YC şirketlerinin GitHub etkinliklerini toplayıp kullanıcılara spam e-posta gönderdiğine dair ihbar

• Bazı Y Combinator (bundan sonra YC) destekli şirketlerin GitHub kullanıcı etkinliği verilerini otomatik olarak toplayarak pazarlama e-postaları gönderdiği bildirildi
• Gönderiyi paylaşan kişi, GitHub profilindeki commit ve repository etkinliklerine dayanarak rıza olmadan e-posta alınmasını sorun olarak gösterdi
• Bu e-postaların ürün tanıtımı veya hizmete kayıt olmaya yönlendirme amacıyla gönderildiği belirtildi
• Toplulukta gizlilik ve etik pazarlama uygulamaları hakkında eleştiriler dile getirildi
• Bu durum, startup ekosisteminde veri kullanımı ile kullanıcı rızası arasındaki sınırın yeniden tartışılmasına vesile oldu

---

GitHub etkinlik verilerinin toplanması ve e-posta gönderimi

• YC bünyesindeki bazı startup'ların GitHub kullanıcılarının herkese açık etkinlik verilerini scrape ederek e-posta adresleri elde ettiği vakalar bildirildi
  • Gönderiyi paylaşan kişi, GitHub etkinliğinden sonra belirli bir YC şirketinden tanıtım e-postası aldığını anlattı
  • E-posta içeriğinin ağırlıklı olarak ürün tanıtımı ve kullanıma yönlendirme odaklı olduğu ifade edildi
• Bu davranış, kullanıcı rızası olmadan toplanan verilerin kullanılması açısından sorunlu bulundu

Topluluk tepkisi ve etik tartışma

• Hacker News kullanıcıları, rıza olmadan e-posta gönderimini spam davranışı olarak değerlendirerek eleştirel tepki gösterdi
  • Bazıları, veriler herkese açık olsa bile pazarlama amacıyla otomatik toplanmasının uygunsuz olduğunu savundu
• Tartışma, startup'ların büyüme stratejileri ile gizliliğin korunması arasındaki denge meselesine doğru genişledi
  • Özellikle bunların YC şirketleri olması nedeniyle etik standartlara yönelik beklentinin yüksek olduğu görüşü dile getirildi

Veri kullanımı ve kullanıcı rızası sorunu

• GitHub'ın herkese açık verilerine erişilebilse de, ticari kullanım söz konusu olduğunda açık rızanın gerekli olduğu yönündeki anlayış vurgulandı
• Topluluk, geliştirici ekosistemindeki güvenin korunması için şeffaf veri kullanım politikalarına ihtiyaç olduğunu belirtti
• Bu olay, startup'ların pazarlama otomasyonu uygulamalarına yönelik farkındalığı artıran bir örnek olarak değerlendirildi

[GN⁺]

Hacker News görüşleri

• GitHub’dan Martin. Bu tür veri kazıma davranışları GitHub hizmet şartlarının açık bir ihlalidir
  Tespit edildiğinde hesap askıya alma gibi işlemler uygulanıyor. Ancak bu, sürekli tekrarlanan bir köstebek vurma oyunu gibi bir sorun
  Git’in yapısı gereği açık kaynak depolarından veri çekmek teknik olarak zor değil. Çünkü commit’lerde ad ve e-posta yer alıyor
  Kullanıcıların commit atarken anonim e-posta adresi kullanabilmesi için no-reply adres özelliğini sunuyoruz
  Ayrıntılı ayar yöntemi resmi belgelerde var
  Açık kaynağın açıklığını korurken spam’i engellemek denge kurması zor bir iş. API sınırlamaları da var ama bunlara dair çok şikayet geliyor. Topluluğun görüşlerini duymak isterim

