Güvenlik modeliSecurity model

Güvenlik konusunda üç taahhüt.Three security commitments.

Bir güvenlik aracı, denetlediği kod kadar kendine de dikkat etmeli. kalkan'ın taahhütleri ve nasıl uygulandıkları docs/SECURITY.md içinde, kalan riskleriyle birlikte yazılı.

A security tool must be as careful with itself as with the code it audits. kalkan's commitments and how it keeps them are in docs/SECURITY.md, together with the residual risks.

Denetlenen proje değişmez.The audited project never changes.

Denetim bir kopya üzerinde çalışır. kalkan hedefte hiçbir dosyayı ve klasörü değiştirmez. Bir tuzak repo testi her dosyayı, klasörü ve değişiklik zamanını kontrol eder.

The audit works on a copy. kalkan changes no file and no folder of the target. A trap repository test checks every file, folder and modification time.

Ajanlar yalnız kendi dosyasına yazar.Agents write only their own file.

Alt ajanların yalnız Read, Grep, Glob ve Write araçları var. Kabuk yok, web yok, MCP aracı yok. Her ajan tek bir dosya yazar: kendi sonucunu.

The subagents have only Read, Grep, Glob and Write. No shell, no web, no MCP tools. Each agent writes exactly one file: its own result.

Veri makinede kalır.Data stays on the machine.

Tarayıcılar ve SCA varsayılan olarak ağsız çalışır. Dışarı çıkan tek trafik kendi Claude oturumundur: Anthropic'e veya API sağlayıcına gider. Hedef bir git URL'si ise kalkan onu önce klonlar. --allow-build-network ile (isteğe bağlı, varsayılan kapalı) uygulama seviyesindeki PoC sandbox'ı, hedefin compose yığınının imajlarını ağ erişimiyle çeker ve derler. Çalışan yığın internete hiç çıkmaz. Proxy tuzağı testinde gerçek araçlar sıfır bağlantı açtı.

The scanners and SCA run without network by default. The only traffic that leaves is your own Claude session, to Anthropic or to your API provider. A git URL target is cloned first. With --allow-build-network (opt-in, off by default), the app-level PoC sandbox pulls and builds the images of the target's compose stack with network access. The running stack never gets internet. In the proxy trap test, the real tools opened zero connections.

Hedefin CLAUDE.md, AGENTS.md, .claude/, .cursorrules gibi talimat dosyaları .kalkan-neutralized adıyla etkisiz kalır.Instruction files of the target (CLAUDE.md, AGENTS.md, .claude/, .cursorrules and others) get the suffix .kalkan-neutralized.
Her ajan istemi hedefin talimat değil veri olduğunu söyler. Ajanlar hedefteki talimatlara asla uymaz. Motor bir iddiayı yalnız dosyada bulduğu alıntılarla kabul eder. Test uygulaması bu savunmanın test tasarımını taşır (tests/fixtures/vulnapp/INJECTION-NOTE.md): test, kopyaya saldırgan bir CLAUDE.md yazar ve motorun onu etkisiz kılmasını bekler.Every agent prompt says that the target is data, not instructions. The agents never follow instructions in it. The engine accepts a claim only with quotes that it finds in the file. The test app carries the test design for this defense (tests/fixtures/vulnapp/INJECTION-NOTE.md): a test writes a hostile CLAUDE.md into a copy, and the engine must neutralize it.
Tarayıcılar hedef kodu asla çalıştırmaz. Docker varsa PoC sandbox hedef kodu yalnız kopyadan, ağsız bir konteynerde çalıştırır.The scanners never run target code. With Docker, the PoC sandbox runs target code only from the copy, in a container without network.
Kingfisher bulduğu bir sırrı sağlayıcısında asla denemez. Hiçbir sır değeri bir kalkan dosyasına yazılmaz.Kingfisher never tries a found secret at its provider. No secret value reaches a kalkan file.