Kod bilmeden, yapay zekaya anlatarak bir uygulama yaptınız. Çalışıyor, giriş ekranı var, belki ödeme de alıyor. Ama biri başkasının hesabına girebiliyor mu, gizli bir anahtar ortada mı kalmış, bilmiyorsunuz. Çünkü kodu siz yazmadınız.
Cloudflare tam bu soruya cevap veren bir yetenek (skill) yayınladı. Şirket kendi kod tabanını taramak için yapay zeka ajanlarından bir sistem kurdu; bu sistem 128 projede 7.245 eyleme dönüştürülebilir bulgu çıkardı. Sistemin çıkış noktası olan yeteneği de GitHub’da ücretsiz paylaştı.
Bu yazıda yeteneğin ne yaptığını, Claude masaüstü uygulamasına terminal açmadan nasıl kurulduğunu ve raporu aldıktan sonra açıkları nasıl kapattıracağınızı anlatıyorum.
Security-audit yeteneği nedir?
Adı security-audit. Claude Code gibi bir kodlama ajanını güvenlik denetçisine çeviren bir talimat paketi. MIT lisanslı ve ücretsiz. Bu yazıyı yazdığım gün GitHub’da 25 binin üzerinde yıldızı vardı.
Adres: https://github.com/cloudflare/security-audit-skill
Bir benzetmeyle anlatayım: evinize bir güvenlik ekibi geliyor. Biri önce evin planını çıkarıyor: kapılar, pencereler, anahtar kimde. Sonra her biri ayrı bir konuya bakan ekip üyeleri evi dolaşıyor. Bulduklarını başka biri kontrol ediyor ve “bu gerçekten sorun mu” diye çürütmeye çalışıyor. Sonunda elinize yalnız gerçek sorunların ve nasıl giderileceklerinin yazdığı bir rapor geçiyor.
Yetenek de bunu yapıyor:
| Aşama | Ne oluyor |
|---|---|
| Keşif | Uygulamanın haritası çıkarılıyor: yapısı, giriş noktaları, güven sınırları (architecture.md) |
| Av | Ayrı ajanlar giriş sistemi, API’ler, kullanıcı verilerinin ayrımı gibi konuları tek tek tarıyor |
| Doğrulama | Her bulgu, onu bulmayan yeni bir ajana veriliyor; o ajan bulguyu çürütmeye çalışıyor |
| Kayıt | Sonuçlar findings.json dosyasına “doğrulandı, kontrol gerekiyor, reddedildi” diye yazılıyor |
| Son kontrol | Yeni ajanlar kayıtları bir kez daha koda bakarak doğruluyor |
| Rapor | REPORT.md ve ayrıntı dosyaları hazırlanıyor; her bulgu için en küçük etkili çözüm öneriliyor |
Videoda “bulgular çözülmek için diğer ajana gönderiliyor” dedim. Daha doğrusu şu: bulgular diğer ajanlara doğrulanmak için gidiyor. Yayınlanan yetenek kodunuzu kendisi düzeltmiyor, size çözüm önerili bir rapor veriyor. Düzeltmeyi aşağıda ayrı bir adım olarak Claude’a yaptırıyoruz. Cloudflare’ın iç sisteminde otomatik düzelten bir ajan var, ama o sistem henüz yayınlanmadı.
Ne gerekiyor?
- Claude masaüstü uygulaması (claude.com/download).
- Ücretli bir Claude planı. Code sekmesi Pro, Max, Team ve Enterprise planlarda açık. Yetenek ücretsiz, ama tarama planınızın kullanım limitinden harcıyor.
- Uygulamanızın kodu bilgisayarınızda bir klasörde. Lovable, Bolt, Replit gibi bir platformda yaptıysanız önce kodu bilgisayarınıza indirmeniz gerekiyor. Çoğu platformda GitHub’a aktarma ya da ZIP olarak indirme seçeneği var.
- Node.js. Kurulum komutu ve yeteneğin kontrol araçları bunu kullanıyor. Bilgisayarınızda yoksa Claude kuruyor.
Kurulum: linki yapıştır, “bunu kur” de
- Claude masaüstü uygulamasını açın ve üst ortadaki Code sekmesine geçin.
- Local seçeneğini seçin, Select folder düğmesine basın ve uygulamanızın klasörünü seçin.
- Şu mesajı yapıştırın:
https://github.com/cloudflare/security-audit-skill
Bunu kur. Ben kod bilmiyorum, terminal kullanmayacağım. Bütün komutları sen çalıştır, gereken izinleri bana sor ve her adımda ne yaptığını tek cümleyle Türkçe anlat. Repodaki README'de yazan "npx skills add ... --skill security-audit" komutunu kullan; Claude Code için ve bütün projelerimde çalışacak şekilde (--global) kur. Node.js yoksa önce onu kur. Bitince security-audit yeteneğinin kurulu olduğunu doğrula.Claude arada izin isteyecek. Ne yapmak istediğini okuyun, kurulumla ilgiliyse onaylayın. Kurulumdan sonra Claude yeteneği göremezse yeni bir oturum açın.
