Auto mode ve sandbox ajanı nerede durdurur?

Bir komut çalışmadan önce hangi kontrollerden geçiyor?

Kodlama ajanı bir komut çalıştırmak istediğinde karar tek bir yerde verilmiyor. Beş aracın belgelerinde de aynı dört katman var: önce kendi yazdığınız kurallar, sonra işletim sisteminin uyguladığı sandbox, sonra komutu inceleyen ayrı bir model, en son da siz. Kuralları hook’la nasıl yazacağınızı hook yazısında anlattık. Bu yazıda öteki üçüne, satıcıların kendi ölçümleriyle bakıyoruz:

Araya neden bir model konduğunu satıcıların kendi verisi gösteriyor. Anthropic’e göre Claude Code kullanıcıları izin sorularının %97’sini onaylıyor. Aynı kullanıcılar ajanın sunduğu planların %39’unu reddediyor, ama tek tek izin sorularında ret oranı yalnızca %3. Bu, pull request’i okumadan onaylamaya benziyor: soru o kadar sık geliyor ki insan okumadan geçiyor.

Anthropic’in aynı yazıdaki deneyi farkı sayılarla gösteriyor. 1.053 ücretli test kullanıcısının oturumuna tek bir tehlikeli komut sokulmuş. Aslında yalnızca sorunun metni değiştirilmiş; komutu onaylasalar da hiçbir şey çalışmıyormuş. İnsanlar bu komutu %13,6, auto mode %89 oranında durdurmuş. Oturum uzadıkça insanlar daha çok kaçırmış: başta tehlikeli komutların yaklaşık %17’sini, 50 ve daha fazla sorudan sonra yaklaşık %5’ini durdurmuşlar. Bu sonuçlar satıcının kendi deneyinden.

OpenAI de aynı sorunu kendi kullanıcılarında görmüş. OpenAI’ın yazısına göre onay soruları sık gelince kullanıcılar ya hiçbir kuralın uygulanmadığı Full Access moduna geçmeye ya da python ile başlayan her komuta izin veren geniş kurallar yazmaya yöneliyor. Anthropic’e göre de Haziran’da aktif CLI kullanıcılarının %43’ünde Bash(python:*) gibi bir yorumlayıcı kuralı vardı. İki satıcının çözümü aynı: soruyu insana değil, ayrı bir modele sormak.

Auto mode ve auto-review nasıl karar veriyor?

Kuralların ve sandbox’ın karar vermediği çağrı izin veren modele gidiyor; çalışıp çalışmayacağına o karar veriyor. Beş aracın hepsinde artık böyle bir model var; ama neyi gördüğü, kararı ne zaman size bıraktığı ve varsayılan olarak açık olup olmadığı araçtan araca değişiyor. 20 Ekim 2026 günkü durum:

Kaynak: araçların belgeleri ve sürüm notları, 20 Ekim 2026. “Belgesinde yazmıyor”: o gün okuduğumuz sayfalarda bunu anlatan bir cümle bulamadık. Copilot’un hakemi CLI’a 7 Temmuz’da geldi; VS Code’un belgesinde bu izin seviyesi deneysel olarak geçiyor.

Claude Code’da karar sırası sabit: önce allow, ask ve deny kurallarınız, sonra çalışma dizinindeki okuma ve düzenlemeler, en son sınıflandırıcı. Auto mode’a geçince Bash(*) ya da Bash(python*) gibi her kodu çalıştırmaya izin veren geniş kurallar devreden çıkıyor; Bash(npm test) gibi dar kurallar kalıyor. Sınıflandırıcı araç çıktılarını görmüyor; böylece bir dosyaya ya da web sayfasına gizlenmiş bir talimat onu doğrudan yönlendiremiyor. Bir çağrıyı engellediğinde ekranda Denied by auto mode classifier yazıyor, yanında da [Data Exfiltration] gibi eşleşen kuralın adı görünüyor.

