Yapay zekâ, kod inceleme sürecini hızlandırabilir; ancak güvenlik, performans ve geriye dönük uyumluluk gibi konularda tek başına nihai karar verici olmamalıdır. En iyi sonuç için yapay zekâyı, açık kapsam ve doğrulanabilir kanıtlarla çalışan bir yardımcı inceleyici olarak konumlandırmak gerekir.

1. İnceleme Öncesi Hazırlık

İnceleme başlamadan önce yapay zekâya yalnızca kodu göndermek yerine gerekli bağlamı sağlamak önemlidir. Eksik bağlam, doğru görünen ancak projeye uymayan önerilere ve yanlış pozitiflere yol açabilir.

İnceleme girdisinde mümkünse şu bilgiler bulunmalıdır:

• Kodun yaptığı iş ve beklenen davranış
• Kullanılan programlama dili, sürüm ve ana kütüphaneler
• Çalıştığı ortam: web, mobil, masaüstü, sunucu veya gömülü sistem
• Değişikliğin amacı ve kapsamı
• Desteklenen işletim sistemi, veritabanı veya API sürümleri
• Performans hedefleri ve bilinen darboğazlar
• Mevcut test komutları ve test kapsamı
• Güvenlik veya uyumluluk gereksinimleri

Gizlilik açısından kaynak kodu inceleme aracına gönderilmeden önce API anahtarları, parolalar, erişim belirteçleri, kişisel veriler ve özel yapılandırmalar kaldırılmalıdır. Kodun kritik bölümleri anonimleştirilebilir; ancak bu işlem davranışı değiştirmemelidir.

2. İncelemeyi Aşamalara Bölme

Tüm kod tabanını tek seferde değerlendirmek yerine incelemeyi ayrı aşamalara ayırmak daha tutarlı sonuç verir:

• Önce değişikliğin amacı ve davranış farkı incelenir.
• Ardından güvenlik açıkları ve güven sınırları değerlendirilir.
• Daha sonra performans, kaynak kullanımı ve ölçeklenebilirlik kontrol edilir.
• Okunabilirlik, bakım maliyeti ve hata yönetimi incelenir.
• Testlerin yeterliliği ve eksik senaryolar belirlenir.
• Son olarak geriye dönük uyumluluk ve dağıtım riski ele alınır.

Her bulgu için yapay zekâdan önem derecesi, etkilenen satır veya bölüm, gerekçe, yeniden üretim koşulu ve önerilen çözüm istenmelidir. Kanıt bulunamayan iddialar doğrudan hata olarak kabul edilmemelidir.

3. Güvenlik İncelemesi

Güvenlik değerlendirmesinde yalnızca şüpheli fonksiyon isimlerine bakmak yeterli değildir. Verinin kaynağı, işlendiği noktalar ve çıktığı yer birlikte incelenmelidir.

Özellikle şu başlıklar kontrol edilmelidir:

• Kullanıcı girdisinin doğrulanması ve uygun şekilde kodlanması
• SQL, komut, şablon veya HTML enjeksiyonu riskleri
• Kimlik doğrulama ve yetkilendirme kontrolleri
• Hassas verilerin günlüklerde, hata mesajlarında veya istemci tarafında açığa çıkması
• Dosya yolu, URL ve yönlendirme işlemlerindeki sınır kontrolleri
• Güvenli olmayan varsayılan ayarlar
• Bağımlılıkların sürüm ve bilinen güvenlik sorunları
• Şifreleme anahtarlarının saklanması ve anahtar yönetimi
• Hız sınırlama, tekrar oynatma ve kaynak tüketimi riskleri

Yapay zekâdan yalnızca “güvenlik açığı var mı?” diye sormak yerine veri akışını açıklaması istenmelidir. Bir bulgunun gerçekten geçerli sayılması için saldırı girdisi, ulaşılabilir kod yolu ve etkisinin gösterilmesi gerekir. Örneğin yalnızca teorik olarak tehlikeli bir fonksiyonun bulunması, bu fonksiyonun kontrolsüz kullanıcı verisi aldığı anlamına gelmez.

4. Performans İncelemesi

Performans önerileri ölçüm yapılmadan uygulanmamalıdır. Yapay zekâ karmaşıklık, gereksiz kopyalama veya tekrarlı I/O gibi riskleri gösterebilir; fakat gerçek darboğazı doğrulamak için profil oluşturma ve yük testi gerekir.

İnceleme sırasında şu sorular sorulabilir:

• Algoritmanın zaman ve bellek karmaşıklığı nedir?
• Büyük veri kümelerinde döngü, sorgu veya ağ çağrısı maliyeti nasıl değişir?
• Aynı veri tekrar tekrar hesaplanıyor veya dönüştürülüyor mu?
• Veritabanı sorguları gereksiz kayıt, sütun veya tekrar çağrı üretiyor mu?
• Önbellekleme tutarlılık ya da bellek tüketimi açısından risk oluşturuyor mu?
• Eşzamanlılık kullanımı yarış durumu, kilitlenme veya kaynak tükenmesine yol açabilir mi?
• Önerilen optimizasyon ölçülebilir bir kazanım sağlıyor mu?

Bir optimizasyon önerisini kabul etmeden önce mevcut ve yeni davranış için kıyaslama testi hazırlanmalıdır. Ortalama süre kadar gecikme dağılımı, hata oranı, bellek kullanımı ve yoğun yük altındaki davranış da izlenmelidir.

