Rehber

Yapay zekâ kodlama ajanları bilgisayarınızda nelere erişebilir?

Claude Code, Codex ve Cursor sizin kullanıcınızla çalışır. Geliştirici dizüstünde nelere uzanabilirler, her araç bunu varsayılan olarak nasıl sınırlar, açıklar nerede?

10 Kasım 2026 · 8 dk okuma · Yazan: vetkit ekibi

Kısa cevap

Claude Code, OpenAI Codex ya da Cursor gibi bir yapay zekâ kodlama ajanı, bilgisayarınızda sizin kullanıcı hesabınızla çalışır. Bu hesabın okuyabildiği, çalıştırabildiği ya da ağ üzerinden ulaşabildiği her şey, ilke olarak ajanın da erişimindedir. Onu gerçekte durduran şey; onay istemleri, isteğe bağlı ya da varsayılan olarak açık bir sandbox ve sizin ya da deponuzun seçtiği ayarların bir bileşimidir.

Bu kontroller gerçektir ve hızla gelişiyor; ancak araçtan araca farklılık gösterirler, birçoğu varsayılan olarak kapalı ya da gevşetilmiştir ve her sağlayıcı bunları kesin bir sınır olarak değil, bir korkuluk olarak tanımlar. Bu korkulukların öbür tarafında ne olduğunu bilmekte fayda var.

Erişim alanında neler var

Tipik bir geliştirici dizüstünde, sizin adınıza çalışan bir süreç genellikle şunlara ulaşabilir:

Diskteki kimlik bilgileri. ~/.ssh içindeki SSH anahtarları, ~/.aws/credentials gibi bulut kimlik bilgileri, ~/.npmrc içindeki registry token’ları; GitHub, bulut sağlayıcıları ve veritabanları için CLI oturum bilgileri ve bilgisayarınıza çektiğiniz her projedeki .env dosyaları.
Diğer projeler. Ajanın başlatıldığı deponun dışındaki kaynak kodu, notlar ve yapılandırma.
Ağ. Bilgisayarınızın ulaşabildiği her alan adı; buna paste siteleri, dosya paylaşım servisleri ve rastgele webhook’lar da dahil.
Yan etkisi olan araçlar. git push, paket yöneticileri, bulut CLI’ları, veritabanı istemcileri ve kubectl; çoğu zaman oturumu zaten açık olarak.
Kalıcı olan yerler. Shell profilleri, oturum açılışında başlayan öğeler, git hook’ları ve ajanın kendi yapılandırma ve talimat dosyaları; bunlar bir sonraki oturumun neler yapabileceğini belirler.

Bunların hiçbiri kötü niyetli bir ajan gerektirmez. Olağan yollar sıradandır: amaçlanandan fazlasını yapan bir komut, bir script çalıştıran bir bağımlılık kurulumu ya da ajanın okuyup uyguladığı bir web sayfasına, bir issue’ya veya bir README’ye gizlenmiş talimatlar (prompt injection). Üç sağlayıcı da kendi güvenlik dokümantasyonunda prompt injection konusunda uyarıyor.

Claude Code, Codex ve Cursor bunu nasıl sınırlıyor

Bu tablo, her aracın dokümantasyonunun 10 Kasım 2026 tarihinde ne söylediğini özetliyor. Varsayılanlar sürümden sürüme değişir; kendi sürümünüzü ve ayarlarınızı kontrol edin.

Üç yapay zekâ kodlama ajanının varsayılan sınırları
Araç	Varsayılan onaylar	Komut sandbox’ı	Her şeyi atlama seçeneği
Claude Code	Etkileşimli oturumlar auto modunda başlar; bu modda her seferinde size sormak yerine bir sınıflandırıcı eylemleri inceler. Manual modu ise düzenlemelerden ve komutlardan önce sorar	Varsayılan olarak kapalı. Etkinleştirildiğinde (macOS’ta Seatbelt, Linux’ta bubblewrap) yazma işlemleri projeyle sınırlanır ve ağ trafiği bir izin listesinden geçer; ancak siz engellemedikçe okuma erişimi makinenin büyük bölümünü kapsamaya devam eder	`bypassPermissions` modu; dokümantasyon bunun yalnızca container’larda ya da sanal makinelerde kullanılmasını söylüyor
OpenAI Codex	Sürüm kontrolündeki klasörlerde, istek üzerine onayla workspace-write; diğer yerlerde read-only	Varsayılan olarak açık (macOS’ta Seatbelt, Linux’ta bubblewrap ve seccomp); ağ varsayılan olarak kapalı	`--dangerously-bypass-approvals-and-sandbox` (takma adı `--yolo`), önerilmez olarak işaretli
Cursor	Hassas eylemler onay gerektirir; önerilen çalışma modu otomatik bir denetleyici kullanır ve yapılandırma dosyaları dışındaki çalışma alanı dosya düzenlemeleri onay istemez	Varsayılan modda mümkün olduğunda kullanılır (macOS’ta Seatbelt, Linux’ta Landlock); varsayılan okuma erişimi ayarında çalışma alanı dışındaki okumalara izin verilir	Sandbox’ın ve denetleyicinin olmadığı “Run Everything” modu

İki ayrıntı insanları şaşırtıyor. Birincisi, sandbox’lar okumaları değil, çoğunlukla yazmaları ve ağı kısıtlar: Claude Code’un sandbox’ında ve Cursor’ın varsayılan ayarında bir komut, siz bunu açıkça engellemedikçe ~/.ssh gibi dosyaları okuyabilir. İkincisi, kulağa en güvenli gelen varsayılan her zaman sizin çalıştırdığınız değildir; çünkü bir ekip arkadaşınız, bir shell alias’ı ya da bir CI script’i ajanı onaylar kapalı olarak başlatıyor olabilir.

