v1.0.0 · Açık kaynak, MIT · Claude Code ve Codexv1.0.0 · Open source, MIT · Claude Code and Codex
Last stop before production.
Kaynak kodun için derin güvenlik denetimi, Claude Code içinde. 22 sabit sürümlü araç şüphelileri bulur, ajanlar önemli olanları kaynakta doğrular. Taramalar makinende kalır.
A deep security audit of your source code, inside Claude Code. 22 pinned tools find the candidates, and agents verify the important ones in the source. The scans stay on your machine.
❯ claude plugin marketplace add dtechcloud/kalkan#stable
❯ claude plugin install kalkan@kalkan❯ kalkan-audit https://github.com/org/shop --profile deep
kalkan audit: checking the setup: pinned tools, vulnerability databases, Claude Code
kalkan audit: run 20261026T091512Z-shop-3f2a created
kalkan audit: agents: Claude Code rounds start now; they wait through usage-limit resets
kalkan audit: phase hunt: 14 of 31 agent tasks finished, 6 running; budget 45 of 400 used
kalkan audit: phase validate: 52 of 58 agent tasks finished, 6 running; budget 131 of 400 used
Audit done: run 20261026T091512Z-shop-3f2a (1 h 52 min)
Posture: Medium
Confirmed findings: 9 (critical 0, high 2, medium 5, low 2, info 0); need validation: 4; rejected: 31
Open the executive summary: ~/kalkan-runs/20261026T091512Z-shop-3f2a/report/EXECUTIVE.html
❯ ▍Nasıl çalışırHow it works
Şüpheden kanıta.From candidates to quoted proof.
Araçlar şüphelileri bulur. Ajanlar paralel çalışır ve her iddiayı kaynaktan alıntılar. Motor alıntıları dosyada arar, kararı o verir. Kanıtı ağsız bir sandbox'ta sınar.
The tools find the candidates. Agents work in parallel and quote the source for every claim. The engine looks up each quote in the file and makes the verdict. A PoC tests the proof in a sandbox without network.
-
01
TaraScan
22 sabit sürümlü araç ve yerel SCA sırayla çalışır. Ağ kullanmazlar.22 pinned tools and local SCA run one after another, without network.
→ şüpheliler · SARIF→ candidates · SARIF
-
02
AraHunt
Avcı ajanlar kapsam birimlerini paralel tarar. Eleştirmen boşlukları bulur, yeni dalga açar.Hunter agents cover the coverage units in parallel. A critic finds the gaps and opens a new wave.
→ iz taşıyan iddialar→ claims with a trace
-
03
DoğrulaVerify
Doğrulayıcı üç soruyu alıntıyla cevaplar. Motor her alıntıyı dosyada arar. Taze gözlü bir ajan son kez inceler.A verifier answers three questions with quotes. The engine finds each quote in the file. A fresh-eyes agent reviews it once more.
→ doğrulandı · doğrulama bekliyor · reddedildi→ confirmed · needs validation · rejected
-
04
KanıtlaProve
Bir ajan küçük bir PoC yazar. Motor onu Docker'da ağsız ve salt okunur bir konteynerde çalıştırır.An agent writes a small PoC. The engine runs it in Docker, in a read-only container without network.
→ çalışma zamanı kanıtı→ runtime evidence
-
05
RaporlaReport
Aynı kök nedenli kayıtlar birleşir. Yönetici özeti ve makine okuyabilir çıktılar yazılır.Records of one root cause fold into one. An executive summary and machine-readable files follow.
→ her bulgu kaynağını alıntılar→ every finding quotes its source
Motor bir karar vermek için dil modeli çağırmaz: durumu diskte tutar, şemaları ve alıntıları kontrol eder, kararı verir. Ajan işi Claude Code (veya Codex) içinde çalışır. Kullanım limiti dolarsa denetim bekler ve kaldığı yerden devam eder.The engine makes no model call to decide a verdict: it keeps the state on disk, checks the schemas and the quotes, and makes the verdict. The agent work runs in Claude Code (or Codex). A usage limit only pauses the audit. The audit continues where it stopped.
Açık kaynakOpen source
Herkes kendi projesini denetler.Anyone can audit their own project.
Kendin çalıştırRun it yourself
- kalkan'ın kendi kodu MIT lisanslı. Bütün kod açık, her satırı okuyabilirsin. Paketle gelen Opengrep kural paketleri kendi lisanslarını korur.MIT license for kalkan's own code. All the code is open, and you can read every line. The bundled Opengrep rule packs keep their own licenses.
- Tek komutla kurulum. Denetim kendi Claude Code oturumunda veya kendi API hesabınla çalışır.One-command install. The audit runs in your own Claude Code session or on your own API account.
- Taramalar, raporlar ve veritabanları kendi makinende kalır. Ajanlar okudukları dosyaları Anthropic'e veya API sağlayıcına gönderir.The scans, the reports and the databases stay on your machine. The agents send the files they read to Anthropic or to your API provider.
Neden kalkanWhy kalkan
Gürültü değil, kanıt.Proof, not noise.
Güvenlik tarayıcıları çok sayıda şüpheli üretir. Dil modeli incelemeleri ise ikna edici ama kimsenin kontrol etmediği iddialar yazabilir. kalkan ikisini birleştirir ve her iddiayı kaynağa bağlar.
Security scanners produce many candidates. LLM reviews can write convincing claims that nobody checked. kalkan combines both and ties every claim to the source.
Doğrulanmamış sonuç bulgu sayılmaz.An unverified result is not a finding.
OWASP Juice Shop'ta yalnız araçlar 1200 şüpheli üretti (2026-11-01'de bir ön sürüm derlemesiyle ölçüldü). kalkan bir araç sonucunu ajanlar kodda izleyip doğrulamadan bulgu saymaz. Doğrulanmayanlar raporda ayrı bir listede kalır.
On OWASP Juice Shop, the tools alone gave 1,200 candidates (measured on 2026-11-01 with a pre-release build). kalkan counts a tool result as a finding only after the agents trace and verify it in the code. The unverified ones stay in a separate list of the report.
Her iddia bir alıntı taşır.Every claim carries a quote.
Doğrulayıcı ajan her yanıtının arkasındaki kodu alıntılar. Motor her alıntıyı dosyada arar (±2 satır). Dosyada olmayan bir alıntı kanıt sayılmaz.
The verifier agent quotes the code behind each answer. The engine looks up every quote in the file (±2 lines). A quote that is not in the file counts as no evidence.
Limit dolsa da kaldığı yerden devam eder.A usage limit is only a pause.
Denetimin bütün durumu diskte durur. Kullanım limiti dolarsa kalkan sıfırlanmayı bekler ve kaldığı yerden devam eder. Hiçbir görev kaybolmaz, hiçbiri iki kez çalışmaz.
All audit state lives on disk. When a usage limit stops the audit, kalkan waits for the reset and continues where it stopped. No task is lost, and none runs twice.
KeşfetExplore
kalkan'ı yakından tanı.Take a closer look.
Canlıdan önce bir kez daha bak.Look once more before production.
❯ kalkan-audit https://github.com/org/shop --profile deep --open