---
title: "Gizli Anahtarlarınızın Bir AI Aracına Sızması İçin Git Commit’ine İhtiyacı Yok"
url: https://blog.edumints.com/gizli-anahtarlarinizin-bir-ai-aracina-sizmasi-icin-git-commit-ine
category: "AI Araçları"
date: 2026-10-30T09:04:57.252Z
publisher: Edumints Blog
lang: tr-TR
source_name: "dev.to"
source_url: https://dev.to/cyclopt_dimitrisk/your-secrets-dont-need-a-git-commit-to-leak-into-an-ai-tool-be2
---

# Gizli Anahtarlarınızın Bir AI Aracına Sızması İçin Git Commit’ine İhtiyacı Yok

Çoğu geliştiricide "gizli anahtarları (secrets) commit etme" refleksi artık yerleşmiştir. Pre-commit hook'lar, CI süreçlerindeki gizli veri tarayıcıları ve `.gitignore` içindeki `.env` dosyaları kod deposunu (repo) korur. Ancak bu önlemler yapay zeka araçlarının bağlam penceresini (context window) kapsamaz.

## Boşluk: Artık Sınır Sadece Kod Deposu Değil

Bir AI kodlama asistanıyla çalışırken makinenizden çıkan veri yalnızca düzenlediğiniz dosya değildir. Yapıştırdığınız metinler, eklentinin ilgili gördüğü dosyalar ve ajanın size "yardım ederken" okuduğu her şey dışarı aktarılır. Güvenlik sınırı artık editör eklentisini, sohbet geçmişini, telemetri verilerini ve modeli besleyen tüm ara servisleri kapsar. Gizli veri tarayıcıları commit'leri izler; ancak akşam 6'da başarısız olan bir canlıya alma (deploy) sürecini çözerken sohbet paneline yapıştırdığınız veriyi hiçbir standart araç denetlemez.

İşte gizli verilerin Git'e hiç dokunmadan AI bağlamına sızmasının 4 yaygın yolu:

## 1. Yapılandırmasını Yazdıran Başarısız Testler
Bir entegrasyon testi başarısız olduğunda, hata mesajı (assertion) yardımcı olmak amacıyla istemci nesnesini ekrana basar. Bu çıktı çoğu zaman şifreyi de içeren bağlantı dizisini (connection string) barındırır. "Bu test neden geçmiyor?" diyerek tüm çıktıyı asistana yapıştırdığınızda, sorunuz hatayla ilgili olsa da gönderdiğiniz veri kimlik bilgilerini içerir.

## 2. Ortam Değişkeni Dökümü (Environment Dump)
Terminalde `env | sort` çalıştırıp `AWS_SECRET_ACCESS_KEY`, `DATABASE_URL` veya `STRIPE_SECRET_KEY` gibi değerleri görmek ve "Ortamım bu, uygulama neden yapılandırmayı bulamıyor?" diye sormak oldukça normal bir hata ayıklama (debugging) hamlesidir. Ancak bu, sistemdeki tüm anahtarları tek seferde teslim etmenin en hızlı yoludur. Üstelik kabuk (shell) komutları çalıştırabilen otonom ajanlar, izin verirseniz bunu kendi başlarına da yapabilir.

## 3. Çok Fazla Bilgi Kaydeden Loglar
Detaylı (verbose) çalışan bir HTTP istemcisi istek başlıklarını loglayabilir ve bunlardan biri `Authorization: Bearer ...` olabilir. Bir zaman aşımı (timeout) hatasını çözmek için 200 satırlık logu yapıştırdığınızda, 143. satırdaki canlı bir erişim belirtecini (token) farkında olmadan paylaşabilirsiniz.

## 4. Kopyalanan Kod Parçacıkları (Snippets)
Bir ekip arkadaşınız Slack üzerinden içinde gerçek API anahtarı unutulmuş "çalışan bir örnek" paylaşır. Siz de bunu kendi kodunuza uyarlamak için AI asistanına yapıştırırsınız. Artık gizli anahtar, kontrolünüz dışındaki bir sistem yerine iki farklı sistemde yer alır.

## Gerçekte Ne İşe Yarar?

Yazılım geliştirme süreçlerinizde bu riskleri yönetmek için şu 5 pratik adımı uygulayın:

- **Gönderdiğiniz veriyi en aza indirin:** Tüm log dosyasını değil, yalnızca ilgili on satırı yapıştırın. Ortamı değil, doğrudan hatayı sorun.
- **Yapıştırmadan önce maskeleyin (Redact):** Token'ları, bağlantı dizilerini ve başlıkları gizleyin. Belirgin kalıpları temizleyen küçük bir kabuk fonksiyonu veya editör kısayolu kullanmak alışkanlık haline getirilmelidir.
- **Yetkileri sınırlandırın (Scope):** Bir geliştirme anahtarı sızarsa yalnızca geliştirme ortamına erişebilmelidir. Kısa ömürlü ve en az ayrıcalığa sahip anahtarlar olası hasarı küçültür.
- **Aracınızın veriyi nasıl işlediğini kontrol edin:** Verinin ne kadar süre saklandığı, model eğitiminde kullanılıp kullanılmadığı ve telemetrinin nereye gittiği genellikle tek bir "gizlilik" butonuyla çözülmez; ayarları ayrı ayrı inceleyin.
- **Ajanların okuyabileceklerini kısıtlayın:** Asistanınız dosya açabiliyor ve komut çalıştırabiliyorsa `.env` dosyalarını ve kimlik bilgisi depolarını erişim alanının dışında tutun.

## Eğer Sızıntı Çoktan Gerçekleştiyse

Sohbet mesajını silmek sorunu çözmez. Sil tuşuna basmadan önce verinin nerede loglandığını veya önbelleğe alındığını bilemezsiniz. Bunu tam kapsamlı bir güvenlik ihlali olarak kabul edin: anahtarı yenileyin (rotate), eskisini iptal edin (revoke) ve erişim loglarını kontrol edin.

## Yeni Bakış Açısı

Gizli veri yönetimi eskiden bir versiyon kontrol problemiydi. AI araçlarının döngüye girmesiyle birlikte artık bir **veri akışı (data-flow)** problemine dönüştü; geliştiricilerin kod yazarken ve hata ayıklarken paylaştığı her metin güvenlik sınırının bir parçasıdır.

---

**Kaynak:** dev.to (https://dev.to/cyclopt_dimitrisk/your-secrets-dont-need-a-git-commit-to-leak-into-an-ai-tool-be2)
**Yayıncı:** [Edumints Blog](https://blog.edumints.com) · Alıntılarken bu URL'ye bağlantı verin: https://blog.edumints.com/gizli-anahtarlarinizin-bir-ai-aracina-sizmasi-icin-git-commit-ine