Sınırların bittiği yer

Onaylanan komutlar sizin tüm yetkilerinizle çalışır. Claude Code’un güvenlik sayfası, onayladığınız bir Bash komutunun kullanıcı hesabınızın yazabildiği her yere yazabileceğini belirtiyor. npm install komutunu onaylamak, onun çektiği her kurulum script’ini onaylamak demektir.
Otomatik denetleyiciler de birer model. Auto modları onay yorgunluğunu azaltır, ama bir sınıflandırıcı yanılabilir ve sağlayıcılar bu modları best-effort olarak tanımlar.
Hook’lar bir güvenlik sınırı değildir. Claude Code ve Cursor, hook’ların zaman aşımında ya da hata durumunda varsayılan olarak fail open davrandığını belgeliyor; Claude Code da kesin izin veya engelleme kuralları için hook’ları değil, izin sistemini öneriyor.
Depolar yapılandırma taşır. Proje ayarları, MCP sunucu tanımları, hook’lar ve talimat dosyaları bir git clone ile birlikte gelir. Araçlar bunları uygulamadan önce giderek daha sık bir klasöre güvenmenizi bekliyor, ancak her ayar aynı şekilde korunmuyor. İzinler rehberi bir deponun neleri değiştirebileceğini tek tek ele alıyor.
Sonrasında kimse bakmıyor. Onay istemleri yalnızca onay anını korur. Oturumun gerçekte ne yaptığına dair bir kayıt olmadan, bir kimlik bilgisi okuması ve ardından gelen bir yükleme, sıradan yoğun bir öğleden sonradan farksız görünür.

Bir ajanın erişimini nasıl daraltırsınız

Sandbox’ın isteğe bağlı olduğu yerlerde onu açın ve kimlik bilgisi yollarının okunmasını engelleyin (Claude Code filesystem.denyRead ayarını ve çalışma dizini dışındaki okumaların engellenmesini destekliyor; Cursor’da yalnızca çalışma alanını okumaya izin veren bir ayar var).
Ağ erişimini varsayılan olarak kapalı tutun ve yalnızca bir görevin ihtiyaç duyduğu alan adlarına izin verin.
Her şeyi atlayan modları yalnızca kullanılıp atılacak bir container’da ya da sanal makinede kullanın; sağlayıcıların kendilerinin de önerdiği gibi, içine kişisel kimlik bilgisi bağlanmamış olsun.
Geliştirme makinelerinde kısa ömürlü, dar kapsamlı kimlik bilgileri kullanın; böylece sızan bir token daha az değerli olur.
Ajan yapılandırmasını kod gibi inceleyin. Bir pull request’teki ayar dosyaları, MCP sunucuları ve talimat dosyaları, yeni bir bağımlılık kadar dikkati hak eder.
Oturumların kaydını tutun; böylece “ajan neye dokundu?” sorusunu sonradan yanıtlayabilirsiniz. İzleme rehberi seçenekleri karşılaştırıyor.

vetkit’in yeri

vetkit bu konuya iki taraftan bakar. Depo denetiminin yapay zekâ kodu riskleri kontrolleri, erişimi genişleten ve depoya commit edilmiş ajan yapılandırmasını işaretler: kapatılmış onaylar, rastgele shell ya da ağ komutlarını önceden onaylayan ayarlar, script indirip çalıştıran hook’lar, sürümü sabitlenmemiş ya da uzaktan çekilen MCP sunucuları, MCP yapılandırmasındaki kimlik bilgileri ve ajan talimat dosyalarındaki gizli metinler.

Ekip makineleri için bir masaüstü uygulaması olan Agent Watch, yapay zekâ kodlama ajanlarının bir oturum sırasında gerçekte ne yaptığını kaydeder: kimlik bilgisi okumaları, yeni ağ hedefleri, yıkıcı komutlar, proje dışına yazmalar ve kendi ayarlarındaki değişiklikler. Gözlemler ve raporlar; eylemleri engellemez. Dosya içeriklerini ya da prompt’ları değil, uyarıları ve oturum özetlerini yükler. Kullanılabilirlik ve gizlilik modeli için Agent Watch dokümantasyonuna bakın.

Kaynaklar

Her araçla ilgili ifadeleri 10 Kasım 2026 tarihinde o aracın kendi dokümantasyonundan okuduk. Son sözü her sağlayıcının kendi sayfaları söyler:

Ürün adları ilgili sahiplerinin ticari markalarıdır. vetkit bu şirketlerle bağlantılı değildir; onlar tarafından onaylanmamış veya desteklenmemiştir. Güncelliğini yitirmiş bir şey mi fark ettiniz? contact@vetkit.dev adresine e-posta gönderin, düzeltelim.