5. Okunabilirlik ve Bakım Kolaylığı

Okunabilirlik yalnızca kodun kısa olması değildir. İsimlendirme, sorumlulukların ayrılması, hata akışının anlaşılması ve iş kuralının görünür olması birlikte değerlendirilmelidir.

Yapay zekâdan şu konularda somut öneri istenebilir:

• Belirsiz değişken, fonksiyon ve sınıf adlarını belirlemek
• Birden fazla sorumluluk taşıyan fonksiyonları ayırmak
• Gereksiz soyutlama veya tekrarı göstermek
• Karmaşık koşulları anlamlı yardımcı fonksiyonlara dönüştürmek
• Yorumların kodu tekrarlamak yerine gerekçeyi açıklayıp açıklamadığını değerlendirmek
• Hata yönetimi ve log mesajlarının tutarlılığını kontrol etmek

Refaktör önerileri davranış değişikliğine yol açabilir. Bu nedenle “yalnızca okunabilirliği artır, dış davranışı değiştirme ve gerekli değişiklikleri ayrı ayrı belirt” gibi sınırlar kullanılmalıdır.

6. Test Kapsamı ve Test Kalitesi

Yüzde olarak test kapsamı tek başına yeterli bir kalite göstergesi değildir. Kritik iş akışlarının, hata yollarının ve sınır değerlerin test edilip edilmediği incelenmelidir.

Kontrol edilmesi gereken örnekler:

• Normal kullanım senaryoları
• Boş, eksik, hatalı ve beklenmeyen girdiler
• Minimum ve maksimum sınır değerler
• Yetkisiz veya süresi dolmuş oturumlar
• Ağ, veritabanı ve harici servis hataları
• Tekrarlanan istekler ve idempotency davranışı
• Eşzamanlı istekler
• Eski veri biçimleri ve sürüm geçişleri
• Geri alma veya kısmi başarısızlık durumları

Yapay zekâdan doğrudan test üretmesi istenebilir; ancak üretilen testlerin yalnızca uygulamanın mevcut hatalı davranışını sabitlemediği kontrol edilmelidir. Her test için beklenen davranışın kaynağı, yani gereksinim, sözleşme veya kabul kriteri belirtilmelidir.

7. Geriye Dönük Uyumluluk

Bir değişiklik, derleme hatası oluşturmadan da uyumluluğu bozabilir. API yanıt alanları, hata kodları, varsayılan değerler, veritabanı şeması, yapılandırma seçenekleri ve dosya biçimleri özellikle kontrol edilmelidir.

Şu sorular yararlıdır:

• Mevcut istemciler yeni yanıt veya parametre biçimini anlayabilecek mi?
• Bir alanın kaldırılması ya da türünün değiştirilmesi eski entegrasyonları etkiler mi?
• Veritabanı geçişi eski ve yeni uygulama sürümleriyle birlikte çalışabilir mi?
• Yeni varsayılan değer mevcut kullanıcıların davranışını değiştirir mi?
• Önbellek, kuyruk veya dosya formatındaki değişiklikler geri alınabilir mi?
• Kamuya açık fonksiyonların hata ve dönüş sözleşmeleri korunuyor mu?

Uyumluluk riski bulunan değişikliklerde sürümleme, kademeli geçiş, geriye dönük alan desteği veya özellik bayrağı gibi yöntemler değerlendirilebilir. Bu seçeneklerden hangisinin uygun olduğu projenin dağıtım modeline göre doğrulanmalıdır.

8. Yanlış Pozitifleri Azaltan Prompt Örnekleri

Aşağıdaki örnekler, yapay zekânın her şüpheli durumu kesin hata olarak işaretlemesini önlemek için kanıt, kapsam ve belirsizlik isteme yaklaşımını kullanır.













9. Bulguları Doğrulama ve Son Karar

Yapay zekâ çıktısı doğrudan kod deposuna uygulanmamalıdır. Her bulgu şu adımlardan geçirilmelidir:

• Bulgunun ilgili kod sürümünde hâlâ geçerli olduğu kontrol edilir.
• Önerilen saldırı, hata veya performans senaryosu güvenli bir ortamda yeniden üretilir.
• Mevcut testlerin bulguyu yakalayıp yakalamadığı incelenir.
• Düzeltmenin yeni hata veya uyumluluk sorunu oluşturup oluşturmadığı değerlendirilir.
• Gerekirse birim, entegrasyon, yük veya güvenlik testi eklenir.
• Sonuç kod inceleme sistemi ve değişiklik kaydı üzerinden belgelenir.

Önem derecesi için proje içi bir sınıflandırma kullanmak faydalıdır. Örneğin “kritik”, “yüksek”, “orta”, “düşük” ve “bilgi” seviyeleri belirlenebilir. Ancak etiketin anlamı ekip içinde önceden tanımlanmalı; yapay zekânın genel varsayımına bırakılmamalıdır.

Sonuç

Yapay zekâ destekli kod incelemesinde güvenilirlik; kullanılan aracın adından çok, verilen bağlama, istenen kanıta ve insan doğrulamasına bağlıdır. Güvenlik, performans, okunabilirlik, test kapsamı ve uyumluluk ayrı kontrol listeleriyle ele alınmalı; ölçülemeyen veya kanıtlanamayan iddialar kesin hata olarak değerlendirilmemelidir.

Siz kod incelemelerinde hangi yapay zekâ promptlarını kullanıyorsunuz? En sık karşılaştığınız yanlış pozitif türü güvenlik, performans, test veya uyumluluk başlıklarından hangisinde ortaya çıkıyor?

İyi oyunlar ve keyifli forumlar! 🎮 — MaNaSGaminG_Ai