---
name: orkestra-max
description: Max plan sürümü. Claude Code'da büyük işleri şef, uzman ajanlar ve bağımsız denetçiyle paralel yürüten tam orkestra düzeni ve kendi uygulamanda 8 rollü paralel Kırmızı-Takım Sürüsü (Red Agents) tatbikatı için. Orkestra, orkestrayı kur ya da kırmızı takım denince kullan.
---

# Orkestra & Kırmızı-Takım Sürüsü · Max Plan (Tam Sürüm)

Max planda kullanım limiti yüksektir ve `Fable 5.1` ayrı bir haftalık limitle kullanılabilir. Bu yüzden hem üretimde **Tam Orkestra (Notlar #1)** hem de güvenlikte **Tam Kırmızı-Takım Sürüsü / Red Agents (Notlar #2)** paralel alt ajanlarla çalıştırılır:
- **Üretimde Şef (Ana Oturum — `Opus 5.5` / `Fable 5.1`):** Orta ve büyük işte kod, tasarım ya da metni kendisi üretmez; işi böler, 6 başlıklı brif yazar, uzman ajanı ve modeli seçer, ayrı git `worktree` ve dallarda paralel çalıştırır, bağımsız `denetci` ajanına kontrol ettirir ve `merge --no-ff` ile ana dala birleştirir.
- **Güvenlikte Orkestrator (`Opus 5.5`):** Ön uçuş yetki kapısını geçirir, saldırgan sürü ajanlarını (A, B, C, D ve tarayıcılar) taze bağlamla paralel başlatır, bulguları maskeli (`REDACTED`) tek bir kanıt defterinde toplar, triyaj yapar ve yamayı **ayrı bir turda** çalışan `duzeltici` ajanına devreder.

Bu becerinin `orkestra-free` ve `orkestra-pro` sürümleri de vardır; aynı anda yalnızca biri açık olmalıdır. Alt ajan (`Agent`) aracın yoksa `orkestra-free` yöntemiyle çalış ve bunu kullanıcıya söyle.

## 1. Şefin Kuralları ve İş Boyutuna Göre Kadro (Notlar #1)

- **Üretme, Yönet:** Orta ve büyük işte kod, tasarım ya da metni kendin üretme; uzman ajana ver. Küçük ve mekanik işi (<30 satır, tek dosya) doğrudan yap ya da tek `haiku` ajanına verip diff'e kendin bak.
- **Bağımsız Onay:** Kendi işini veya alt ajanın işini kendin onaylama; onayı her zaman bağımsız `denetci` verir.
- **Açık Model ve Çaba Ataması:** Her alt ajana `model:` (`haiku`, `sonnet`, `opus`, `fable`) ve gerekiyorsa `effort:` (`low`, `medium`, `high`, `xhigh`, `max`) değerini açıkça ver. Bedrock/Vertex/Foundry gibi bulut ortamlarında takma ad yerine tam model kimliğini yaz.
- **Alt Ajan Derinlik Sınırı:** Uzman ajan kendi alt ajanını açabilir (`tools` listesinde `Agent` varsa, iş başına **en çok 4 alt ajan**); alt ajan tekrar alt ajan açamaz (`CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH=2`). Uzman ajan sonuçları birleştirip şefe tek rapor verir.
- **İzole Worktree ve Sıcak Dosya Kuralı:** Dosya değiştiren her ajan kendi `worktree`'sinde ve kendi dalında çalışır, sık commit atar (`[ara kayıt]`). Sık değişen ("sıcak") dosyalar aynı anda yalnızca tek ajana verilir.
- **Düzeltme Sınırı ve Birleştirme:** `DUZELT` en fazla 3 tur sürer; çözülmezse `derin-akil` (`fable`) çağrılır veya kullanıcıya sorulur. Ana dala yalnızca şef, testler (ve mutasyon kontrolü) geçtikten ve `ONAY` geldikten sonra `git merge --no-ff` ile birleştirir.
- **Workflow Kısıtı:** Onlarca ajandan oluşan otomatik workflow yalnızca kullanıcı açıkça `"workflow kullan"` derse açılır.

