Claude Code ve benzeri kodlama ajanları için son aylarda onlarca skill, plugin ve araç çıktı. Hangisinin ne işe yaradığını anlamak için 13 popüler projeyi inceledim. Her birinin ne yaptığını ve nasıl kullanıldığını kısaca topladım. Komutlar Kasım 2026 itibarıyla projelerin README dosyalarından alındı. Kurmadan önce güncel README’ye bakmak iyi olur.
Önce güvenlik: skill kurmadan tara
NVIDIA SkillSpector
Ajan skill’lerini kurmadan önce tarayan bir güvenlik tarayıcısı. Prompt injection, veri sızdırma, tedarik zinciri riski ve kötü niyetli kod kalıplarını 71 desenle arıyor. Sonuçta 0-100 arası bir risk skoru ve “SAFE”, “CAUTION” ya da “DO NOT INSTALL” önerisi veriyor. Çıktı terminal, JSON, Markdown veya SARIF olabiliyor.
Kullanım: Python 3.12+ gerekir.
uv tool install git+https://github.com/NVIDIA/skillspector.git
skillspector scan ./my-skill/
skillspector scan https://github.com/kullanici/skill-repo --no-llm
--no-llm yalnızca statik analiz yapar, daha hızlıdır. Bu yazıdaki diğer skill’leri kurmadan önce bununla taramak mantıklı bir alışkanlık.
İş akışı ve yöntem
Andrej Karpathy Skills
Claude Code’un sık yaptığı hataları azaltmayı hedefleyen tek bir CLAUDE.md dosyası. Karpathy’nin LLM kodlama gözlemlerinden türetilmiş dört ilke içeriyor: kodlamadan önce düşün, basit tut, sadece gerekeni değiştir, doğrulanabilir hedefle çalış.
Kullanım:
/plugin marketplace add forrestchang/andrej-karpathy-skills
/plugin install andrej-karpathy-skills@karpathy-skills
Plugin istemezsen dosyayı projeye curl ile indirip kendi CLAUDE.md‘ne ekleyebilirsin. Küçük, basit işlerde bu kadar temkinli olmak gereksiz olabilir, yazarı da bunu belirtiyor.
GitHub: multica-ai/andrej-karpathy-skills
Superpowers
Kodlama ajanına komple bir geliştirme yöntemi kazandırıyor. Bir şey yapmak istediğini söylediğinde hemen kod yazmak yerine sorular sorup ne istediğini netleştiriyor, tasarımı parça parça onaylatıyor, 2-5 dakikalık görevlere bölünmüş bir plan yazıyor, sonra TDD ile uyguluyor ve her adımda inceleme yapıyor. Skill’ler otomatik tetiklendiği için ekstra bir şey yazman gerekmiyor.
Kullanım:
/plugin install superpowers@claude-plugins-official
Kurulumu denemek için yeni oturumda “Let’s make a react todo list” yazabilirsin. Kod yazmadan önce brainstorming başlıyorsa çalışıyordur.
Matt Pocock Skills
Matt Pocock’un her gün kullandığı küçük, düzenlenebilir ve birbirine eklenebilir skill’ler. Süreci tamamen sahiplenmiyor, kontrol sende kalıyor. En bilinenleri şunlar:
/grill-me: Planın hakkında ajan seni detaylı sorularla sorguluyor./grill-with-docs: Aynısını yapıyor, ek olarak projenin ortak terminolojisini ve mimari kararlarını belgeliyor./tdd: Kırmızı-yeşil-refactor döngüsü./to-specve/to-tickets: Konuşmayı spec’e ve işlere dönüştürüyor./improve-codebase-architecture: Kod tabanında iyileştirme fırsatlarını tarıyor.
Kullanım:
claude plugin install mattpocock-skills@claude-plugins-official
/setup-matt-pocock-skills
İkinci komut her repoda bir kez çalıştırılıyor. Issue tracker’ını ve etiketlerini soruyor.
Everything Claude Code (ECC)
Ajan için hazır bir mühendislik sistemi. 71 agent, 314 skill, hook’lar, kural paketleri, hafıza ve AgentShield adlı bir güvenlik tarayıcısı içeriyor. Akışı şöyle: planla, test et, uygula, incele, doğrula, hatırla, geliştir. Claude Code’da en iyi çalışıyor, Codex, Cursor ve diğer araçlar için sınırlı adaptörleri var. (Listedeki affaan-m/ecc ve affaan-m/everything-claude-code adresleri aynı projeye çıkıyor.)