Codex’te tercih tam tersi. Auto-review araç çıktılarını da görüyor ve gerekirse kendisi salt okunur kontrol yapıyor. Ama yalnızca sandbox sınırını aşmak isteyen çağrılara bakıyor; sandbox’ın içinde kalan bir komut hiç incelenmiyor. Belgesine göre bu bir izin değil, yalnızca inceleyicinin değişmesi: auto-review yazılabilir dizinleri genişletmiyor, ağı açmıyor. Varsayılan politika açık kaynak Codex deposunda, guardian adlı bir klasörde duruyor. Kendi politikanızı yazarsanız varsayılanla birleşmiyor, onun yerine geçiyor. OpenAI’ın 30 Nisan 2026 tarihli yazısına göre inceleyici o gün GPT-5.4 Thinking ile çalışıyordu; belgede bugünkü model yazmıyor.

Cursor Auto-review’u 29 Mayıs’ta yayımladı ve o günden beri önerilen varsayılan olarak sunuyor. Sınıflandırıcı Cursor’ın sunucusunda küçük modellerle çalışıyor ve karar vermek için makinenizdeki dosyaları salt okunur okuyabiliyor. Copilot’ta hakem önce CLI’a geldi. VS Code’un belgesine göre Assisted permissions deneysel bir seviye: her araç çağrısını bir LLM hakemi değerlendiriyor, hakem onaylamazsa size soruluyor. Antigravity CLI Auto mode’u 14 Ekim’de ekledi: dosya düzenlemelerini ve güvenli komutları sormadan onaylıyor, sandbox’tan çıkacak komutlara ise önce ayrı bir ajan bakıyor. Antigravity’nin modlar sayfasında bu mod henüz yok; bilgi sürüm notunda.

Gemini CLI’ı hâlâ kullanıyorsanız orada belgelenmiş bir izin veren model yok: policy engine sabit kurallarla karar veriyor ve sonucu eşleşen ilk kural belirliyor. Google, Google AI Pro ve Ultra aboneleri ile ücretsiz bireysel kullanıcılar için Gemini CLI’ı 18 Haziran 2026’da kapattı ve bu kullanıcıları Antigravity CLI’a yönlendirdi; ücretli API anahtarıyla Gemini CLI’ı kullanmaya devam edebilirsiniz. Bir ad karışıklığına da dikkat edin: Copilot’ta ve Cursor’da “Auto”, model seçen yönlendiricinin de adı. Onu model seçimi yazısında anlattık; bu yazıdaki auto mode izinlerle ilgili.

İzin veren model ne sıklıkla yanılıyor?

İzin veren model iki türlü yanılabiliyor: ya tehlikeli bir çağrıyı geçiriyor ya da zararsız bir çağrıyı boşuna durduruyor. Birincisinde komut çalışıyor; ikincisinde ajan başka bir yol deniyor ya da size soruyor. Bu ikisini ölçüp yayımlayan iki satıcı var: Anthropic ve OpenAI. Cursor’ın, GitHub’ın ve Google’ın belgelerinde bir ölçüm bulamadık. Anthropic insanları ve sınıflandırıcıyı aynı komutlarla karşılaştırdı:

Bu sayılar test kümelerinden; gerçek kullanımda tablo daha az parlak. Anthropic’in 25 Mart 2026 tarihli mühendislik yazısında sınıflandırıcı, şirket çalışanlarının 10.000 gerçek araç çağrısında zararsız çağrıların %0,4’ünü boşuna durdurdu. Öte yandan ajan 52 gerçek eylemde kullanıcının istediğinin ötesine geçti ve sınıflandırıcı bunların %17’sini kaçırdı. Yazı bu sayıya kendisi “dürüst sayı” diyor. Kaçırılan vakaların çoğunda sınıflandırıcı tehlikeyi görmüş, ama kullanıcının verdiği onayın bu eylemi de kapsadığını sanmış: “PR’ı temizle” demek force push’a izin vermek değil. O gün sınıflandırıcı Sonnet 4.6 ile çalışıyordu; bugün varsayılan model Claude Sonnet 5.

OpenAI kendi ölçümünü sentetik veride yaptı. OpenAI’a göre auto-review, ajanın istenenin ötesine geçtiği vakaların %90,3’ünü yakaladı. Prompt injection’da yakalama oranı üç saldırı türünde %99,3; silme ve veri bozma dahil bütün türler sayılınca %90,2’ye iniyor. Kırmızı takım çalışmalarında auto-review’u, kullanıcı onaylamadan bir komutu onaylamaya kandırabildikleri durumlar bulmuşlar; bu tür bir sistemden kesin bir güvence beklemediklerini de yazıyorlar. Anthropic’in dış bir ekiple yaptığı sentetik saldırı testinde de sınıflandırıcının kaçırma oranı düzeltmelerden sonra %12’den %7’ye indi; Anthropic bu sayının gerçek trafikteki kaçırma oranı sayılmamasını istiyor. Bir satıcının bildirdiği sonucu nasıl okuyacağınızı SWE-bench yazısında anlattık.

