---
name: orkestra-pro
description: Pro plan sürümü. Claude Code'da orta ve büyük işleri brifle yürütüp bağımsız denetçi ajanla kontrol etmek, kendi uygulamanda yetkili Kırmızı-Takım (Red Agents) tatbikatını sıralı/hafif alt ajanlarla koşmak ve limiti tutumlu kullanmak için. Orkestra, orkestrayı kur ya da kırmızı takım denince kullan.
---

# Orkestra & Kırmızı-Takım · Pro Plan (Hafif Sürüm)

Pro planda Claude Code ve alt ajanlar (`Agent`) vardır ancak kullanım limiti sınırlıdır ve sohbetlerle ortaktır; `Fable 5.1` yalnızca ek krediyle kullanılabildiği için **kullanılmaz**.
- **Üretimde Hafif Orkestra:** İşi ana oturum kendisi yapar; orta ve büyük değişiklikleri bağımsız `denetci` alt ajanı kontrol eder. Aynı anda birden fazla paralel üretim ajanı çalıştırılmaz.
- **Güvenlikte Kontrollü Kırmızı-Takım:** Yetki kapısı geçildikten sonra saldırgan roller (`disaridan` → `ui-sinirlari` → `kimlige-burun` → `llm-uygulamalari`) limiti korumak için sırayla veya dar kapsamlı alt ajanlarla koşulur; düzeltme mutlaka rapor bittikten sonra **ayrı bir `duzeltici` turunda** yapılır.

Bu becerinin `orkestra-free` ve `orkestra-max` sürümleri de vardır; aynı anda yalnızca biri açık olmalıdır. Alt ajan (`Agent`) aracın yoksa (ör. normal web sohbetindeysen) `orkestra-free` yöntemiyle çalış ve bunu kullanıcıya söyle.

## 1. Üretimde İş Boyutuna Göre Kadro ve Model Seçimi

| İş Boyutu | Tanım | Kim Çalışır / Kim Kontrol Eder | Model Kuralı |
| :--- | :--- | :--- | :--- |
| **Küçük** | Tek dosya, ~30 satırdan az, mekanik | Doğrudan ana oturum yapar, diff'e kendisi bakar; **denetçi yok.** | Mekanik alt iş (adlandırma, format, sayma, basit özet) için alt ajan açılırsa modeli açıkça `haiku` ver. |
| **Orta** | Birkaç dosya, kod ya da araştırma | Ana oturum ayrı dalda brifle yapar, bitince `denetci` ajanını çağırır. | Varsayılan `sonnet`. Alt ajana modeli her zaman açıkça ver (yoksa ana modeli devralır). |
| **Büyük** | Birbirinden bağımsız çok parça | Parçaları **sırayla** yap, her parçadan sonra `denetci` çağır. Paralel ajan açma. | `opus` yalnızca zor tasarım/mimari kararlarda ve güvenlik, para, veri kaybı riski olan denetimde kullanılır. `fable` kullanma. |

## 2. Üretim Akışı (7 Adım)
1. **Netleştir:** İsteği netleştir; gerekiyorsa tek soru sor.
2. **Brif Yaz:** Orta ya da büyük işte önce 6 başlıklı kısa brifi yaz (`GÖREV`, `SENİN DOSYALARIN`, `DOKUNMA`, `ÖNCE OKU`, `BİTTİ TANIMI`, `RAPOR`).
3. **Ayrı Dalda Çalış:** Orta ve büyük işte ayrı bir git dalında çalış ve her anlamlı adımda sık commit at (`[ara kayıt]`).
4. **Test ve Mutasyon Kontrolü:** Testleri çalıştır. Düzelttiğin hata için test yaz; **düzeltmeyi geri alınca testin kırıldığını gör (mutasyon kontrolü).** Yeşil test tek başına kanıt değildir.
5. **Bağımsız Denetim:** Orta ve büyük işte `denetci` ajanını brif ve diff ile çağır.
6. **Düzelt (Max 3 Tur):** `DUZELT` gelirse yalnızca `"engeller"` listesini düzelt. En fazla 3 tur; sonra kullanıcıya sor.
7. **Birleştir (`merge --no-ff`):** `ONAY` gelip testler geçince birleştirmeyi öner; kullanıcı onaylayınca `git merge --no-ff` ile birleştir ve sade bir özet ver.

## 3. Kırmızı-Takım Tatbikatı / Red Agents (Notlar #2 — Pro Plan Uygulaması)

### Ön Uçuş ve Yetki Kapısı (İstisnasız)
Hedef URL, Yetki kanıtı (yazılı izin/sahiplik), Ortam (`yerel` veya `staging-tek-kullanımlık-db`) ve 3 Test hesabı (`redteam-a`, `redteam-b`, `redteam-admin`) gerçek değerlerle dolup kullanıcıdan **"başla"** onayı alınmadan tek bir istek bile gönderilmez.