Kullanım:
npx ecc-universal@2.2.3 setup
Ya da Claude Code içinde:
/plugin marketplace add https://github.com/affaan-m/ECC
/plugin install ecc@ecc
Sonrasında /ecc:plan "özellik", /code-review, /build-fix ve /security-scan gibi komutları kullanabilirsin. Aynı ajana birden fazla yöntemle kurma, skill ve hook’lar çiftlenir.
Claude Code Setup (Anthropic resmi plugin)
Kod tabanını tarayıp projene uygun Claude Code otomasyonlarını öneriyor. Hook, skill, MCP sunucusu, subagent ve slash command kategorilerinde bakıyor. Hiçbir dosyayı değiştirmiyor, sadece öneri listesi çıkarıyor. Uygulamayı sen yapıyorsun ya da Claude’dan ayrıca istiyorsun.
Kullanım:
/plugin install claude-code-setup@claude-plugins-official
/reload-plugins
Sonra “recommend automations for this project” yazman yeterli. Ne kuracağını bilmeyenler için iyi bir başlangıç noktası.
Bağlam ve token tasarrufu
Context7
Ajana kütüphanelerin güncel ve sürüme özel dokümanını getiriyor. Böylece eski eğitim verisinden kaynaklanan uydurma API’ler ve eskimiş kod örnekleri azalıyor. MCP sunucusu ya da CLI + skill olarak çalışıyor.
Kullanım: Node.js 22.13+ gerekir.
npx ctx7 setup
Sonra prompt’una “use context7” eklemen yeterli. Örneğin: “Next.js 16 için JWT kontrolü yapan bir proxy yaz. use context7”. Bildiğin bir kütüphane varsa /supabase/supabase gibi kimliğini de yazabilirsin. Daha yüksek limitler için ücretsiz API anahtarı öneriliyor.
Claude-Mem
Oturumlar arası kalıcı hafıza. Ajanın oturum boyunca yaptıklarını yakalıyor, AI ile sıkıştırıyor ve sonraki oturumlara ilgili bağlamı geri veriyor. Arka planda SQLite ve Chroma vektör veritabanı kullanıyor. Arama üç adımlı: önce kısa bir indeks, sonra zaman çizgisi, en son sadece seçilen kayıtların detayı. Bu yüzden token tasarruflu.
Kullanım: Node.js 20+ gerekir.
npx claude-mem install
Ya da /plugin marketplace add thedotmack/claude-mem ve /plugin install claude-mem, ardından Claude Code’u yeniden başlat. Kurulum tarayıcıda hesap girişi ve 30 günlük deneme önerebiliyor. İstemezsen --provider bayrağı ya da CLAUDE_MEM_ONLINE_OPTIN=false ile atlayabilirsin.
Caveman
Ajanı kısa konuşturarak token harcamasını düşürüyor. Kod, komut ve hata mesajları aynen kalıyor, dolgu cümleleri gidiyor. Projenin kendi örneğinde aynı cevap 63 token yerine 20 token tutuyor. Ayrıca log, JSON ve CSV gibi büyük çıktıları ajan okumadan önce sıkıştıran bir katmanı da var. Projenin kendi ölçümlerine göre bu, bütün oturumda yaklaşık üçte bir daha az girdi tokenı demek.
Kullanım: Node.js 22.13+ gerekir.
npx @caveman-ai/cli@latest
Sadece kısa cevap istiyorsan skill’i tek başına kurabilirsin:
npx skills add JuliusBrussee/caveman -g
Ajanda /caveman ile açıyorsun, /ultracave daha da kısa, “stop caveman” ile kapatıyorsun. CLI varsayılan olarak kullanım istatistikleri gönderiyor (prompt veya kod değil). Kapatmak için caveman telemetry off.