Belgeler modelin neyi göremediğini de yazıyor. İzin veren model yalnızca önüne gelen çağrıyı görüyor: Codex’te sandbox’ın içinde kalan komutlar, Claude Code’da çalışma dizinindeki okuma ve düzenlemeler ona hiç gitmiyor. OpenAI, niyetini gizleyen bir modelin zararsız görünen bir istek üretebileceğini ya da sandbox’ın içinde auto-review’un hiç görmediği işler yapabileceğini yazıyor. Claude Code’un sınıflandırıcısı önceki komutların çıktısını görmüyor. Bu yüzden bir rm -rf’nin hedefi, değeri sohbette hiç görünmeyen bir kabuk değişkeniyse silmeyi doğrulayamıyor ve engelliyor. Sohbette “push etme” diye koyduğunuz bir sınır da kural olarak saklanmıyor; belgeye göre bağlam sıkıştırılınca o mesaj kaybolabiliyor. Bunun nasıl olduğunu auto compact yazısında anlattık. Kesin bir yasak için deny kuralı yazın.

Kaçırılan tehlike ile boşuna durdurma arasındaki denge, kod incelemesindeki gerçek hata ile yanlış alarm dengesinin aynısı: birini azaltan ayar ötekini artırıyor. Satıcıların kendi sözleri de net. Cursor, Auto-review’un bir güvenlik sınırı olmadığını başlıkta yazıyor; VS Code Assisted permissions için aynısını söylüyor. OpenAI auto-review’un kesin bir güvenlik garantisi olmadığını, Anthropic de auto mode’un güvenliği garanti etmediğini yazıyor. Sınırı çizen sandbox.

Sandbox gerçekte neyi sınırlıyor?

Sandbox, ajanın çalıştırdığı komutu işletim sisteminin kendi araçlarıyla sınırlıyor: macOS’ta Seatbelt, Linux’ta bubblewrap, Landlock ya da çekirdek namespace’leri. Model yanılsa bile komut izin verilmeyen dosyaya yazamıyor, izin verilmeyen sunucuya bağlanamıyor. Ama beş aracın varsayılanları birbirinden çok farklı:

Kaynak: araçların sandbox belgeleri, 20 Ekim 2026. Copilot’un yerel sandbox’ı 7 Ekim’de genel kullanıma açıldı. Gemini CLI’da da sandbox’ı bir bayrakla, ortam değişkeniyle ya da ayarla siz açıyorsunuz.

Tablonun en önemli sütunu sonuncusu. Claude Code’un belgesi, sandbox’ın yalnızca kabuk komutlarını kapsadığını yazıyor: Read ve Edit gibi dosya araçları izin kurallarına göre çalışıyor, hook’lar ve yerel MCP sunucuları sizin tüm yetkinizle çalışıyor. GitHub’ın belgesine göre de Copilot CLI’ın kendi dosya araçlarının yaptığı işlemleri işletim sistemi sandbox’ı hiç görmüyor; onları yalnızca yazılımdaki bir kontrol sınırlıyor. Yerel MCP sunucularına neden ayrıca dikkat etmek gerektiğini MCP güvenliği yazısında anlattık.

Kayıtlı sandbox kaçışlarının çoğu tam bu boşluktan çıkıyor: sandbox’ın içindeki komut bir şey hazırlıyor, sandbox’ın dışındaki bir parça onu çalıştırıyor ya da onun üstünden yazıyor. NVD’de bunun üç örneği var, üçü de düzeltildi:

