Claude Code skill nedir? Yazma, kurma ve güvenli tarama

Claude Code skill’i, Claude’a PR incelemek ya da sürüm çıkarmak gibi tekrarlanan bir işi öğreten, içinde SKILL.md dosyası olan bir klasördür; Claude bir skill’i yalnızca isteğin ona ihtiyaç duyduğunda yükler. Bu yüzden skill’ler her oturumda değil, bazı işlerde gereken talimatların doğru yeridir. Dikkat etmen gereken nokta şu: skill, ajanının uyacağı talimatlardır. İnternetten gelen bir skill, internetten gelen bir betik kadar özen ister.

Bu yazıda skill biçimini, skill’lerin nerede durduğunu, Claude’un onları nasıl seçtiğini, iyi bir skill’in nasıl yazıldığını ve paylaşılan skill’leri ajanına tehlikeli bir şey vermeden nasıl bulup kuracağını anlatıyorum.

Claude Code skill’i nedir?

Skill bir klasördür. Zorunlu tek dosya SKILL.md:

---
name: release-notes
description: Kullanıcı bir sürüm için sürüm notu ya da changelog kaydı istediğinde kullan.
---

1. `git log --oneline <son-etiket>..HEAD` çalıştır.
2. Commit'leri Özellikler, Düzeltmeler ve Diğer olarak grupla.
3. Her değişiklik için geliştiriciye değil kullanıcıya yönelik tek, sade bir cümle yaz.
4. CHANGELOG.md'ye yazmadan önce sor.

Frontmatter name (ad) ve description (açıklama) alanlarını tutar. Gövde, skill yüklendiğinde Claude’un uyduğu talimattır. Klasörde talimatların işaret ettiği betikler ve başvuru dosyaları da olabilir; böylece skill “scripts/check.sh çalıştır” ya da “uç nokta listesi için reference/api.md dosyasını oku” diyebilir.

Claude Code skill’leri nerede durur?

Klasör adı komut olur; yani .claude/skills/release-notes/SKILL.md aynı zamanda /release-notes olarak da çalıştırılabilir. Claude’un gördüğü skill’leri listelemek için oturumda /skills yaz. Diğer slash komutları için Claude Code komutları yazısına bak.

Claude bir skill’i kullanmaya nasıl karar verir?

Oturumun başında Claude skill’lerin tam gövdelerini değil, açıklamalarını görür. İsteğin bir açıklamaya uyduğunda o skill’i yükler. Bundan iki sonuç çıkar:

• Yönlendirmeyi açıklama yapar. “Sürüm notu skill’i” zayıf bir açıklamadır. “Kullanıcı bir sürüm için sürüm notu ya da changelog kaydı istediğinde kullan” Claude’a ne zaman uzanacağını söyler.
• Skill’ler temel bağlamını küçük tutar. Her oturumda yalnızca açıklamalar yüklenir; işe özel talimatları CLAUDE.md’den skill’lere taşımak her turu hafifletir. Ayrıntısı Claude Code bağlam yönetimi yazısında.

Skill, CLAUDE.md, alt ajan ve MCP farkı

Bu dördü birbirine karışır; hangisinin ne zaman uyduğunu bilmek işe yarar.

Aynı paragrafı haftada iki kez prompt’a yapıştırıyorsan o bir skill olmalı. Ajanın bir veritabanı ya da API ile konuşması gerekiyorsa o bir MCP sunucusudur (MCP sunucusu nedir).

İyi bir skill nasıl yazılır?

1. Zaten tekrarladığın bir işle başla. Bugün yazdığın adımları not et.
2. Açıklamayı bir tetikleyici gibi yaz. ”… istediğinde kullan” kalıbıyla, kullanıcının söyleyeceği kelimeleri geçir.
3. Gövdeyi kısa ve sıralı tut. Numaralı adımlar paragraflardan iyidir.
4. Uzun içeriği dosyalara koy. Bir başvuru tablosu ya da betik SKILL.md’nin yanına gider; gövde ne zaman okunacağını ya da çalıştırılacağını söyler.
5. Ne yapılmayacağını da yaz. “CHANGELOG.md’ye yazmadan önce sor” seni elle düzelteceğin bir sürprizden korur.
6. Yeni bir oturumda dene. İşi kendi kelimelerinle iste ve Claude’un skill’i söylenmeden seçip seçmediğine bak.

Paylaşılan skill’lerdeki risk

Skill’ler paylaşıldıkça faydalı ve riskli olur. Bir skill ajanına bir kabuk komutu çalıştırmasını, proje dışındaki bir dosyayı okumasını ya da bir adrese bir şey göndermesini söyleyebilir. Ajanın geniş izinlerle çalışıyorsa kötü niyetli ya da özensiz bir skill de o izinlerle çalışır. Kurmadan önce bakman gerekenler:

• Yıkıcı ya da yetki isteyen komutlar (rm -rf, sudo)
• .env dosyaları ya da SSH anahtarları gibi sırları okumak
• Tanımadığın bir sunucuya veri göndermek
• curl çıktısını doğrudan kabuğa vermek gibi indirip çalıştırma kalıpları
• Gizlenmiş kod ya da görünmeyen Unicode karakterler
• Prompt injection: senin talimatlarını ezmeye çalışan metin

İzinler ve sandbox konusu için yapay zeka kodlama ajanı güvenliği yazısına bak.