Arayüz tasarımı
UI UX Pro Max
Arayüz tasarımı için bir tasarım zekâsı skill’i. Projeni tarif edince ürün tipine göre sayfa düzeni, stil, renk paleti, font eşleşmesi ve kaçınılacak kalıpları içeren eksiksiz bir tasarım sistemi çıkarıyor. İçinde 80 aranabilir UI stili, 192 renk paleti, 74 font eşleşmesi ve 22 teknoloji yığını için rehber var.
Kullanım: Python 3 gerekir.
/plugin marketplace add nextlevelbuilder/ui-ux-pro-max-skill
/plugin install ui-ux-pro-max@ui-ux-pro-max-skill
Alternatif olarak CLI ile:
npm install -g ui-ux-pro-max-cli
uipro init --ai claude
Sonra doğal dille yazman yeterli: “Build a landing page for my SaaS product”.
GitHub: nextlevelbuilder/ui-ux-pro-max-skill
Güvenlik denetimi ve pentest
Cloudflare Security Audit Skill
Cloudflare’in zafiyet keşif sisteminin başlangıç noktası olan bir skill. Ajanı çok aşamalı bir güvenlik denetçisine çeviriyor: keşif, bulgu avı, adayların doğrulanması, yapılandırılmış çıktı ve bağımsız kayıt doğrulama. Bulguyu bulan ajan onu kendisi doğrulamıyor, taze bir ajan çürütmeye çalışıyor. Sonuç olarak REPORT.md ve makine okunur findings.json üretiyor.
Kullanım: Node.js gerekir.
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
Sonra ajana “security audit this codebase” demen yeterli. Hedef kodu çalıştıracaksa ağı kapalı bir sandbox ortamı öneriliyor. Aynı depoda birden fazla çalıştırma kapsamı artırıyor.
GitHub: cloudflare/security-audit-skill
VibeSec
Claude’un baştan güvenli kod yazması için bir bug bounty avcısının bakış açısını öğreten skill. IDOR, yetki yükseltme, XSS, CSRF, SSRF, SQL injection, JWT ve mass assignment gibi zafiyet sınıfları için bypass teknikleri ve kontrol listeleri içeriyor. Yazarı skill’in yaygın zafiyetlerin yaklaşık %60-70’ini kapsadığını söylüyor.
Kullanım:
git clone https://github.com/BehiSecc/VibeSec-Skill
Klasörü ~/.claude/skills (genel) ya da projedeki .claude/skills altına koyuyorsun. Sonra: “I’m building a [uygulama açıklaması]. Please follow secure coding practices.”
GitHub: BehiSecc/VibeSec-Skill
Strix
Açık kaynak, otonom bir AI pentest aracı. Ajanlar uygulamayı gerçekten çalıştırıp zafiyet arıyor ve bulguları çalışan bir kanıt (PoC) ile doğruluyor. Bu yüzden klasik statik tarayıcılardaki yanlış alarm sorunu daha az. Birden fazla ajan birlikte çalışıyor, sonuçlar yerel bir web arayüzünde (strix view) görülebiliyor. GitHub Actions ile pull request’lerde otomatik tarama da yapılabiliyor.
Kullanım: Docker ve bir LLM API anahtarı gerekir.
curl -sSL https://strix.ai/install | bash
export STRIX_LLM="openrouter/z-ai/glm-5.3"
export LLM_API_KEY="anahtarın"
strix --target ./app-directory
Canlı bir siteyi test etmek için strix --target https://siten.com. Önemli: Sadece sahibi olduğun ya da yazılı izin aldığın sistemlerde çalıştır. Proje README’sinde bunu özellikle uyarıyor.
Nereden başlamalı?
- İlk adım: Claude Code Setup ile projene neyin uygun olduğuna bak, SkillSpector ile kuracağın skill’leri tara.
- Kalite artırmak için: Karpathy Skills veya Superpowers (ikisinden biri yeter, ikisi birbirini tekrar eder).
- Maliyet ve bağlam için: Context7 ile güncel doküman, Caveman ile token tasarrufu.
- Yayına çıkmadan önce: VibeSec ile yaz, Cloudflare skill’i veya Strix ile denetle.
Hepsini aynı anda kurmak iyi bir fikir değil. Her biri bağlam penceresinden yer alıyor ve bazıları (ECC, Superpowers) birbirinin işini çakıştırıyor. Birer birer ekleyip fark edip etmediğine bakmak en sağlıklısı.