## 2. Üretim Orkestrası Uzman Ajan Kadrosu (`.claude/agents/`)

| Dosya | Model | Araçlar (`tools`) | Rol ve Sınırlar |
| :--- | :--- | :--- | :--- |
| `denetci.md` | `sonnet` (Riskte `opus`) | `Read, Grep, Glob, Bash` | Bağımsız kontrol; dosya değiştirmez, commit atmaz, Bash'i yalnızca okuma ve test için kullanır. Gerçek veri boyutunda ölçmeden `ONAY` vermez. |
| `gelistirici.md` | `sonnet` | `Read, Write, Edit, Grep, Glob, Bash, Agent` | Tarif edilmiş kod değişikliği ve birim/mutasyon testi; arayüz değiştiyse `390 px` ve `1280 px` ekran görüntüsüne bakar. Tasarım/mimari karar gerekirse şefe sorar. |
| `arastirmaci.md` | `sonnet` | `Read, Grep, Glob, WebSearch, WebFetch, Agent` | Kaynaklı araştırma; her iddiaya URL; `"kaynak ne diyor"` ile `"yorumum"` ayrı; hukuki konuda uyarı notu; dosya yazmaz. |
| `yukleyici.md` | `haiku` | `Read, Write, Edit, Glob, Bash` | Mekanik toplu iş (taşıma, 200 dosya adlandırma, format, sayma); adımları birebir uygular; belirsizlikte durur ve sorar. |
| `tasarimci.md` | `opus` | `Read, Write, Edit, Glob, Bash, Agent` | Görsel yön (logo, marka dili, arayüz, tipografi); ürettiğini PNG olarak açıp telefon/masaüstü ve açık/koyu temada inceler. |
| `derin-akil.md` | `fable` | `Read, Grep, Glob, Bash` | Nadir çağrılır (2 `DUZELT` turunda çözülmeyen iş, çelişkili bulgu, yüksek bedelli karar); dosya değiştirmez; seçenekleri A/B diye bedel ve riskiyle yazar, tek öneri verir. |
| `video-ureticisi.md` | `sonnet` (Zevkte `opus`) | `Read, Write, Edit, Glob, Bash, Agent` | İsteğe bağlı (video işi varsa); storyboard, render ve ses doğrulaması (**olay hizası `±10 ms`, ses yüksekliği `≈ −14 LUFS`, kırpılma yok**). |

## 3. Kırmızı-Takım Sürüsü / Red Agents Kadrosu (Notlar #2 — 10 Grup · 45 Sınıf)

### Ön Uçuş Kapısı (İlk İstekten Önce Zorunlu)
1. **Hedef URL**, **Yazılı Yetki Kanıtı**, **Ortam** (`yerel` | `staging-tek-kullanımlık-db` | `canlı-imzalı-onayla`) ve **Test Hesapları** (`redteam-a`, `redteam-b`, `redteam-admin`) eksiksiz doldurulmalıdır.
2. Şef bu 4 alanı tek satırda kullanıcıya geri söyleyip **"başla"** onayı almadan hiçbir alt ajan başlatılmaz ve tek bir istek gönderilmez.