• Claude Code (CVE-2026-39861, 2.1.64 öncesi): sandbox’taki komut, çalışma dizininin dışını gösteren bir symlink oluşturabiliyordu. Sandbox dışında çalışan Claude Code o yola yazınca dosya dizinin dışına yazılıyordu. Kayda göre ikisi de tek başına dizinin dışına yazamıyordu; kaçış, ikisi bir araya gelince oluyordu.
• Cursor (CVE-2026-26268, 2.5 öncesi): prompt injection’la yönlendirilen ajan, iyi korunmayan .git ayarlarına ve git hook’larına yazabiliyordu; git bu hook’ları sandbox’ın dışında kendiliğinden çalıştırıyordu. Cursor artık .git/hooks ve .git/config yollarına yazmayı her zaman engelliyor.
• Codex (CVE-2026-19591): güvenli komutları ayıran ayrıştırıcı bazı PowerShell komutlarını yanlışlıkla güvenli saydı ve dosyaya yazan bir git komutu onay istenmeden çalışabildi. Kayda göre macOS’ta ve Linux’ta varsayılan sandbox, izin verilmeyen yere yazmayı yine de engelleyebiliyordu: kural katmanı yanıldığında sınırı sandbox tutabiliyordu.

Kural katmanının bu zayıflığını VS Code’un belgesi de yazıyor: kurala dayalı otomatik onay komutu ancak elinden geldiğince ayrıştırabiliyor; tırnak birleştirme ya da kabuk takma adları kuralları atlatabiliyor. Ağ tarafında da bilinen bir açık var. Claude Code’un belgesine göre proxy, TLS’i incelemeden, istemcinin söylediği alan adına bakarak karar veriyor; bu yüzden domain fronting gibi yollarla listede olmayan sunuculara ulaşılabiliyor. Aynı sayfa, github.com gibi geniş bir alan adına izin vermenin veri sızdırmaya yol açabileceği konusunda da uyarıyor. Sandbox’ın kendi hataları da sürüm notlarında görünüyor: 2.1.224 sürümünde, sonu eğik çizgiyle biten bir denyRead girdisinin Linux’ta ve macOS’ta sessizce aşılabildiği bir hata düzeltildi.

Gizli bilgilerde de araçlar farklı davranıyor. Claude Code’da yerleşik bir kimlik bilgisi ret listesi yok; yalnızca sizin listelediğiniz dosyalar ve değişkenler kısıtlanıyor. İsterseniz bir anahtarı maskeleyebiliyorsunuz: komut gerçek değer yerine oturuma özel bir yer tutucu görüyor, proxy gerçek değeri yalnızca izin verdiğiniz sunucuya giden istekte yerine koyuyor. Claude Code bu ayarı depodaki .claude/settings.json’dan okumuyor, yalnızca kullanıcı ya da yönetici ayarından okuyor. Copilot sandbox açıkken Git ve gh kimliğini varsayılan olarak aynı yöntemle veriyor; gh’nin gerçek token’ı yalnızca github.com adreslerine gidiyor. Antigravity ~/.ssh’yi ve .env’i baştan engelliyor. Copilot’ta sandbox kapalıyken ne olduğunu GitHub’ın belgesi açıkça yazıyor: komutlar hesabınızın yetkisiyle her yeri okuyup yazabiliyor, makinenizin ulaştığı her ağa çıkabiliyor ve kimlik bilgilerinizi kısıtsız kullanabiliyor.

Hangi işte hangi modu kullanmalı?

Kanıtların hepsi aynı yeri gösteriyor: izin veren model size gelen soruları azaltıyor, sınırı ise sandbox çiziyor. İkisini birlikte kullanın, ayarı işe göre seçin:

Başında olduğunuz günlük işte izin veren modeli sandbox’la birlikte kullanın. Claude Code’da auto mode zaten başlangıç modu; /sandbox ile sandbox’ı da açın. Codex’te sandbox zaten açık; izin menüsünden “Approve for me”yi seçin. Cursor’da Auto-review’u açık bırakın. Copilot CLI’da /sandbox enable ile sandbox’ı açın. Antigravity CLI’da --sandbox ile sandbox’ı açıp --mode auto seçin. Modelin neyi engellediğini görmek isterseniz Claude Code 15 Ekim’den beri sınıflandırıcının kararını OpenTelemetry olaylarına yazıyor; Codex de auto-review dökümlerini ~/.codex/sessions altında tutuyor.

Ajan sürekli izin istiyorsa her şeyi açmak yerine sınırı ayarlayın. OpenAI’ın önerisi de bu: sıradan istekler incelemeye düşüyorsa önce sandbox’ın sınırını düzeltin, ["python"] gibi geniş önekler yerine ["cargo", "test"] gibi dar kurallar yazın. Claude Code’da sınıflandırıcı istemiyorsanız Manual modla sandbox’ın auto-allow modunu birlikte kullanın; sandbox’ın içinde kalan komutlar sormadan çalışır. İzni ajan her istediğinde değil, dar bir kural olarak bir kez verin.