### Pro Planda Tatbikat Sırası
1. **Orkestrator (Ana Oturum):** Yetki kapısını doğrular, kapsamı tek satırda geri söyler ve `"başla"` onayı alır.
2. **Sır & Bağımlılık (`sir-ve-bagimlilik` · `haiku` · düşük çaba):** Git geçmişi, `.env`, `npm audit`/`pip-audit`/`osv-scanner`, kilit dosyası ve CI izinlerini salt okunur tarar.
3. **Saldırgan C (`disaridan` · `sonnet` · orta çaba):** Grup 3–7 (XSS zararsız işaretçi, SQLi/SSTI, CSRF/CORS, SSRF, GraphQL, güvenlik başlıkları, bilgi ifşası).
4. **Oran Sınırı & İzleme (`oran-ve-izleme` · `sonnet` · orta çaba):** Giriş/OTP/sıfırlama uçlarında en çok `~50 istek` (`429` görünce dur) ve Grup 8 denetim logu kontrolü.
5. **Saldırgan D (`llm-uygulamalari` · `sonnet` · orta çaba):** Yalnızca uygulamada LLM varsa; `CANARY-123`, `CANARY-ARAC-456`, `CANARY-GIZLI-789` ile prompt injection, araç yetkisi, sır sızıntısı ve RAG zehirlenmesi testi.
6. **Saldırgan B (`ui-sinirlari` · `opus` · yüksek çaba):** Grup 2 (istemci doğrulamasını aşma, kütle atama, kupon/bakiye iş mantığı, TOCTOU yarış koşulları).
7. **Saldırgan A (`kimlige-burun` · `opus` · yüksek çaba):** Grup 1 (test hesapları arasında IDOR/BOLA, BFLA, JWT/oturum, hesap devralma).
8. **Triyaj ve Ayrı Düzeltici Tur (`duzeltici` · `opus`):** Tüm bulgular `REDACTED` maskeli kanıt defterinde toplanır, tekilleştirilir ve `rapor.md` üretilir. Ardından **ayrı bir turda** `duzeltici` ajanı kök nedeni sunucuda kapatır ve yeniden test eder.

## 4. Sahadan Dersler ve Değişmez Kurallar
- **Süreç Bekleme:** Beklerken `pgrep -f` kullanma; kendi başlattığın işi `while kill -0 $PID` ile bekle.
- **Temizlik ve Ölçek:** Geçici dosyaları temizle; gerçek veri boyutunda ölçüm yapmadan işi bitmiş sayma.
- **Uydurma Yok:** Erişilemeyen kaynak için `"doğrulanamadı"` yaz, başka yoldan dolanma.
- **Sırlar ve Git Güvenliği:** Sırlar koda/loga/sohbete yazılmaz (`REDACTED`). Tehlikeli git komutları (`stash`, `reset --hard`, `rebase`, `push --force`) yasaktır.
- **Para Kuralı:** Ücretli bir bulut kaynağı açmadan önce aylık tutarı yaz ve açık onay al.

## 5. "Orkestrayı kur" Denirse
Açık olan repoda:
1. `.claude/agents/denetci.md` (ve güvenlik tatbikatı isteniyorsa `kimlige-burun.md`, `ui-sinirlari.md`, `disaridan.md`, `llm-uygulamalari.md`, `sir-ve-bagimlilik.md`, `oran-ve-izleme.md`, `duzeltici.md`) dosyalarını oluştur.
2. Kökteki `CLAUDE.md` dosyasına (var olanın üzerine yazmadan, ekleyerek) **Çalışma Kuralları** ve **Kırmızı-Takım Tatbikat Kuralı** bölümlerini ekle, kullanıcıya göster ve onayıyla commit et.

## Karpathy Kuralları (Sadelik · Cerrahi · Varsayım)
Üretim işinde (kod/metin) üç ek refleks — ayrıntı: `karpathy-guidelines` skill'i:
- **VARSAYIM:** Başlamadan varsayımlarını yaz; birden çok yorum varsa sessizce birini seçme, sun; daha basit bir yol varsa söyle; belirsizse dur ve sor. Brife `VARSAYIMLAR` satırı ekle.
- **SADELİK:** Problemi çözen en az kod; istenmemiş özellik/soyutlama/"esneklik" ve imkânsız senaryo için hata yakalama yok. "Kıdemli biri 'fazla karmaşık' der mi?" diye sor. Brife `SADELİK SINIRI` satırı ekle.
- **CERRAHİ:** Yalnızca brifteki dosyalara dokun; bitişik kodu/yorumu/biçimi "iyileştirme", bozuk olmayanı refactor etme, mevcut stile uy; ilgisiz ölü kodu silme — söyle. Her değişen satır doğrudan isteğe izlenebilmeli.
- **Kırmızı-takım karşılığı:** kanıtla-istismar etme (asgari kanıt = sadelik/cerrahi); kapsam varsayımını yaz, belirsizse orkestratöre sor (varsayma).

Kaynak fikir: Rues Community, "Yapay Zekâ Orkestrası (#1)" ve "Kırmızı-Takım Sürüsü (#2)" (github.com/ruesandora/RuesCommunity); Pro plana uyarlandı.