https://ferhatatagun.com/blog Software, AI tools (MCP, GPT, Cursor) and frontend notes. en Wed, 09 Sep 2026 22:06:12 GMT https://ferhatatagun.com/blog/two-ai-vulnerabilities-that-never-throw An insurance claim auto-approves when it should escalate. An agent emails a customer's itinerary to an address nobody typed. Neither system logs an error. Schema drift (LLM05) and indirect prompt injection via tool results (LLM01) are different OWASP categories wearing the same shape: a syntactically valid response that is semantically wrong, invisible to every monitoring tool built around exceptions. Tue, 08 Sep 2026 00:00:00 GMT https://ferhatatagun.com/blog/two-ai-vulnerabilities-that-never-throw https://ferhatatagun.com/blog/hic-exception-firlatmayan-iki-yapay-zeka-acigi Bir sigorta talebi eskale edilmesi gerekirken otomatik onaylanıyor. Bir agent, kimsenin yazmadığı bir adrese müşterinin seyahat planını yolluyor. İki sistem de hata loglamıyor. Şema kayması (LLM05) ve tool sonuçları üzerinden dolaylı prompt injection (LLM01), aynı şeklin iki farklı OWASP kategorisi giymiş hali: sözdizimsel olarak geçerli ama anlamsal olarak yanlış bir yanıt, exception etrafında kurulu her monitoring'e görünmez. Tue, 08 Sep 2026 00:00:00 GMT https://ferhatatagun.com/blog/hic-exception-firlatmayan-iki-yapay-zeka-acigi https://ferhatatagun.com/blog/your-context-window-bills-you-every-turn Auto-compaction feels like losing your context, but the raw usage numbers from three real Claude Code sessions say the opposite: 1.99 billion tokens read from cache against 62 million written, a 32:1 ratio, and four compactions that each reset a bill that had been climbing since turn one. Compaction isn't the tax. It's the tax getting paid off. Wed, 02 Sep 2026 00:00:00 GMT https://ferhatatagun.com/blog/your-context-window-bills-you-every-turn https://ferhatatagun.com/blog/baglam-her-turda-yeniden-faturalanir Otomatik compaction bağlamı kaybetmek gibi hissettiriyor, ama üç gerçek Claude Code oturumundan çıkan ham usage verisi tam tersini söylüyor: cache'ten okunan 1,99 milyar token, cache'e yazılan 62 milyona karşı, 32:1 oran, ve her biri birinci turdan beri tırmanan faturayı sıfırlayan dört compaction. Compaction vergi değil. Verginin ödenme anı. Wed, 02 Sep 2026 00:00:00 GMT https://ferhatatagun.com/blog/baglam-her-turda-yeniden-faturalanir https://ferhatatagun.com/blog/the-failures-that-dont-throw One call in forty comes back with “HIGH” instead of “high”, your switch falls through to the default branch, and the permissive branch auto-approves what the model flagged as maximum risk. Nothing errors. Schema failures are distributional, a single compliance percentage averages over the only distinction that matters, and zero failures in fifty runs is not a zero failure rate. Tue, 01 Sep 2026 00:00:00 GMT https://ferhatatagun.com/blog/the-failures-that-dont-throw https://ferhatatagun.com/blog/patlamayan-hatalar Kırk çağrının biri “high” yerine “HIGH” dönüyor, switch default dalına düşüyor, ve izin veren dal modelin maksimum risk dediği şeyi otomatik onaylıyor. Hiçbir şey hata vermiyor. Şema hataları dağılımsaldır, tek bir uyum yüzdesi önemli olan tek ayrımın üstünden ortalama alır, ve elli çalıştırmada sıfır hata sıfır hata oranı demek değildir. Tue, 01 Sep 2026 00:00:00 GMT https://ferhatatagun.com/blog/patlamayan-hatalar https://ferhatatagun.com/blog/degistirebildiklerinde-bitti En çok düşündüğüm deployment başarısız olmadı — UAT'yi geçti, canlıya çıktı, ve altı ay sonra kimse ona bir kez bile dokunmamıştı. Bir sistem çalışmayı bıraktığında ölmez; değiştirilmeyi bıraktığında ölür, ve isteklere cevap verirken aylarca ölü kalabilir. Devir teslim dokümantasyon değildir: bir ekibin bir değişiklik yapıp güvenli olduğunu bilip bilemediğidir. Mon, 31 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/degistirebildiklerinde-bitti https://ferhatatagun.com/blog/ikinci-musteri-ne-yaptigini-soyler Forward-deployed iş SaaS şeklini tersine çeviriyor — çok müşteriye genişlik yerine tek müşteriyle derinlik — ve bu, ürün keşfinden hızlı yetenek üretip hangilerinin genelleşeceğini anlamanın yolunu vermiyor. İki müşterinin aynı özelliği istemesi sinyal değil. Ona aynı alttaki kısıtla varması sinyal, ve en güçlü kanıt istek bile değil: zaten elleriyle kurdukları geçici çözüm. Mon, 31 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/ikinci-musteri-ne-yaptigini-soyler https://ferhatatagun.com/blog/the-second-customer Forward-deployed work inverts the SaaS shape — depth