Cloudsmith, Yapay Zekâ Ajanı Becerilerini Artefakt Deposu Denetimleri Altına Alıyor

Cloudsmith, 9 Kasım 2026’da KubeCon’da Yapay Zekâ Ajanı Becerileri için bir depo duyurdu ve artefakt yönetimi platformunu, yapay zekâ kodlama ajanlarının kullandığı talimat dosyaları ve betikleri de kapsayacak şekilde genişletti. Bu sürümle, mevcut yazılım paketlerine ek olarak beceri kaynakları, sürümler ve erişim üzerinde denetimler sunuluyor.

Beceriler ve Claude eklentileri artık Cloudsmith’in çok biçimli depolarında yer alıyor. Şirket, bu depoların 30’dan fazla artefakt biçimini desteklediğini belirtiyor. Depo, belgeleriyle birlikte müşterilere erken erişime açılıyor.

Ajan Becerilerinin Güvenlik Riskleri

Bir beceri, şu unsuru temel alır: SKILL.md ajan için gerekli bir ad ve açıklamanın yanı sıra talimatları içeren bir dosya. İsteğe bağlı klasörlere betikler, başvuru materyalleri ve şablonlar eklenebilir; Claude eklentisi ise becerileri birlikte yüklenebilecek şekilde paketler. Böylece bir beceri, inceleme sürecini izlemek veya dahili bir aracı sorgulamak gibi görevler için hem yönergeler hem de çalıştırılabilir kod sağlayabilir.

Cloudsmith’in 6 Kasım 2026’da yayımlanan teknik yazısı, söz konusu erişimin kapsamını açıklıyor: ajanın yapılandırmasına bağlı olarak depo kimlik bilgileri, dahili API’ler ve üretim verileri. Paketlenmiş betikler çalıştırıldıklarında bu ayrıcalıkları devralabilir veya ajan onay istediğinde kullanıcının verdiği izinleri alabilir.

Bu nedenle kötü amaçlı, değiştirilmiş veya hatalı bir beceri verileri açığa çıkarabilir, zararlı komutlar çalıştırabilir ya da istenmeyen eylemlerde bulunabilir. Beceri talimatları ayrıca ajanı paket yüklemeye yönlendirerek incelenmemiş bağımlılıklar için başka bir yol açabilir.

Sürüm oluşturma da ayrı bir sorun teşkil ediyor. Ajan Becerileri spesifikasyonu sürüm belirtmeyi zorunlu kılmadığından, Git’ten alınan bir beceri aynı adı koruyarak değişebilir. Bu durum, ajanın tam olarak hangi sürümü aldığını belirleme veya belirli bir sürüme onay verme çabalarını zorlaştırıyor.

Cloudsmith’in ürün başkan yardımcısı Alison Sickelka, “Topluluk beceri depoları denetim için değil, paylaşım için oluşturuldu” dedi. Kurumsal kullanımda eksik olan bilgileri; yayıncının kimliği, ajanların çalıştırdığı sürüm ve becerinin herhangi biri tarafından onaylanıp onaylanmadığı olarak tanımladı.

Depo Yayımlama ve Erişim Denetimleri

Cloudsmith, her beceri sürümünü bir paket olarak ele alıyor. Her sürüme semantik bir sürüm numarası veya Git commit SHA’sı ve bir SHA-256 sağlama toplamı atanıyor. Depolar gizli tutulabilir veya herkese açık olarak paylaşılabilir; geliştiriciler becerileri diğer artefaktlarla aynı depolarda bulabilir.

Yazarlar yükleme işlemini web uygulaması, API veya Cloudsmith komut satırı arayüzü üzerinden yapabilir. Ürün sayfasında, yayımlama için hedef depoda Yazma veya Yönetici ayrıcalıkları gerektiği belirtiliyor; izinler kullanıcılara, ekiplere veya hizmet hesaplarına atanabiliyor. Bir sürümün bir kez yayımlanması, ekiplerin depo denetimlerine tabi olarak aynı sürümü çekmesine olanak tanıyor.

Harici beceriler için ekipler, seçtikleri GitHub depolarını üst kaynak olarak ekliyor ve bir belirteçle kimlik doğrulaması yapıyor. Cloudsmith, bu depolardaki becerileri ve eklentileri önbelleğe alıyor; belirtecin erişim izni olduğu durumlarda gizli depolar da buna dahil. Bu yapılandırma üzerinden içerik çeken ekipler yalnızca seçilen üst kaynaklarda yer alan yayıncıların becerilerini alıyor.

Engelleme kuralları, bir deponun tamamını reddetmekten daha dar kapsamlı bir denetim sağlıyor. Güvenlik ekipleri, güvenilir bir kaynağın geri kalanını kullanılabilir durumda bırakırken adı belirtilen bir beceriyi veya tek bir sürümü engelleyebiliyor. Engellenen bir öğe listeleme ve çekme sonuçlarında görünmüyor; öğeyi almaya yönelik girişimler ise bir nothing found hatayla sonuçlanıyor.

Beceriler, Cloudsmith’in mevcut etkinlik ve denetim kayıtlarından da yararlanıyor. Kayıtlar hangi becerilerin ve sürümlerin çekildiğini gösterirken Cloudsmith, depolar genelindeki güncel sürümleri, kaynakları ve erişimi görünür kılıyor. Böylece ajan becerilerine ilişkin etkinlikler, diğer yazılım artefaktlarıyla aynı denetim kaydında yer alıyor.

Lansmanda Claude Code ve GitHub

Bir Cloudsmith deposu, Claude Code eklenti pazaryeri olarak da işlev görebilir. Geliştiriciler depoyu bir kez ekledikten sonra, bir oturum sırasında eklentileri şu yöntemi kullanarak yükleyebilir: /plugin install.

Cloudsmith, yapay zekâ artefaktlarına yönelik çalışmalarına Claude Code ile başladığını ve ilk üst kaynak olarak GitHub’ı kullandığını belirtiyor. Bu lansman, ajanın talimatlarını ve betiklerini, yükleyebilecekleri paketlerle aynı bağımlılık denetimlerine tabi kılıyor; sürümün mevcut kapsamı Claude Code ile sınırlı ve önbelleğe alınan harici becerilerin kaynağı GitHub.