---
title: "Yetenek Takımyıldızları: GitHub'daki Ajan Yeteneklerinin Tedarik Zincirini İzlemek"
url: https://blog.edumints.com/yetenek-takimyildizlari-github-daki-ajan-yeteneklerinin-tedarik
category: "Yazılım"
date: 2026-10-10T09:17:46.632Z
publisher: Edumints Blog
lang: tr-TR
source_name: "Hugging Face Papers"
source_url: https://huggingface.co/papers/2610.11169
---

# Yetenek Takımyıldızları: GitHub'daki Ajan Yeteneklerinin Tedarik Zincirini İzlemek

## Ajan Yetenekleri ve Kayıtsız Tedarik Zinciri
Claude Code ve Codex gibi modern yapay zeka kodlama ajanları, kullanıcı yetkileriyle doğrudan işletim sistemi komutları ve betikler çalıştırabilen `SKILL.md` yönergelerinden oluşan **ajan yetenekleri (agent skills)** ile görev yapmaktadır. Geliştiriciler bu yetenekleri genellikle resmi bir paket yöneticisi, merkezi sürüm denetimi veya köken kaydı (*provenance*) olmaksızın depolar arasında doğrudan kopyalayarak paylaşmaktadır. Bu durum, açık kaynak dünyasındaki geleneksel kütüphanelerin aksine, merkezi bir kayıt defteri (registry) bulunmayan, denetimsiz ve izlenmesi son derece güç bir yazılım tedarik zinciri ortaya çıkarmaktadır.

Kopyalanan bir yeteneğin ilk kaynağı, yayınlanan bir güvenlik yamasının ulaştığı etki alanı ve denetlenmesi gereken kritik depolar bu kontrolsüz yapı nedeniyle bilinmemektedir. Belirli bir zaman kesitinde hangi deponun bir yeteneğe sahip olduğunu kaydeden tekil anlık çalışmalar ise kopyalama zincirinin yönünü, kimin kimden kopyaladığını ve güvenlik risklerinin nasıl yayıldığını ortaya koymakta yetersiz kalmaktadır.

## Tarihli Kopya Ağı ve Araştırma Bulguları
Araştırmacılar, GitSkills veri setinde yer alan her bir `SKILL.md` dosyasının Git geçmişini inceleyerek GitHub genelinde **2.193.119 yetenek benimsemesini** kapsayan ilk zaman damgalı kopya ağını ve etkileşimli bir görselleştiriciyi oluşturmuştur. Çalışmanın ortaya koyduğu çarpıcı bulgular şunlardır:

- **Merkezi Kaynak Yapısı:** Kopyaların neredeyse tamamı yalnızca birkaç temel depodan kaynaklanmaktadır; ancak geliştiricilerin güven kriteri olarak gördüğü GitHub yıldız sayıları bu kaynak depoları belirlemekte tamamen yetersiz kalmaktadır.
- **Güvenlik Yamalarının Yayılmaması:** Kopyalanan yetenekler zaman içinde kaynak depoyla neredeyse hiçbir zaman senkronize edilmemektedir; bu nedenle kaynaktaki kritik bir güvenlik düzeltmesi türetilen kopyalara neredeyse hiç ulaşmamaktadır.
- **Model Tabanlı Güvenlik Denetimi:** Geliştiricilerin hangi depolardan kopyalama yaptığını modelleyen yeni algoritma, depoları güvenlik denetimi için önceliklendirmektedir. Modelin en üst sıraya yerleştirdiği 100 deponun denetlenmesi, yüksek riskli yeteneklerin sonraki benimsenmelerini **%14,9** oranında engellemektedir; en çok yıldız alan 100 depoda ise bu önleme oranı yalnızca **%0,5** seviyesinde kalmaktadır. Bu yaklaşım, güvenlik mühendislerine zararlı yetenekler ekosisteme yayılmadan önce inceleyebilecekleri kısa ve odaklı bir kontrol listesi sunmaktadır.

## Yazılım Geliştirme ve Öğrenme Açısından Pratik Çıkarımlar
Bu araştırma, yapay zeka destekli yazılım geliştirme pratikleri ve modern DevSecOps süreçleri için önemli çıkarımlar sağlamaktadır:

- **Kopyalama Yerine Sürümlenmiş Referanslar:** Geliştiriciler ve platformlar, kontrolsüz kopyala-yapıştır alışkanlığı yerine paket yöneticilerinde olduğu gibi sürüm takibi yapılabilen referans dağıtım mimarilerini benimsemelidir.
- **Yıldız Sayısı Yanılsaması:** Güvenlik değerlendirmelerinde salt GitHub yıldızlarına güvenmek büyük bir yanılgıdır; tedarik zincirindeki gerçek yayılım ağları ve kök depolar analiz edilmelidir.
- **Kullanıcı Yetkisi ve İzolasyon:** Ajan yetenekleri kullanıcının doğrudan yetkileriyle çalıştığından, harici depolardan alınan betikler titiz bir güvenlik denetiminden geçirilmeli ve kum havuzunda (sandbox) izole edilmelidir.

[](https://huggingface.co/papers/2610.11169)

---

Bu konuyu derinlemesine öğrenmek isterseniz: [AI Tedarik Zinciri Güvenliği](https://edumints.com/kesfet/ai-altyapi-guvenligi-model-supply-chain-ve-artifac-ja5f) modülüne göz atın.

---

**Kaynak:** Hugging Face Papers (https://huggingface.co/papers/2610.11169)
**Yayıncı:** [Edumints Blog](https://blog.edumints.com) · Alıntılarken bu URL'ye bağlantı verin: https://blog.edumints.com/yetenek-takimyildizlari-github-daki-ajan-yeteneklerinin-tedarik