with one customer instead of breadth across many — which produces capabilities faster than product discovery does and no way to tell which ones generalise. Two customers asking for the same feature isn't the signal. Two customers arriving at it through the same underlying constraint is, and the strongest evidence isn't the request at all: it's the workaround they already built by hand. Mon, 31 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/the-second-customer https://ferhatatagun.com/blog/done-when-they-can-change-it The deployment I think about most didn't fail — it passed UAT, went live, and six months later nobody had touched it once. A system doesn't die when it stops working; it dies when it stops being changed, and it can be dead for months while still answering requests. Handover isn't documentation: it's whether a team can make a change and know it was safe. Mon, 31 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/done-when-they-can-change-it https://ferhatatagun.com/blog/that-library-will-hurt-performance Every performance tool reports what a page costs right now. None of them answer the question the meeting is actually about, which is what it would cost without the thing you're arguing over — so the argument gets settled by whoever sounds most confident. A 410 KB image that loads after LCP is worth zero points; a 124 KB render-blocking script is worth eleven. Sorting by file size sends teams to fix the wrong thing. Sun, 30 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/that-library-will-hurt-performance https://ferhatatagun.com/blog/performansi-bozar-dedigin-sayi-degil Bütün performans araçları sayfanın şu anki maliyetini raporluyor. Hiçbiri toplantının asıl konusu olan “o şey olmasa ne olurdu” sorusuna cevap vermiyor — ve karar, elinde sayı olmadığı için daha kendinden emin konuşana kalıyor. LCP’den sonra yüklenen 410 KB’lık bir görsel sıfır puan; 124 KB’lık render-blocking bir script on bir puan. Dosya boyutuna göre sıralamak ekipleri yanlış şeyi düzeltmeye gönderiyor. Sun, 30 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/performansi-bozar-dedigin-sayi-degil https://ferhatatagun.com/blog/teslim-edilen-prompt-degil-eval Her saha rehberi inşa etmeden önce eval'lerini tanımla diyor — ve müşteri sahasındaki üçüncü günde etiketli verin, alan uzmanlığın ve birinin ekranından aldığın beş örnekten başka bir şeyin yok. Tavsiye doğru, çerçeve yanlış. “Bu iyi mi?” ground truth ister. “Bu değişti mi?” sadece dondurulmuş bir snapshot ister, ve ona bu öğleden sonra sahip olabilirsin. Tue, 11 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/teslim-edilen-prompt-degil-eval https://ferhatatagun.com/blog/the-eval-is-the-deliverable Every field guide says define your evals before you build — and on day three at a customer site you have no labelled data, no domain expertise, and five examples off someone's screen. The advice is right; the framing is wrong. "Is this good?" needs ground truth. "Did this change?" needs only a frozen snapshot, and that one you can have this afternoon. Tue, 11 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/the-eval-is-the-deliverable https://ferhatatagun.com/blog/kazara-fde-saha-cantasi Bir yıl önce bir SDK'yı silip yerine 150 satır yazdım ve bunu bir bundler hikâyesi sandım. Meğer adını hiç koymadan bir deployment problemi çözüyormuşum. Beş aracın her mimari kararına geri dönüp baktığımda hepsinin altında aynı dile getirilmemiş kısıt vardı: kurulacak bir şey yok, sınırdan çıkan veri yok, savunulacak bağımlılık yok. Mon, 10 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/kazara-fde-saha-cantasi https://ferhatatagun.com/blog/accidental-fde-field-kit I dropped the Anthropic SDK for 150 lines of TypeScript and called it a bundler problem. It wasn't. Browser-only, BYOK, no backend, minimal dependencies — the constraints I picked out of preference turn out to be the exact constraints of working inside someone else's regulated environment. What five tools look like when you finally name the rule you were following. Mon, 10 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/accidental-fde-field-kit https://ferhatatagun.com/blog/kimsenin-modeli-patlamadi Kurumsal AI pilotları %70–90 oranında başarısız olurken forward-deployed engineer ilanları %800 arttı. Kanonik başarı hikâyesi 6–8 haftalık entegrasyonun ardından dört aylık adoption çalışması, ve raporlanan kazanma koşulu %98 adoption — doğruluk değil. Adoption sayısı bir arayüz sayısıdır, ve rol