Qwen Code 0.22.3: Açık Kaynak Kodlama Ajanında Web Shell, Skills ve Güvenlik Kontrolü

by

⏱️ 8 dk tahmini okuma süresi
📝 1295 kelime
♿ WCAG 2.2 Uyumlu
Bu Makaleyi Sesli Dinleyin
Doğal Türkçe ses sentezleyici hazır



Kısa özet: Alibaba’nın Qwen ekibinin açık kaynak kodlama ajanı Qwen Code, 28 Ağustos 2026’da 0.22.3 sürümünü yayımladı. Sürüm; kalıcı görev oturumları, Web Shell’de dosya, eklenti, MCP sunucusu ve skill ekleme menüsü ile yerel uzantı yüklemesine daha dar bir yol ekliyor. Dağıtım paketi Apple Silicon üzerinde doğrulandı; buna karşılık temiz kaynak ağacında tam derleme bu incelemede bağımlılık tür hatalarıyla tamamlanmadı. Bu nedenle güncelleme, geri alınabilir bir pilotla değerlendirilmelidir.

0.22.3’te değişen nedir?

Resmî sürüm notu, Channels içinde her sohbet sahibi için en fazla sekiz kalıcı, adlandırılmış görev oturumu eklediğini söylüyor. Bu, birden çok işi olan bir kullanıcının bağlamları birbirine karıştırmadan ayrı oturumlarda sürdürmesine yardım edebilir; ancak sekiz sınırı bir ürün kotasıdır, bir güvenlik sınırı değildir.

Web Shell tarafında isteğe bağlı bir ekleme menüsü; dosya, iliştirme, uzantı, MCP sunucusu ve skill yüzeylerini bir araya getiriyor. Bu, kullanıcının ajana hangi ek yeteneği verdiğini daha görünür kılma fırsatı yaratıyor. Aynı sürümde araç özetlerinin daraltılabilmesi ve MCP Apps’in diğer araç gruplarından ayrılması da listeleniyor. Bir arayüzde bu ayrımın gerçekten faydalı olması için odak sırası, klavye kullanımı, durum değişiminin ekran okuyucuda duyurulması ve dar ekranlarda yatay taşma ayrıca denenmelidir; sürüm notu tek başına bunların uygunluk kanıtı değildir.

İzinler: kolay kurulum ile güvenli kurulum aynı şey değil

Sürümdeki önemli sınırlamalardan biri, daemon üzerinden uzantı kurulumunun yalnız mutlak yerel yolları kabul edecek biçimde güncellenmesi; göreli yol ve desteklenmeyen seçeneklerin reddedilmesidir. İlgili değişiklik kaydı, bunun bir kurulum doğrulaması olduğunu gösteriyor. Bu kontrol, uzantının güvenilir olduğu ya da çalıştırdığı kodun zararsız olduğu anlamına gelmez.

İlk denemede yalnız tanınan bir dizindeki, kaynak kodu incelenebilen bir uzantı seçin. Model, proje dosyası veya ağ erişimi vermeden önce uzantının istediği izinleri okuyun. CLI’nin --safe-mode seçeneği bağlam dosyalarını, hook’ları, uzantıları, skill’leri ve MCP sunucularını sorun giderme için kapatabildiğini belirtiyor; bu, şüpheli davranışta yararlı bir ayırma adımıdır. Ödeme, yayınlama, silme ya da dış sisteme veri gönderme yapan MCP araçlarını ayrı kullanıcı onayı olmadan otomatik çalıştırmayın.

Kısa ve erişilebilir başlangıç akışı

  1. Resmî sürüm sayfasından işletim sisteminize uygun arşivi ve SHA256SUMS dosyasını indirin; sağlamayı doğrulamadan arşivi açmayın.
  2. Önce qwen --version ve qwen --help ile çalıştırılabilir dosyanın sürümünü ve erişilebilir metin tabanlı komut listesini kontrol edin.
  3. Gerçek depo yerine küçük, hassas olmayan bir örnek proje açın. İlk oturumda özel bağlam, uzantı, hook ve MCP sunucusu eklemeyin.
  4. Bir skill veya MCP sunucusu ekleyecekseniz, adı ve yetkisi görünür olacak biçimde tek tek ekleyin; her eklemeden sonra hangi dosya, ağ veya dış eylem izninin değiştiğini denetleyin.
  5. Klavye ile menüleri, odak göstergesini ve dar pencereyi deneyin. Görsel Web Shell kullanamayanlar aynı görevleri terminal komutları ve metin çıktısıyla sürdürebilir.

