Claude Code’daki /security-review komutu ve GitHub eylemi neyi yakalar, neyi yakalayamaz? Kendi projelerimizde nasıl kullandığımızı ve nerede durduğumuzu anlattık.
/security-review, Claude Code içinde değişikliklerinizi güvenlik gözüyle okuyan bir komut. SQL enjeksiyonu, XSS, zayıf kimlik doğrulama gibi bulguları açıklamasıyla listeler ve düzeltme önerir. Bir sızma testinin ya da insan incelemesinin yerini tutmaz ama hatayı en ucuz anında, kod daha birleşmeden yakalar.
Geçen ay bir müşterimizin sipariş paneline yeni bir rapor ekranı ekliyorduk. Kod çalışıyordu, testler geçiyordu, ekran güzel görünüyordu. Birleştirmeden önce Claude Code’da tek bir komut çalıştırdık: /security-review. Otuz saniye sonra karşımızda tarih filtresinin SQL sorgusuna doğrudan eklendiğini gösteren bir uyarı vardı. Kimse fark etmemişti, çünkü kimse o satıra bir saldırganın gözüyle bakmamıştı.
Bu yazıda bu komutun ne olduğunu, nasıl kullandığımızı ve neden tek başına yeterli olmadığını anlatıyoruz.
Anthropic, 6 Ağustos 2025’te Claude Code’a iki güvenlik özelliği ekledi: terminalden çalışan /security-review komutu ve her pull request’i otomatik inceleyen bir GitHub eylemi. Komut, çalıştığınız dizindeki bekleyen değişiklikleri okur ve bunlara özellikle güvenlik açısından bakar. Bulduğu her sorunu dosya ve satırıyla, neden tehlikeli olduğunu açıklayarak listeler. İsterseniz düzeltmeyi de uygular.
Anthropic’in kendi açıklamasına göre bakılan başlıca sınıflar şunlar:
Bizde akış şöyle: geliştirici işini bitirir, testleri çalıştırır, sonra commit atmadan önce /security-review der. Çıkan her bulguyu iki soruyla tartarız: “Bu gerçekten dışarıdan tetiklenebilir mi?” ve “Tetiklenirse ne kaybederiz?” Cevaplar kötüyse düzeltme hemen yapılır. Emin değilsek bulguyu not alır, ikinci bir göz isteriz.
Komutu projeye göre özelleştirmek de mümkün. Anthropic’in açık kaynak deposundaki security-review.md dosyasını projenizin .claude/commands/ klasörüne kopyalayıp düzenlediğinizde, örneğin “bu projede dosya yüklemeleri her zaman virüs taramasından geçer, buna ayrıca uyarı verme” gibi bağlam ekleyebilirsiniz. Bu, gereksiz uyarıların sayısını ciddi biçimde azaltıyor.
Ekip olarak çalışıyorsanız aynı incelemeyi anthropics/claude-code-security-review eylemiyle pull request seviyesine taşıyabilirsiniz. Eylem PR açıldığında değişiklikleri okur ve bulgularını satır yorumu olarak bırakır. Kurulumu tek bir iş akışı dosyasıyla yapılıyor.
Burada önemli bir uyarı var ve bunu deponun kendisi açıkça yazıyor: eylem, istem enjeksiyonuna (prompt injection) karşı sertleştirilmiş değil ve yalnızca güvenilir katkıcılardan gelen PR’larda kullanılmalı. Herkese açık bir projede dışarıdan gelen her PR’da otomatik çalıştırmak, kötü niyetli birinin yorumlara gizlediği talimatlarla aracı yönlendirmeye çalışmasına kapı açabilir.
Bu araçlar en iyi, kodun kendisinde görünen hatalarda çalışıyor. Şunlar ise çoğunlukla gözden kaçar:
Bu yüzden /security-review’ı bir güvenlik denetimi gibi değil, iyi bir alışkanlık gibi düşünmek gerekiyor. Sızma testinin, tehdit modellemesinin ve deneyimli bir insanın incelemesinin yerini almıyor; ama bu adımlara gelen kodun daha temiz olmasını sağlıyor.
Kendi projelerimizde her yeni özellikte şu üç adımı atlamıyoruz:
/security-review çalıştırmak ve her bulguyu “tetiklenebilir mi, ne kaybederiz” sorularıyla tartmak.Yapay zekâ destekli inceleme, güvenliği bir son aşama olmaktan çıkarıp günlük işin parçası yapıyor. Bize göre asıl kazanç da bu: hatayı en ucuz olduğu anda, kod daha kimsenin elinden çıkmadan görmek.
Üç yapay zekâ kod ajanını aylardır gerçek projelerde kullanıyoruz. Pazarlama metinlerini bir kenara bırakıp her birinin nerede parladığını, nerede zorlandığını anlattık.
Yazıyı oku
Durağan bir afiş yerine kodla üretilmiş, hareketli ve her platformun güvenli alanına oturan bir kapak. Codex ile nasıl kurduğumuzu adım adım anlattık.
Yazıyı oku
Google’ın sayfa deneyimini ölçtüğü üç değer ne anlama geliyor, hangi eşiklerin altında kalmalısınız ve en sık yapılan hatalar neler? Sitenizi bugün kontrol edebileceğiniz kısa bir rehber.
Yazıyı oku