ona göre kadrolanmıyor. Sun, 09 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/kimsenin-modeli-patlamadi https://ferhatatagun.com/blog/nobodys-model-failed Enterprise AI pilots fail at 70–90% while forward-deployed engineer postings jump 800%. The canonical success story is 6–8 weeks of integration followed by four months of adoption work, and the reported win condition is 98% adoption — not accuracy. An adoption number is an interface number, and the role isn't staffed against that. Sun, 09 Aug 2026 00:00:00 GMT https://ferhatatagun.com/blog/nobodys-model-failed https://ferhatatagun.com/blog/google-un-goremedigi-blog Sitemdeki her yazı tarayıcıda iyi görünüyordu — ama `curl` çekince yazı gövdesi boştu. Marked `onMount` içinde parse oluyor, prerender iskelet görüyor, arama motorları hiçbir şey indekslemiyordu. Düzeltme, ortaya çıkardığı üç ikincil hata, ve hiç kazanmadığım doğrulama alışkanlığı. Sun, 14 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/google-un-goremedigi-blog https://ferhatatagun.com/blog/how-i-shipped-a-blog-google-couldnt-see Every post on my site rendered fine in a browser — but `curl` showed the article body was empty. Marked was being parsed inside onMount, so prerender saw a skeleton and search engines indexed nothing. The fix, the three secondary failures it uncovered, and the verification habit I should have had. Sun, 14 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/how-i-shipped-a-blog-google-couldnt-see https://ferhatatagun.com/blog/four-tools-in-two-weekends A meta post on the four-tool Claude dev-tool suite: why the SDK breaking was the constraint that made the work possible, the "one tool per insight" decomposition, why BYOK + browser-only is a credibility multiplier, and the four things I would front-load if starting over. Fri, 05 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/four-tools-in-two-weekends https://ferhatatagun.com/blog/iki-hafta-sonu-dort-tool Dört tool'lu Claude dev-tool suite'i üzerine meta yazı: SDK'nın kırılması neden işi mümkün kılan kısıt oldu, "içgörü başına bir tool" ayrıştırması, BYOK + tarayıcı-only neden güvenilirlik çarpanı, ve yeniden başlasam önden yapacağım dört şey. Fri, 05 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/iki-hafta-sonu-dort-tool https://ferhatatagun.com/blog/see-the-prompt-before-you-ship-it Token cost, context-window position, and prompt-caching layout are all knowable from the prompt alone — you don't need to send the request. A worked example where 'feels about the same' was hiding a 6.3× input-length difference, and the pre-flight habit that catches it. Fri, 05 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/see-the-prompt-before-you-ship-it https://ferhatatagun.com/blog/prompt-shipping-once-onunu-gor Token cost, context-window pozisyonu ve prompt-caching layout'u — hepsi prompt'tan tek başına bilinebilir. "Yaklaşık aynı" hissinin gizlediği 6.3× input-uzunluk farkını yakalayan pre-flight alışkanlığı. Fri, 05 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/prompt-shipping-once-onunu-gor https://ferhatatagun.com/blog/prompt-secimi-his-degil-olcum Çoğu ekip prompt'u hisle iterate edip hafızayla shipliyor. Minimum işe yarayan karşılaştırma: aynı input üzerinde iki prompt'u paralel çalıştırıp output, latency ve cost'u yan yana görmek — side-by-side'ın sıralı versiyonun göremediği şey. Fri, 05 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/prompt-secimi-his-degil-olcum https://ferhatatagun.com/blog/tek-bir-tool-yazmadan-once-sandbox Çoğu agent ekibi önce tool'ları yazıyor, sonra tasarımın yanlış olduğunu keşfediyor. Tool yanıtlarını mock'la, loop'u el ile rol-yap, kötü tool tasarımlarını codebase'ine dokunmadan on beş dakikada öldür. Fri, 05 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/tek-bir-tool-yazmadan-once-sandbox https://ferhatatagun.com/blog/claude-agent-debug-trace-replay Agent trace'leri garip bir çalışmayı debug etmek için gereken her şeyi içeriyor, ama wall of nested JSON olarak saklanıyor. Yeniden çerçeveleme: onları döküman olarak okumayı bırak, kararların timeline'ı olarak izle. Bir editörde 30 dakika alan bug'lar 30 saniyede bariz oluyor. Fri, 05 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/claude-agent-debug-trace-replay https://ferhatatagun.com/blog/prompt-caching-nobody-measures Every Claude response carries cache-hit data. Most apps log it nowhere — and pay for it. Why hit ratio is the metric nobody graphs, and the four-field log line that pays