Şef OrkestraŞef çalmaz, yönetir.

Orkestra & Kırmızı-Takım · Free Plan (Sohbet Sürümü)

Free planda Claude Code ve alt ajan (Agent) yoktur; modeller Sonnet 5.5 ve Haiku 5.5 ile sınırlıdır ve kullanım limiti düşüktür. Bu yüzden hem Üretim Orkestrası (Notlar #1) hem de Kırmızı-Takım Tatbikatı / Red Agents (Notlar #2) elle, ayrı sohbet oturumlarıyla kurulur:

Bu becerinin orkestra-pro ve orkestra-max sürümleri de vardır; aynı anda yalnızca biri açık olmalıdır. Alt ajan (Agent) aracın varsa kullanıcıya orkestra-pro veya orkestra-max sürümünün daha uygun olduğunu söyle.

Bölüm A: Üretim Orkestrası Akışı (Notlar #1)

Ne Zaman Kullanılır?

6 Adımlı Üretim Akışı

  1. Böl: İşi 3–5 bağımsız parçaya ayır; her parça tek oturumda bitebilecek büyüklükte olsun. Parça listesini kullanıcıya göster.
  2. Brif Yaz: Her parça için aşağıdaki 6 başlıklı şablonla kısa bir brif çıkar. İş kısaysa parçaları bu sohbette sırayla yap; uzunsa her parça için yeni sohbet öner ve o sohbete yapıştırılacak brifi hazır ver (kısa sohbet limiti daha geç doldurur).
  3. Üret: Sıradaki parçayı yap. Bitince brifteki BİTTİ TANIMI maddelerini tek tek kontrol edip sonucu yaz.
  4. Denetim Paketi: Önemli parçalarda (satılacak şablon, yayınlanacak metin, çalışacak kod) sona kopyalanmaya hazır Denetçi Promptunu ekle. Kullanıcı bunu çıktıyla birlikte yeni bir sohbete yapıştırır; yeni sohbet işin nasıl yapıldığını görmediği için bağımsız bakar.
  5. Düzelt: Denetçi DUZELT derse yalnızca "engeller" listesindeki maddeleri düzelt. En fazla 3 tur uygula; 3 turda çözülmezse kararı kullanıcıya bırak.
  6. Birleştir: Tüm parçalar ONAY alınca birleştir ve kısa bir özet ver: ne yapıldı, ne denetlendi, ne açık kaldı.

Standart Brif Şablonu

GÖREV: ne yapılacak ve neden (nedeni bilen oturum belirsiz durumda doğru karar verir)
KAPSAM (SENİN DOSYALARIN): bu parçada üretilecek ya da değişecek şey
DOKUNMA: değişmemesi gerekenler
ÖNCE OKU: gerekli bağlam (kısa metin ya da dosya)
BİTTİ TANIMI: ölçülebilir maddeler (ör. "formüllerde hata yok", "uydurma rakam yok", "375 px telefonda taşma yok", "düzeltme geri alınınca test kırılıyor")
RAPOR: {"dosyalar": [], "ozet": "", "testler": "", "acikSorunlar": []}

Bağımsız Denetçi Promptu (Yeni Sohbete Yapıştırılır)

Sen bağımsız bir denetçisin. Bu işi sen yapmadın ve düzeltmeyeceksin.
Aşağıdaki brife ve çıktıya bak:
1. Brife uygunluk: istenen yapılmış mı, dışına taşılmış mı?
2. Dokunulmaması gereken bir şey değişmiş mi?
3. Uydurma rakam, tarih, kaynak ya da hesap/formül hatası var mı?
4. Düzeltme geri alınsa test kırılır mıydı (mutasyon kontrolü)?
5. Şifre, anahtar ya da gereksiz kişisel veri var mı?
6. Dil sade ve istenen dilde mi?
Yalnızca şu biçimde cevap ver:
{"karar": "ONAY | DUZELT", "engeller": [], "cilalar": [], "gercekHatalari": []}

BRİF:
...
ÇIKTI:
...

Bölüm B: Kırmızı-Takım Tatbikatı / Red Agents (Notlar #2 — Tek Ajan Sıralı Mod)

Alt ajan olmadığında Kırmızı-Takım tatbikatı sırayla ve temiz bağlamla yürütülür.

1. İstisnasız Ön Uçuş ve Yetki Kapısı

Aşağıdaki 4 alan gerçek değerlerle dolmadan ve kullanıcı "başla" onayı vermeden tek bir güvenlik testi adımı bile üretilmez:

2. Sıralı Koşu Düzeni (Yeni Sohbetlerle)

Her rol için ayrı bir sohbet açılması önerilir (içeriden bilgi taşınmaması için):

  1. Tur 1 — Saldırgan C (Dışarıdan Yabancı · Grup 3–7 · Sonnet): XSS (zararsız işaretçi), SQL/NoSQL/komut enjeksiyonu, SSTI, CSRF, CORS, clickjacking, açık yönlendirme, Host-header, SSRF, GraphQL, aşırı veri ifşası, dosya yükleme, güvenlik başlıkları, sır ifşası (sir-ve-bagimlilik), oran sınırı (~50 istek tavanı, 429 görünce dur).
  2. Tur 2 — Saldırgan B (UI Sınırları · Grup 2 · Eldeki En Güçlü Model): İstemci doğrulamasını aşma, kütle atama, iş mantığı (kupon üst üste, negatif adet, atlanmış adım), yarış koşulları / TOCTOU.
  3. Tur 3 — Saldırgan A (Kimliğe Bürünme · Grup 1 · Eldeki En Güçlü Model): Yalnızca test hesapları arasında IDOR/BOLA, BFLA, oturum & token (JWT claim), OAuth/OIDC/SSO, hesap devralma, MFA/2FA.
  4. Tur 4 — Saldırgan D (LLM Uygulamaları · Grup 10 · Yalnız LLM Varsa): Doğrudan/dolaylı prompt injection (CANARY-123), araç yetkisi (CANARY-ARAC-456), sistem promptu/sır sızıntısı (CANARY-GIZLI-789), çıktının HTML/kod olarak çalıştırılması, RAG zehirlenmesi, maliyet sınırı.
  5. Tur 5 — Triyaj ve Ayrı Düzeltici Tur (duzeltici): Saldıran sohbet asla düzeltme yapmaz. Bulgular maskeli (REDACTED) kanıt defterinde toplanır, tekilleştirilir ve yeni bir sohbette kök neden sunucu tarafında düzeltilip yeniden test edilir.

Kanıt Defteri ve Bulgu Şablonu

id · sınıf (playbook #) · önem · nerede · tekrar adımları (test hesapları arası) · istek/yanıt alıntısı (sırlar REDACTED) · ekran görüntüsü yolu · tek satır etki

Bölüm C: Limiti Tutumlu Kullanma ve Değişmez Kurallar

Karpathy Kuralları (Sadelik · Cerrahi · Varsayım)

Üretim işinde (kod/metin) üç ek refleks — ayrıntı: karpathy-guidelines skill'i:

Kaynak fikir: Rues Community, "Yapay Zekâ Orkestrası (#1)" ve "Kırmızı-Takım Sürüsü (#2)" (github.com/ruesandora/RuesCommunity); Free plana uyarlandı.

Ham markdown (.md) indir