Kısa bir ara: güvenlik araçtan değil, alışkanlıktan çıkar
Bu yetenek size açığın nerede olduğunu söylüyor. Asıl fark, yapay zekayla bir şey kurarken neyi sormanız ve neyi kontrol etmeniz gerektiğini bildiğinizde ortaya çıkıyor. Yapay zekayı işinizin bütününe yayılan bir düzen olarak kurmayı sıfırdan ve sırayla öğrenmek isterseniz kursuma bekliyorum, tek ödeme, ömür boyu erişim: https://dijitalburak.com/yapay-zeka-egitimi/
İlk kullanım: önce tara, sonra düzelt
0. Yedek alın. Başlamadan önce proje klasörünüzü kopyalayıp başka bir yere yapıştırın. Bir şey ters giderse elinizde sağlam bir kopya olur.
1. Taramayı başlatın. Yeni bir oturum açın, yine uygulamanızın klasörünü seçin ve yapıştırın:
security-audit yeteneğini kullanarak bu projeye tam güvenlik denetimi yap. İlk tarama olduğu için quick profiliyle başla. Projedeki hiçbir dosyayı değiştirme, canlı siteme ya da dış servislere istek atma, sadece kodu incele. Raporu varsayılan klasöre yaz ve bitince nereye yazdığını söyle.Rapor varsayılan olarak kullanıcı klasörünüzdeki security-audit-skill klasörüne, projenizin adıyla açılan bir alt klasöre yazılıyor. Ana dosya REPORT.md.
2. Raporu sade dile çevirtin:
REPORT.md, FINDINGS-DETAIL.md ve NEEDS-VALIDATION.md dosyalarını oku. Doğrulanmış (confirmed) bulguları önem sırasına göre, kod bilmeyen birine anlatır gibi Türkçe özetle: sorun ne, kim kötüye kullanabilir, gerçekte ne olur, nasıl çözülür. Kontrol gerektiren maddeleri ayrı bir listede ver ve her biri için benim neyi kontrol etmem gerektiğini yaz.3. Düzeltmeyi ayrı bir adım olarak yaptırın. Gönder düğmesinin yanındaki izin modunu Manual yapın. Böylece Claude her değişikliği önce size gösterir, onayınızı bekler.
Rapordaki doğrulanmış bulguları en kritik olandan başlayarak tek tek düzelt. Her düzeltmeden önce neyi değiştireceğini tek cümleyle anlat, raporun önerdiği en küçük çözümü uygula ve uygulamanın başka bir yerini bozmadığını kontrol et. Hepsi bitince düzelttiklerini ve düzeltemediklerini liste halinde ver.Düzeltmelerden sonra taramayı bir kez daha çalıştırın. Cloudflare’ın kendi testlerinde tek bir tarama, tekrarlanan taramaların toplamda bulduğu açıkların kabaca yarısını buldu. Yetenek önceki raporu okuyup eksik kalan yerlere odaklanıyor.
Dürüst olmak gerekirse
- 7.245 sayısı yayınlanan yeteneğin değil, ondan büyüyen sistemin. Cloudflare bu bulguları 128 projeyi tarayan, çok aşamalı bir sistemle buldu. Elinize geçen, o sistemin başlangıç noktası olan yetenek. Güçlü, ama aynı ölçeği beklemeyin.
- Ücretsiz olan yetenek, Claude değil. Tarama çok sayıda ajan çalıştırdığı için planınızın kullanım limitini hızlı tüketir. Cloudflare’ın sisteminde yaklaşık 30 bin satırlık bir projenin tam taraması 3-4 saat sürüyor. Küçük bir proje daha kısa sürer ama yine de birkaç dakikalık bir iş beklemeyin. İlk taramayı quick profille başlatmayı bu yüzden önerdim.
- Her şeyi göremez. Yetenek kodu okuyor. Hosting ayarlarınız ya da veritabanı panelinizdeki izinler gibi kodda olmayan şeyleri göremiyor, bunları “kontrol gerekiyor” listesine koyuyor. Uygulamanızın kodunu da yalnız sıkı yalıtılmış bir ortamda (sandbox) çalıştırıyor; böyle bir ortam yoksa bazı bulgular doğrulanmadan kalabiliyor.
- Temiz rapor garanti değil. Kullanıcı verisi ya da ödeme tutan bir iş yapıyorsanız bir güvenlik uzmanına da baktırın.
- Yalnız kendi projelerinizde kullanın. Başkasının kodunu ya da sitesini izinsiz taramak etik değil ve yasal sorun doğurabilir.
- Düzeltmeleri onaylayarak ilerleyin. Cloudflare bile kendi sisteminde otomatik düzeltmeleri bir insan incelemeden koda eklemiyor.
Özet
Cloudflare’ın security-audit yeteneği, Claude’a uygulamanızın haritasını çıkarttırıp ayrı ajanlarla açık arattıran, bulguları başka ajanlara çürütmeye çalıştırarak eleyen ve sonunda çözüm önerili bir rapor veren ücretsiz bir paket. Code sekmesinde proje klasörünüzü seçip repo linkini yapıştırın ve “bunu kur” deyin. Önce yedek alın, quick profille tarayın, raporu Türkçe özetletin, düzeltmeleri ayrı bir adımda Manual modda onaylayarak yaptırın, sonra yeniden tarayın.