for itself in a week. Thu, 04 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/prompt-caching-nobody-measures https://ferhatatagun.com/blog/stop-choosing-prompts-by-vibes Most teams iterate on prompts by feel and ship by memory. The minimum useful comparison is two prompts in parallel, surfacing output, latency and cost on the same input — what side-by-side reveals that sequential never does. Thu, 04 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/stop-choosing-prompts-by-vibes https://ferhatatagun.com/blog/build-the-sandbox-first Most agent teams write the tools first, then discover the design was wrong. Mock the tool responses, role-play the loop by hand, and kill the bad tool designs in fifteen minutes — before they touch your codebase. Thu, 04 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/build-the-sandbox-first https://ferhatatagun.com/blog/debug-claude-agents-by-replaying-traces Agent traces contain everything you need to debug a weird run, but they're stored as walls of nested JSON. The reframe: stop reading them as documents, start watching them as timelines of decisions. Bugs that take 30 minutes in an editor become obvious in 30 seconds. Thu, 04 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/debug-claude-agents-by-replaying-traces https://ferhatatagun.com/blog/tarayicida-claude-streaming-sdk-siz Resmi Anthropic SDK'sını tarayıcı tarafına almak için neden uğraşmadığım ve onu replace eden ~150 satır TypeScript: tool-use destekli SSE parser'ı, temiz iptal, anlamlı hatalar. Thu, 04 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/tarayicida-claude-streaming-sdk-siz https://ferhatatagun.com/blog/prompt-caching-kimsenin-olcmedigi Her Claude response'u cache-hit verisi taşıyor. Çoğu uygulama bunu hiçbir yere loglamıyor — ve bunun bedelini ödüyor. Kimsenin grafiklemediği hit oranı metriği, ve kendini bir haftada amorti eden dört alanlı log satırı. Thu, 04 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/prompt-caching-kimsenin-olcmedigi https://ferhatatagun.com/blog/browser-only-claude-streaming Why I skipped the official Anthropic SDK for browser work, and the ~150 lines of TypeScript that replaced it: a hand-rolled SSE parser with tool-use support, clean aborts, and meaningful errors. Wed, 03 Jun 2026 00:00:00 GMT https://ferhatatagun.com/blog/browser-only-claude-streaming https://ferhatatagun.com/blog/ise-yarayan-kurallar-ve-komutlar .cursorrules ve slash komutlarını unutulmuş değil faydalı hale getirmek: teoriden değil acıdan başla, listeyi kısa tut, gerçek kullanımdan iterasyon yap. Sat, 18 Jan 2025 00:00:00 GMT https://ferhatatagun.com/blog/ise-yarayan-kurallar-ve-komutlar https://ferhatatagun.com/blog/rules-and-commands-that-stick How to make .cursorrules and slash commands useful instead of forgotten: start from pain, keep the list short, iterate from real usage. Sat, 18 Jan 2025 00:00:00 GMT https://ferhatatagun.com/blog/rules-and-commands-that-stick https://ferhatatagun.com/blog/neden-bazen-sadece-bos-ekrana-bakiyorum Hiçbir tuşa basmadan ekrana bakmak da işin parçası. Verimlilik kültürüne ters bir itiraf. Sun, 12 Jan 2025 00:00:00 GMT https://ferhatatagun.com/blog/neden-bazen-sadece-bos-ekrana-bakiyorum https://ferhatatagun.com/blog/bitmemis-projeler-mezarligim Yarım kalan side project'ler başarısızlık mı? Bence bazen sadece keşfin kendisi. Sun, 05 Jan 2025 00:00:00 GMT https://ferhatatagun.com/blog/bitmemis-projeler-mezarligim https://ferhatatagun.com/blog/best-practice-dedigin-yarisi-ezber DRY, test coverage, yorum yazmak… Kurallar bağlam olmadan anlamsız. Cesur bir tez. Fri, 20 Dec 2024 00:00:00 GMT https://ferhatatagun.com/blog/best-practice-dedigin-yarisi-ezber https://ferhatatagun.com/blog/yapay-zeka-ve-yazilim-gelistirme-2024 LLM araçları, Model Context Protocol (MCP) ve Cursor ile günlük geliştirme pratiğinde nasıl daha verimli olunur. Sun, 01 Dec 2024 00:00:00 GMT https://ferhatatagun.com/blog/yapay-zeka-ve-yazilim-gelistirme-2024 https://ferhatatagun.com/blog/mcp-model-context-protocol-nedir MCP, AI asistanlarının dosya sistemine, API'lere ve araçlara güvenli erişimini standartlaştıran açık protokol. Fri, 15 Nov 2024 00:00:00 GMT https://ferhatatagun.com/blog/mcp-model-context-protocol-nedir https://ferhatatagun.com/blog/cursor-ide-ve-prompt-muhendisligi Cursor’da @dosya, @web kullanımı, net talimatlar ve .cursorrules ile daha tutarlı ve verimli AI kullanımı. Fri, 01 Nov 2024 00:00:00 GMT https://ferhatatagun.com/blog/cursor-ide-ve-prompt-muhendisligi