Bir projede genellikle en güncel ve kritik kod main branch üzerinde tutulur. Bu nedenle bu branch’e herkesin doğrudan kod gönderebilmesi risklidir. Hatalı bir değişiklik, güvenlik açığı ya da eksik test edilmiş bir özellik doğrudan ana koda karışabilir. Bunun önüne geçmek için ana branch korunmalıdır. Her değişiklik pull request üzerinden yapılmalı, en az bir kişi tarafından incelenmeli ve gerekli kontroller geçmeden birleştirilmemelidir. Bu yaklaşım sadece hataları azaltmaz. Aynı zamanda ileride bir sorun olduğunda “bu değişiklik ne zaman yapıldı, kim onayladı, hangi amaçla eklendi?” sorularına cevap vermeyi de kolaylaştırır.

Pull Request Gerçekten İncelenmeli

Pull request açmak tek başına yeterli değildir. Önemli olan, bu sürecin gerçekten anlamlı şekilde işletilmesidir. İyi bir pull request, yapılan değişikliğin ne işe yaradığını, hangi problemi çözdüğünü ve güvenlik açısından bir etkisi olup olmadığını açıkça anlatmalıdır. Özellikle GenAI projelerinde birkaç ekstra soruyu sormak faydalı olur: Bu değişiklik modele yeni bir veri gönderiyor mu? Kullanıcı verisi işleniyor mu? Gizli bilgi loglara düşebilir mi? Model çıktısı otomatik bir işlem başlatıyor mu? Prompt veya model davranışı değişiyor mu? Bu sorular çok karmaşık görünmeyebilir, ama birçok riski daha en başta fark etmeyi sağlar.

Gizli Bilgiler Koda Yazılmamalı

Yazılım projelerinde en sık yapılan hatalardan biri API anahtarı, şifre, token veya veritabanı bağlantı bilgilerinin yanlışlıkla koda eklenmesidir. Bu bilgiler repository’ye yüklendiğinde, proje private olsa bile risk oluşur. Çünkü bu bilgilere erişimi olan herkes onları görebilir. Ayrıca Git geçmişine giren bir bilgiyi sonradan silmek her zaman yeterli olmaz. Kod GitHub’da durur, gizli bilgiler kodun içinde durmaz. Gerçek anahtarlar ve şifreler güvenli secret yönetim sistemlerinde saklanmalıdır. GitHub’a örnek dosya koymak gerekiyorsa, gerçek değerler yerine sahte değerler kullanılmalıdır. “OPENAI_API_KEY=your-api-key-here” “DATABASE_PASSWORD=your-password-here” Bu küçük alışkanlık, ileride yaşanabilecek büyük güvenlik problemlerinin önüne geçebilir.

GenAI Projelerinde Veri Daha Dikkatli Yönetilmeli

GenAI projelerinde verinin nereye gittiği çok önemlidir. Çünkü modele gönderilen bilgi bazen kullanıcı verisi, bazen şirket içi doküman, bazen de hassas bir iş bilgisi olabilir. Bu yüzden projede hangi verilerin kullanılabileceği önceden belirlenmelidir. Herkese açık bilgiler ile kişisel veya gizli bilgiler aynı şekilde ele alınmamalıdır. Örneğin, ürün dokümanları modele gönderilebilirken, müşteri bilgileri, sözleşmeler, finansal veriler veya erişim anahtarları çok daha sıkı kurallarla korunmalıdır. Modele gönderilen her veri, güvenlik kapsamına girer.

Otomasyonlar Kontrolsüz Bırakılmamalı

GitHub Actions gibi araçlar geliştirme sürecini hızlandırır. Testleri çalıştırabilir, kodu analiz edebilir veya uygulamayı canlı ortama taşıyabilir. Ancak bu araçlar yanlış yapılandırılırsa risk oluşturabilir. Bir otomasyona gereğinden fazla yetki verilirse, küçük bir hata daha büyük bir güvenlik problemine dönüşebilir. Bu nedenle otomasyonlar sadece ihtiyaç duydukları yetkilere sahip olmalıdır. Canlı ortama çıkışlarda onay mekanizması kullanmak, kullanılan üçüncü parti araçları dikkatli seçmek ve gizli bilgileri otomasyon dosyalarının içine yazmamak önemlidir. Kısacası, otomasyon faydalıdır, ancak kontrolsüz otomasyon risklidir.

Bağımlılıklar da Risk Oluşturabilir