Cloudflare'ın Turnstile Spin'i yapay zeka ajanlarının CAPTCHA içermeyen bot korumasını kurmasına ve onarmasına izin veriyor

Cloudflare, yapay zeka kodlama ajanlarının baştan sona dağıtabileceği bir Turnstile Spin adlı CAPTCHA içermeyen doğrulama hizmeti sürümünü duyurdu. 25 Eylül tarihli Cloudflare blog yazısına göre Spin, eskiden manuel yapılan iki parçalı bir entegrasyonu, Claude Code, Cursor veya Codex gibi bir ajanın planlayıp onay alarak yürütebileceği rehberli bir iş akışına dönüştürüyor.

Turnstile bugün nasıl çalışıyor

Cloudflare, Turnstile'ı 2023'te tarayıcıda çalışan, gizlilik odaklı ve ziyaretçiden asla bulmaca çözmesini istemeyen bir doğrulama aracı olarak tanıttı. Ücretsiz, Cloudflare üzerinden trafik yönlendirmeyen sitelerde de çalışıyor ve yaygın biçimde kullanılıyor: şirket, tipik bir hafta içi günde yaklaşık üç milyar doğrulama işlediğini ve tek bir geçtiğimiz haftada 23.000'den fazla hesabın yeni bir widget oluşturduğunu söylüyor.

Ancak kurulum her zaman iki adım ve hem frontend hem backend koduna aşinalık gerektiriyordu. Geliştirici, Cloudflare'ın challenge'ı çalıştırıp token ürettiği frontend'de Turnstile widget'ını görüntülüyor. Ardından backend, bu token'ı Cloudflare'ın Siteverify API'sine gönderiyor; API de ziyareticinin geçip geçmediğine dair metadata döndürüyor ve site böylece giriş düğmesi gibi eylemleri koruyabiliyor. Cloudflare, basit bot korumasına olan talebin her gün backend kodu yazanların çok ötesine ulaştığını, yapay zekanın da hem daha fazla kişinin uygulama geliştirmesine yardımcı olduğunu hem de saldırganlara istismarı otomatikleştirmek için yeni yollar verdiğini belirtiyor.

Spin neyi değiştiriyor

Spin ile kullanıcı, korumanın nerede gerektiğini seçiyor; ajan ilgili frontend ve backend kodunu buluyor, bir plan öneriyor ve entegrasyonun her iki tarafını birlikte tamamlamadan önce onay bekliyor. Cloudflare bunu, backend deneyimi olmayan birinin kurulumu doğru biçimde tamamlamasının bir yolu olarak sunarken, deneyimli geliştiriciler de tekrarlayan bağlantı işlemlerini atlayıp eksik adımları yakalayabiliyor.

Mimariye değinmek gerek. Cloudflare bloguna göre Spin, uygulama kodunu Cloudflare'a göndermiyor ve Cloudflare kodu uzaktan değiştirmiyor. Geliştiricinin zaten kullandığı ajan onaylanan değişiklikleri kod tabanının içinde yapıyor ve Cloudflare hesabındaki tek yeni kaynak Turnstile widget'ı oluyor. Doğrulama mantığı, bir challenge'dan sonra ne olacağına karar veren uygulama kodunun yanı başında backend'de kalıyor.

Spin, bir kod tabanında karşılaşabileceği üç duruma uyum sağlıyor:

• Sıfırdan kurulum: yerde CAPTCHA yoktur; ajan widget'ı yerleştirir ve Siteverify'ı backend'e sıfırdan bağlar.
• Widget kurtarma: Cloudflare widget başına Siteverify çağrılarını izler; sunucu tarafı doğrulaması olmadan trafik sunan her widget, panoda "Spin ile onar" bandıyla işaretlenir. Ajan aynı secret'ı yeniden kullanır ve widget trafiğe hizmet etmeye devam ederken eksik backend adımını ekler; böylece bu tür yanlış yapılandırmaların eskiden yarattığı destek taleplerinin önüne geçilir.
• CAPTCHA'dan geçiş: ajan mevcut bir sağlayıcının izlerini tespit eder, bir değiştirme planı önerir ve onaydan sonra uygular.

Spin, Cloudflare panosundan, Wrangler CLI'dan veya doğrudan bir agana public skill URL'si yapıştırılarak başlatılabilir. Cloudflare, pratikte üçünün bir karışımını bekliyor ve ajanın tetiklediği adımları Wrangler'ın yürüteceğini düşünüyor.

İlk sayılar

Şimdi duyurulsa da Spin, temmuzdan beri panoda erişilebiliyor. Cloudflare, o zamandan bu yana 65.000'den fazla başarılı Spin widget oluşturulduğunu ve geliştiricilerin üretilen prompt'un 30.000'den fazla kopyasını aldığını bildiriyor. Yazıyı, iş akışını mümkün olduğunca az adıma indirmede erken iç geri bildirimlerin payına büyüte değinen bir Cloudflare stajyeri kaleme aldı.

Neden önemli

Turnstile'ın en yaygın başarısızlık biçimi widget'ın kendisi değil, entegrasyonun eksik kalan backend yarısıdır; bu da siteye korunmuş görünümü verirken challenge'ları doğrulatmadan bırakır. Spin bu boşluğu iki yoldan hedefliyor: ajanların tüm yığını ilk seferde doğru kurmasına izin veriyor ve mevcut yarım kurulmuş widget'ları tek tıkla bir onarım yoluyla gün yüzüne çıkarıyor.

Ayrıca bu, güvenlik araçlarının ajan odaklı geliştirme döngüsüne göre yeniden şekillendirildiğinin net bir örneği. Cloudflare, dokümantasyon yayınlayıp geliştiricilerin uymasını ummak yerine, bir ajanın kaynak kod geliştiricinin makinesinden çıkmadan yerel olarak yürütebileceği kullanıma hazır bir skill sunuyor. Yapay zeka ajanları web'in daha fazlasını ayağa kaldırdıkça ve web'e yönelik istismarın daha fazlasını otomatikleştirdikçe, bu düzenin — yetenek artı ajan skill'i artı yerel yürütme — diğer güvenlik ürünlerine de yayılmasını bekleyin. Turnstile ücretsiz kalmaya devam ediyor ve Spin, herhangi bir Cloudflare hesap sahibinin kullanımına açık.