Gözetimsiz koşularda soracak kimse yok. Claude Code, -p ile başlayan koşuları siz bir mod vermedikçe Manual’da başlatıyor ve onay gereken çağrıları reddediyor. Cursor’ın bulut ajanları kendilerine ayrılmış bir makinede çalışıyor ve hiç onay sormuyor. Böyle bir koşuda sandbox’ı açık, ağı bir alan adı listesiyle sınırlı tutun ve ortama gerekmeyen anahtar koymayın. Tam erişim vermeniz gerekiyorsa bunu yalnızca tek kullanımlık bir kapsayıcıda yapın; orada sınırı kapsayıcının kendisi çiziyor. Codex’in belgesi, böyle bir kapsayıcıda bile kötü niyetli bir projenin, Codex’in kimlik bilgileri dahil, içerideki her şeyi dışarı çıkarabileceğini yazıyor.

Bu ayarların bir kısmı depoda duruyor ve pull request’le değişebiliyor. Claude Code, depodaki ayar dosyasıyla auto mode’un açılmasına izin vermiyor; ama yönetici sandbox’ı zorunlu kılmadıkça excludedCommands ve network.allowedDomains gibi sınırı gevşeten girdileri o dosyadan okuyor. Belgesi, geniş bir excludedCommands girdisiyle ajanın bir dosya yazıp onu sandbox’ın dışında çalıştırabileceğini yazıyor. Cursor depodaki .cursor/sandbox.json’ı kullanıcı ayarıyla birleştiriyor ve depo dosyasına öncelik veriyor; Codex de güvendiğiniz projede depodaki .codex/config.toml’u yüklüyor. Bu dosyalardan birine dokunan bir pull request, depoyu açan herkesin sınırını değiştiriyor; onu bir güvenlik değişikliği gibi inceleyin. Güvenmediğiniz bir depoyu ajanla açmadan önce de bu dosyalara bakın.

Aynı ilkeyi kendi ürünümüzde de uyguluyoruz. Yapay zekâ kod inceleme aracımız diffox’ta, pull request’in etki alanını çizen adım müşterinin dosyalarını okuyor ve dışarıda kimseyi çağırmıyor. Bu adım ortamını bir izin listesinden kuruyor: PATH, HOME, dil ayarları ve geçici dizin dışında hiçbir değişken almıyor. Bir ret listesi, yarın eklenecek yeni bir anahtarı geçirirdi.

Sıkça sorulan sorular

Claude Code auto mode nedir?

Auto mode, Claude Code’un izin modlarından biri: izin sorularını sizin yerinize ayrı bir sınıflandırıcı model yanıtlıyor. Önce allow, ask ve deny kurallarınız uygulanıyor, çalışma dizinindeki okuma ve düzenlemeler sormadan geçiyor; kalan çağrıları varsayılan olarak Claude Sonnet 5 üzerinde çalışan sınıflandırıcı inceliyor. Modeli CLAUDE_CODE_AUTO_MODE_MODEL ile değiştirebiliyorsunuz. Dışarıya hassas veri göndermeyi, üretime deploy’u ve force push’u varsayılan olarak engelliyor; art arda 3 ya da oturumda toplam 20 engelden sonra yeniden size soruyor. 14 Ağustos’ta Pro, Max ve Team planlarında başlangıç modu oldu; 28 Eylül’den beri her planda etkileşimli oturumlar bu modda başlıyor. Anthropic’in belgesi auto mode’un güvenliği garanti etmediğini yazıyor.

“Denied by auto mode classifier” ne demek?

Claude Code’un sınıflandırıcısı o çağrıyı güvensiz buldu demek. Köşeli parantezdeki ad, örneğin [Data Exfiltration] ya da [Production Deploy], eşleşen kuralın adı. Engellenen çağrıları /permissions içindeki Recently denied sekmesinde görebilir, r tuşuyla ajana o çağrıyı yeniden deneyebileceğini söyleyebilirsiniz. Engellenen şey ajanın sürekli ihtiyaç duyduğu bir paket kaydı ya da iç alan adıysa onu autoMode.environment’a ekleyin; /auto-mode-setup bu girdilerin taslağını sizin için hazırlıyor. Tek seferlik bir işse niyetinizi bir sonraki mesajda açıkça yazın.

