizce birini seçme, sun; daha basit bir yol varsa söyle; belirsizse dur ve sor. Brife `VARSAYIMLAR` satırı ekle.
- **SADELİK:** Problemi çözen en az kod; istenmemiş özellik/soyutlama/"esneklik" ve imkânsız senaryo için hata yakalama yok. "Kıdemli biri 'fazla karmaşık' der mi?" diye sor. Brife `SADELİK SINIRI` satırı ekle.
- **CERRAHİ:** Yalnızca brifteki dosyalara dokun; bitişik kodu/yorumu/biçimi "iyileştirme", bozuk olmayanı refactor etme, mevcut stile uy; ilgisiz ölü kodu silme — söyle. Her değişen satır doğrudan isteğe izlenebilmeli.
- **Kırmızı-takım karşılığı:** kanıtla-istismar etme (asgari kanıt = sadelik/cerrahi); kapsam varsayımını yaz, belirsizse orkestratöre sor (varsayma).

Kaynak fikir: Rues Community, "Yapay Zekâ Orkestrası (#1)" ve "Kırmızı-Takım Sürüsü (#2)" (github.com/ruesandora/RuesCommunity); Free plana uyarlandı.