Bu incelemede ne gerçekten test edildi?

Bu yayın için 0.22.3 etiketli macOS Apple Silicon arşivi resmî sürüm sayfasından indirildi ve dağıtılan SHA256SUMS dosyasına karşı doğrulandı. Ardından paketteki qwen çalıştırılabilir dosyasıyla --version (0.22.3) ve --help çalıştırıldı; yardım çıktısı Channels, extensions, hooks, MCP, review, serve, sessions ve update komutlarını metin olarak sundu. Bu, paket bütünlüğü ile temel başlatılabilirliği doğrular; model yanıt kalitesini, uzantı güvenliğini, API yetkilerini veya ekran okuyucu deneyimini doğrulamaz.

Kaynak etiketi ayrıca temiz bağımlılık kurulumu ardından tam derleme ile sınandı. Derleme, CLI paketinde Ink bileşeninin beklenen tür dışa aktarımlarını bulamaması nedeniyle TypeScript hatalarıyla durdu. Bu gözlem tek bir macOS/Node 24 ortamına aittir ve yayımlanan ikili paketin çalışmadığı anlamına gelmez; yine de kaynaktan kurulum ya da katkı iş akışı planlayan ekipler kendi kilit dosyası, işletim sistemi ve Node sürümüyle yeniden üretmelidir. Önceki bir doğrudan paket testi ile bu farkı ayırmak önemlidir.

Açık kaynak, ücret, gizlilik ve bölgesel erişim

Depo lisansı Apache-2.0’dır; bu, yazılımın kullanım ve değiştirilmesine geniş izin verirken lisans ve bildirim yükümlülüklerini korur. Bu lisans, bir model uç noktasının ücretsiz olduğu, kullanıcı girdilerinin yerel kaldığı veya her ülkede aynı hizmet koşullarının geçerli olduğu anlamına gelmez.

Qwen Çin merkezli bir ekibin ürünüdür; bu incelemede kullanılan sürüm notu ve depo belgeleri İngilizceydi. İncelenen birincil kaynaklar, bu sürüm için tek bir küresel fiyat tablosu, veri işleme bölgesi veya her ülkede erişim garantisi vermiyor. Bu yüzden kurumlar gerçek model sağlayıcısını, hesap ve kota koşullarını, istem ve dosyaların gönderildiği bölgeyi, saklama/silme süresini ve alt işleyenleri kendi sözleşmesinden doğrulamalıdır. Kaynak kodunu yerelde çalıştırmak da tek başına model çağrısının ağdan çıkmadığı anlamına gelmez.

GitHub deposu 0.22.3 sürümünü, etiketin işaret ettiği commit’i ve açık sorun/PR geçmişini görünür kılıyor. Sürüm notunda güvenlikle ilişkili sayılabilecek daraltmalar; göreli uzantı yolunun reddi, bozuk veya aşırı büyük satır içi dosya işaretlerinin yüklenmeden ayıklanması ve zaman aşımında süreç ağacının temizlenmesi olarak yer alıyor. Bunlar güvenlik denetimi değildir. Depodaki bağımlılık uyarıları veya GitHub güvenlik görünümü, oturum açmadan eksiksiz bir risk envanteri sağlamaz; üretimde ayrı bağımlılık taraması, en az yetki ve kayıt denetimi gerekir.

Karar: önce küçük pilot

0.22.3, özellikle skill ve MCP yüzeylerini tek yerde görünür kılan Web Shell değişiklikleri nedeniyle uygulanabilir bir araç güncellemesi. Fakat ajan yeteneklerini tek ekranda toplamak, yanlış yapılandırılmış bir aracı güvenli hâle getirmez. Dağıtım paketinin temel komut testi başarılı olsa da kaynak derlemenin bu incelemede tamamlanmaması, üretim yükseltmesini doğrudan değil önce ayrı bir pilotla yapma nedenidir. Pilot için geri alınabilir bir proje seçin; uzantı/MCP izinlerini kaydedin; klavye, ekran okuyucu ve 320 px dar görünümde gerçek görev akışını deneyin; ardından kurumunuzun model, veri konumu ve maliyet koşullarıyla karar verin.

Kaynaklar

Bir yanıt yazın

E-posta adresiniz yayınlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

✅ Uygulama Başarıyla Güncellendi!
🟢 Profil Uygulandı