Codex auto-review ile full access farkı nedir?

İkisi de onay sorularını azaltıyor ama sınırı farklı yere koyuyor. Auto-review (“Approve for me”) workspace-write sandbox’ını olduğu gibi bırakıyor; yalnızca sandbox’ı aşmak isteyen çağrıları size değil, ayrı bir inceleyici ajana soruyor. Full access ise sandbox_mode = "danger-full-access" ile approval_policy = "never" demek: sandbox yok, soru da yok; ajan internete ve bilgisayarınızdaki her dosyaya erişiyor. OpenAI’ın kendi ölçümünde auto-review, ajanın sınırı aştığı sentetik senaryoların %90,3’ünü yakaladı; oturum da insan onayı için yaklaşık 200 kat daha seyrek durdu. Full access’te bu kontrol hiç yok.

Claude Code sandbox nasıl açılır?

Oturumda /sandbox yazın ya da ~/.claude/settings.json’da sandbox.enabled’ı true yapın. macOS’ta ek bir şey gerekmiyor; Linux’ta ve WSL2’de bubblewrap ve socat kurulu olmalı. Yerel Windows’ta komutlar sandbox’sız çalışıyor. Açıkken komutlar çalışma dizinine ve geçici dizine yazabiliyor, ağa da yalnızca izin verdiğiniz alan adlarına çıkabiliyor. Sandbox yalnızca kabuk komutlarını kapsıyor; dosya araçları, hook’lar ve yerel MCP sunucuları dışında kalıyor. Komutların sandbox dışında yeniden denenmesini istemiyorsanız allowUnsandboxedCommands’ı false yapın.

Sandbox açıkken ajan ~/.ssh’yi okuyabilir mi?

Araca göre değişiyor. Claude Code’un sandbox’ı varsayılan olarak ~/.ssh ve ~/.aws/credentials dahil makinenin çoğunu okuyabiliyor; kapatmak için filesystem.denyRead ya da credentials ayarı gerekiyor. Cursor’da okuma sınırı varsayılan olarak “system” ve ~/.ssh okunabiliyor; “workspace” seçerseniz ~/.ssh’den yalnızca known_hosts kalıyor. Copilot’un sandbox’ı dosya sisteminde izin vermediğiniz her yolu kapatıyor, ama varsayılan geliştirici aracı erişimiyle komutlar paket yöneticilerinin sakladığı token’ları okuyabiliyor. Antigravity ~/.ssh’yi ve .env’i baştan engelliyor. Codex’in belgesi varsayılan okuma sınırını açıkça yazmıyor; ~/.ssh gibi yollar için deny kuralı öneriyor.

Claude Code neden sürekli izin istiyor?

Çoğu zaman oturum Manual modda başladığı için. Claude Code 28 Eylül’den beri etkileşimli oturumları auto mode’da başlatıyor; ama kullanıcı ayarınızda defaultMode başka bir mod gösteriyorsa, modeliniz auto mode’u desteklemiyorsa ya da kurumunuz auto mode’u kapattıysa oturum Manual’da başlıyor. Shift+Tab ile auto mode’a geçebilirsiniz. Auto mode’da da Bash(git push *) gibi ask kurallarında ve çalışma dizini dışındaki ilk okumada size soruluyor. Sınıflandırıcı istemiyorsanız sandbox’ı auto-allow modunda açın; sandbox’ın içindeki komutlar sormadan çalışır. Her şeyi açan Bash(*) gibi bir kural yazmayın.

Auto mode ücretli mi?

Araca göre değişiyor. Anthropic 7 Ağustos’tan beri Pro, Max ve Team planlarında sınıflandırıcının ek token’ları için ücret almıyor. Enterprise planında ve Claude API, Bedrock, Google Cloud ya da Foundry kullanan hesaplarda sınıflandırıcı çağrıları token kullanımına sayılıyor; inceleme sunucu tarafında yapıldığında ayrı bir çağrı olmuyor. Cursor, Auto-review sınıflandırıcısının ajan kullanımına ek ücret getirmediğini yazıyor. Codex’in, Copilot’un ve Antigravity’nin belgelerinde izin veren modelin ücreti yazmıyor.