AgentVera’da skill yönetimi

AgentVera’nın skill galerisi projenin Detaylar sayfasında, Otomasyon → Skill’ler altındadır. Üç görünümü var: Yerel, Keşfet ve Yayınladıklarım.

Yerel, bilgisayarındaki skill’leri skill klasörü kullanan iki ajan için listeler:

Buradan şunları yapabilirsin:

• Yeni skill ile oluştur: Ajan (Claude Code ya da Codex), Kapsam (Bu proje ya da Tüm projeler), Ad (küçük harf, rakam ve tire) ve açıklamaya dönüşen Ne zaman kullanılmalı? alanını doldur. Oluştur ve düzenle yeni SKILL.md dosyasını açar.
• Bir skill’i silmeden kapat. Anahtar klasörü CLI’ların taramadığı bir yere taşır.
• SKILL.md’ye önizlemede bak ya da düzenle, skill’i diğer ajana ya da kapsama kopyala veya sil; silmek klasörü Çöp Sepeti’ne taşır.

Skill’leri güvenle bulmak ve kurmak

Keşfet, kuruluşunun skill’lerini ve herkese açık galeriyi gösterir. Arama yapabilir, 10 kategoriden birini (kodlama, test, kod inceleme, DevOps, veri, doküman, tasarım, güvenlik, verimlilik, diğer) seçebilir, ajana göre süzebilir ve Popüler ya da Yeni’ye göre sıralayabilirsin. Aynı galeri web’de app.agentvera.dev/skills adresinde de var.

Her skill’in ayrıntı görünümünde Dosyalar, Güvenlik ve Sürümler sekmeleri bulunur. Güvenlik sekmesi Sunucu taraması’nı gösterir. Tarama yıkıcı ya da yetki isteyen komutlara, sır okumaya, gömülü anahtarlara, dışarı gönderilen veriye, indirip çalıştırmaya, gizlenmiş koda, prompt injection’a, görünmeyen Unicode’a, çıplak IP adreslerine ve dış sunuculara bakar. Sonuçlar temizden başlayıp bilgi, düşük, orta ve yüksek riskten kritiğe kadar gider.

Kurulum iki adımdır:

1. İndir ve tara. AgentVera dosyaları indirir, SHA-256’larını doğrular ve senin bilgisayarında yeniden tarar.
2. Kur. Betikler düz dosya olarak yazılır; çalıştırılabilir yapılmaz.

Ajanlar skill’i bir sonraki oturumda görür. Yeni bir sürüm yayınlandığında kurulu skill’in yanında bir güncelleme düğmesi çıkar. Galeri skill’leri yalnızca destekledikleri ajanlar, yani Claude Code ve Codex için kurulur.

Herkese açık skill’ler güvenlik taramasından ve moderatör onayından geçer; yine de bulgulara ve dosyalara göz at. Tarama kalıpları yakalar; projenin neyi yapması ve neyi yapmaması gerektiğini sen bilirsin.

Kendi skill’lerini paylaşmak

Pro ya da Team planı ve bir AgentVera hesabıyla Paylaş, yerel bir skill’i yayınlar. Bir başlık, 20 ile 300 karakter arası bir özet, en fazla 6 etiket, bir kategori ve 1.0.0 gibi bir sürüm verirsin; her sürüm için bir değişiklik notu yazarsın. Bir skill en fazla 50 metin dosyası, dosya başına 256 KB ve toplamda 1 MB olabilir.

• Yalnızca kuruluş: Tarama yüksek ya da kritik bir şey bulmazsa kuruluşuna hemen görünür; bulursa reddedilir.
• Herkese açık: Moderatör onayını bekler; kritik bulgular kabul edilmez. Durumunu Yayınladıklarım’dan izlersin.

Skill’ler ve token kullanımı

Her skill açıklamasını temel bağlama ekler. Birkaç tane sorun değil; onlarca kişisel skill her turda birikir. AgentVera’nın Yalın bağlam profili kullanıcı düzeyindeki skill’leri yüklemez; ilk isteğinin daha küçük olmasının nedenlerinden biri bu (ölçümler burada). Proje skill’lerini depoda tut, artık kullanmadığın kişisel skill’leri temizle.

Özet

Claude Code skill’leri tekrarlanan prompt’ları Claude’un gerektiğinde yüklediği klasörlere çevirir: net bir “ne zaman kullanılır” açıklaması, kısa ve sıralı adımlar ve gereken betiklerle bir SKILL.md; proje için .claude/skills, kendin için ~/.claude/skills. Paylaşılan skill’ler ancak önce kontrol edersen buna değer. AgentVera, Claude Code ve Codex skill’lerini tek yerde listeler, galeri skill’lerini sunucuda ve kurmadan önce senin bilgisayarında tarar, Pro ve Team kullanıcılarının kendi skill’lerini yayınlamasını sağlar. Skill’lerini yönetmek için ücretsiz planla başla.