Nasıl çalışırHow it works
Motor yönetir. Ajanlar düşünür.The engine drives. The agents reason.
kalkan motoru deterministik bir Python aracı ve bir karar vermek için hiçbir dil modelini çağırmaz. Hedefi kopyalar, tarayıcıları çalıştırır, görevleri dağıtır, her ajan sonucunu şemaya ve alıntılara karşı kontrol eder, kararı kendisi hesaplar. kalkan audit ve kalkan unattended, ajan işi için Claude Code (veya Codex) turları başlatır.
The kalkan engine is a deterministic Python tool, and it makes no model call to decide a verdict. It copies the target, runs the scanners, hands out the tasks, checks every agent result against its schema and its quotes, and computes the verdicts itself. kalkan audit and kalkan unattended start Claude Code (or Codex) rounds for the agent work.
- 01HazırlıkPrepkalkan hedefi kopyalar ve ajan talimat dosyalarını etkisiz kılar.kalkan copies the target and neutralizes its agent instruction files.
- 02TarayıcılarScanners22 sabit sürümlü araç, sırayla ve ağ olmadan.22 pinned tools, one after another, without network.
- 03SCASBOM, yerel OSV ve Grype veritabanları, bilinen zararlı paketler.SBOM, local OSV and Grype databases, known malicious packages.
- 04KeşifReconÜrün, roller, saldırı yüzeyleri ve çalışma ortamı.Product, principals, attack surfaces and execution.
- 05PlanKapsam defteri: her yüzey bir birim.Coverage ledger: one unit per surface.
- 06Av ⇄ eleştirmenHunt ⇄ criticAvcılar birimleri tarar, eleştirmen boşlukları bulur. 1 ile 3 dalga.Hunters search the units, a critic finds the gaps. 1 to 3 waves.
- 07DoğrulamaVerifyÜç soru, her yanıta bir alıntı.Three questions, one quote per answer.
- 08İnceleme ve birleştirmeReview and consolidateTaze bir gözden geçirici her kaydı kaynakla yeniden okur. Aynı kök neden tek bulgu olur.A fresh reviewer reads each record against the source again. One root cause becomes one finding.
- 09PoC sandboxDocker varsa küçük bir doğrulama programı ağsız bir konteynerde çalışır.If Docker answers, a small proof program runs in a container without network.
- 10RaporReportVarsayılan İngilizce,
--lang trile Türkçe. 8 çıktı.English by default, Turkish with--lang tr. 8 deliverables.
SQL injection · src/orders/search.py:48q = request.args.get("q", "")search.py:41 · established@app.route("/orders/search")search.py:38 · establishedcur.execute(f"SELECT * FROM orders WHERE note LIKE '%{q}%'")search.py:48 · established- 01Doğrulayıcı her şüpheli için üç soruyu yanıtlar: saldırgan girdiyi kontrol ediyor mu, bir yetki sınırı aşılıyor mu, önlem eksik mi?The verifier answers three questions about each candidate: does an attacker control the input, does it cross a privilege boundary, is a mitigation missing?
- 02Doğrulanmış tek bir çürütme şüpheliyi reddeder. Üç kanıtlı yanıt onaylar. Gerisi “doğrulama bekliyor” olarak raporda kalır.One verified refutation rejects a candidate. Three established answers confirm it. Anything else stays in the report as “needs validation”.
- 03
standardvedeepprofillerinde taze bir gözden geçirici, doğrulayıcının gerekçesini görmeden her kaydı yeniden okur. Motor bir kaydı asla güçlendirmez.In the standard and deep profiles, a fresh reviewer reads each record again without the verifier's reasoning. The engine never makes a record stronger.
RaporlarReports
Yönetici tek sayfa okur. Geliştirici satırı bulur.Managers read one page. Developers find the line.
Rapor varsayılan olarak İngilizce. --lang tr ile rapor Türkçe olur, yerleşik İngilizce teknik terimleri korur ve sonda İngilizce sürüm de sunulur. Her bulgu kanıtını, kod konumunu ve bir düzeltme önerisini taşır.
The report is English by default. With --lang tr it is Turkish, keeps the established English technical terms, and an English version is offered at the end. Every finding carries its evidence, its code location and a remediation.
EXECUTIVE.htmlYönetici özeti: genel risk, ilk 10 bulgu, öncelikli eylemlerExecutive summary: overall risk, top 10 findings, priority actionsREPORT.html,REPORT.mdBütün bulgular, kanıtlar, kapsam ve tarama boşluklarıAll findings, evidence, coverage and scan gapsfindings.sarifSARIF 2.1.0: GitHub code scanning ve IDE'ler içinSARIF 2.1.0 for GitHub code scanning and IDEsfindings.json,summary.jsonMakine okunur kayıtlar ve özetMachine-readable records and summarySBOMCycloneDX ve SPDX bileşen listeleriCycloneDX and SPDX component lists
OrtaMedium
- YüksekHighSipariş aramasında SQL injectionSQL injection in the order searchsrc/orders/search.py:48
- YüksekHighFatura indirmede sahiplik kontrolü yokNo ownership check on invoice downloadsrc/billing/views.py:112
- OrtaMediumOturum çerezinde Secure bayrağı yokSession cookie without the Secure flagsrc/app.py:23
ÖlçümlerBenchmarks
İddia değil, ölçüm.Measured, not claimed.
Bu satırdaki her sayı 2026-11-01'de bir ön sürüm derlemesiyle, bir Windows 11 makinesinde (20 CPU) ölçüldü. Ölçüm yalnız deterministik hattı kapsar, ajanları kapsamaz.
Every number on this row was measured on 2026-11-01 with a pre-release build, on one Windows 11 machine (20 CPUs). The runs cover only the deterministic pipeline, not the agents.
Test uygulamasına yerleştirilmiş zafiyetlerin hepsini deterministik motorlar buldu. 154 güvenli ikizde 1 yanlış pozitif.
The deterministic engines found every planted vulnerability in the test app. 1 false positive on 154 secure twins.
OWASP Juice Shop'ta yalnız araçların ürettiği şüpheli. Ajanlar doğrulamadan hiçbiri bulgu sayılmaz.
Candidates from the tools alone on OWASP Juice Shop. None counts as a finding until the agents verify it.
OWASP Juice Shop v20.3.0, 1.466 dosya: 22 araç, SCA, birleştirme ve rapor. Kural paketleri bunun 16 dakikasını alır.
OWASP Juice Shop v20.3.0, 1,466 files: 22 tools, SCA, merge and report. The rule packs take 16 minutes of it.
DVWA, 252 dosya: aynı deterministik geçiş.
DVWA, 252 files: the same deterministic pass.