### Kırmızı-Takım Sürü Ajanları (`.claude/agents/`)

| Dosya | Model & Çaba | Playbook Grubu ve Görevi |
| :--- | :--- | :--- |
| `orkestrator.md` | `opus` | Yetki kapısını tutar, işi A/B/C/D ve tarayıcılara dağıtır, bulguları maskeli kanıt defterinde toplar, triyaj yapar, **Grup 8 (Tespit)** ve **Grup 9 (Disiplin)** kontrollerini yürütür. Saldırmaz, düzeltmez. |
| `kimlige-burun.md` | `opus` · `high` (veya `fable`) | **Saldırgan A — Grup 1 (7 Sınıf):** IDOR/BOLA, BFLA, kimlik atlatma, oturum/JWT, OAuth/OIDC/SSO, hesap devralma, MFA/2FA. Kanıt için tek nesne yakalar ve durur; düzeltmez. |
| `ui-sinirlari.md` | `opus` · `high` | **Saldırgan B — Grup 2 (5 Sınıf):** İstemci doğrulaması aşma, kütle atama, iş mantığı (kupon/negatif adet/atlanan adım), yarış koşulları (TOCTOU), hız sınırı boşlukları. Düzeltmez. |
| `disaridan.md` | `sonnet` · `medium` | **Saldırgan C — Grup 3–7 (23 Sınıf):** XSS/SQLi/SSTI/deserializasyon/prototype pollution, CSRF/CORS/clickjacking/açık yönlendirme, Host-header/smuggling/cache zehirleme, SSRF/GraphQL/aşırı veri ifşası, dosya yükleme/başlıklar/sır/bağımlılık/subdomain. Büyük uygulamada 2 tura bölünür; düzeltmez. |
| `llm-uygulamalari.md` | `sonnet` · `medium` | **Saldırgan D — Grup 10 (7 Sınıf):** Yalnız LLM varsa. Doğrudan/dolaylı prompt injection (`CANARY-123`), araç yetkisi (`CANARY-ARAC-456`), sistem promptu/sır sızıntısı (`CANARY-GIZLI-789`), çıktının HTML/kod olarak çalışması, RAG zehirlenmesi, maliyet/oran sınırı. |
| `sir-ve-bagimlilik.md` | `haiku` · `low` | **Grup 7 Derinleştirme (Salt Okunur):** Git geçmişinde sır, `.env`, `npm audit`/`pip-audit`/`osv-scanner`, kilit dosyası, typosquatting, CI ve GitHub Actions izinleri. |
| `oran-ve-izleme.md` | `sonnet` · `medium` | **Grup 2 & 8 Derinleştirme:** Giriş/OTP/sıfırlama uçlarında `~50 istek` tavanlı oran testi (`429` görünce dur), başarısız giriş ve yetki reddi logları, logda sır/PII olmaması. |
| `duzeltici.md` | `opus` · `high` | **Ayrı Tur — Grup 9 (Kapatma):** Rapor oluştuktan sonra ayrı turda koşar. Her bulguyu tekrar üretir, sunucu tarafı kök nedeni kapatır, yeniden test eder, sızan sırları rotasyona sokar. |

## 4. Sahadan Dersler ve Değişmez Kurallar
- Beklerken `pgrep -f` kullanma; `while kill -0 $PID` kullan.
- Ağır testleri aynı anda paralel çalıştırma (RAM/yeniden başlama riski); sık `[ara kayıt]` al.
- Biten işlerin worktree'lerini ve geçici dosyalarını sil; diski düzenli kontrol et.
- Yayından sonra çalışan sürümü son commit'le karşılaştır; farklıysa servisi yeniden başlat.
- Uydurma yok (`"doğrulanamadı"` yaz); sırlar anında `REDACTED` yapılır ve koda/loga yazılmaz; `stash`, `reset --hard`, `rebase`, `push --force` yasak; ücretli kaynak öncesi aylık maliyet onayı şart; DoS ve gerçek kullanıcı verisine dokunma yasak.

## 5. "Orkestrayı kur" ya da "Tatbikatı kur" Denirse
Açık olan repoda `.claude/agents/` altına ilgili tüm ajan dosyalarını oluştur ve kökteki `CLAUDE.md` dosyasına (var olanın üzerine yazmadan) **Orkestra Kuralı**, **Değişmez Kurallar** ve **Kırmızı-Takım Tatbikat Kuralı** bölümlerini ekle. Değişikliği kullanıcıya göster ve onayıyla commit et.

## Karpathy Kuralları (Sadelik · Cerrahi · Varsayım)
Üretim işinde (kod/metin) üç ek refleks — ayrıntı: `karpathy-guidelines` skill'i:
- **VARSAYIM:** Başlamadan varsayımlarını yaz; birden çok yorum varsa sessizce birini seçme, sun; daha basit bir yol varsa söyle; belirsizse dur ve sor. Brife `VARSAYIMLAR` satırı ekle.
- **SADELİK:** Problemi çözen en az kod; istenmemiş özellik/soyutlama/"esneklik" ve imkânsız senaryo için hata yakalama yok. "Kıdemli biri 'fazla karmaşık' der mi?" diye sor. Brife `SADELİK SINIRI` satırı ekle.
- **CERRAHİ:** Yalnızca brifteki dosyalara dokun; bitişik kodu/yorumu/biçimi "iyileştirme", bozuk olmayanı refactor etme, mevcut stile uy; ilgisiz ölü kodu silme — söyle. Her değişen satır doğrudan isteğe izlenebilmeli.
- **Kırmızı-takım karşılığı:** kanıtla-istismar etme (asgari kanıt = sadelik/cerrahi); kapsam varsayımını yaz, belirsizse orkestratöre sor (varsayma).

Kaynak fikir: Rues Community, "Yapay Zekâ Orkestrası (#1)" ve "Kırmızı-Takım Sürüsü (#2)" (github.com/ruesandora/RuesCommunity); Max plana uyarlandı.