  • Benim deneyimimde GitHub böyle hesapları gerçekten engellemiyor
    2025 Temmuz’unda bir spam göndericiyi bildirdim ama yanıt gelmedi ve hesap hâlâ aktif
    E-postamı açık etmemin nedeni şartların uygulanacağı beklentisiydi. GitHub spam göndericileri görmezden gelirse açık iletişim bilgisini korumak zorlaşıyor
  • Ben de aynı spam senaryosunu beşten fazla kez bildirdim ama hiçbir işlem yapılmadı
    Bir YC şirketinin GitHub e-postama spam gönderdiği örnekleri blogumda derledim
  • Somut bir önerim yok ama e-posta alanı anonim adres değilse push’u engelleyen bir özellik eklemenize memnun olurum
    Kullanıcıların çoğu gizliliğe dikkat etmediği için böyle korumalar faydalı
  • Yıldız verdiğim depolara bakıp “benzer bir şey yapıyorsunuz” diye gelen spam çok fazla
    Bu yüzden artık hiçbir depoya yıldız vermiyorum
  • Bunun şart ihlali olduğunu biliyorum ama birçok kurumu bildirmeme rağmen “platform dışı faaliyet olduğu için işlem yapılamaz” denilerek ticket kapatılıyor

• Ben de aynı e-postayı aldım
  RunanywhereAI ekibinden gelmişti ve on-device LLM SDK tanıtıyordu
  Ekip ile gerçekten konuşunca geri bildirimi ciddiye aldıklarını ve Flutter SDK’yı da hızla geliştirdiklerini gördüm
  Bir hafta içinde RAG uygulamasını bile ekleyecek kadar hızlı tepki verdiler. Herkese açık şekilde kınamak yerine doğrudan denemek de iyi olabilir

• YC’nin Flock’a yatırım yaptığını biliyorum ama “YC etik sorunu” denen şeyin tam olarak ne olduğunu merak ediyorum

  • Optifye.ai’nin gözetim yazılımı demosu da akla geliyor
  • Cluely de var
  • Gecko Security de var

• Uzun süredir geliştiricilere yönelik pazarlama yapıyorum; GitHub e-postasına spam göndermek en kötü pazarlama yöntemlerinden biri
  Geliştiricilere cold email göndermenin neredeyse hiç etkisi yok ve marka güvenini zedeliyor

  • Ama biri GitHub katkılarımı görüp buna uygun kişiselleştirilmiş bir teklif gönderirse olumlu değerlendirebilirim
    Bu, basit otomatik spam’den tamamen farklı
  • Ben de benzer düşünüyorum. Çalışmalarımı görüp doğrudan iletişime geçseydi bunu aksine yüksek ilgi ve emek göstergesi olarak algılardım

• YC’nin başvuruda “sistemi hack’leyip bundan çıkar sağladığınız bir deneyim oldu mu” diye sormasının bir nedeni var
  Çünkü yasal gri alanları kullanabilen kurucuları tercih ediyorlar
  Airbnb Craigslist şartlarını ihlal ederek büyüdü, Reddit Digg içeriğini çaldı, OpenAI ise modellerini telifli verilerle eğitti

• Ben de YC şirketi Aden’den Vincent Jiang’dan istenmeyen spam e-postası aldım
  Yapay zeka ajan geliştirme topluluğuna davet ediyordu

  • Backdrop adlı yerden de benzer e-postaları birkaç kez aldım
    İlkini spam olarak işaretlememe rağmen tekrar “son kez kontrol ediyorum” diyerek e-posta gönderdiler
    Böyle şirketleri bir daha asla kullanmam
  • Bir kişi de aynı göndericiden “açık kaynak PR yapmanız için saatlik 25~50 dolar” teklifi aldığını söyledi
    Yanıt verince sadece otomatik cevap gelmiş

• Bugün de GitHub e-postam üzerinden YC bağlantılı şirket Cactus Compute’tan spam aldım
  On-device ses modeli motorunu tanıtıyor ve GitHub deposu cactus-compute/cactus bağlantısını gönderiyordu

  • Yine de yıldız istememiş olmaları iyi. Geliştirme hızları oldukça yüksek görünüyor
  • “Yıldız verirseniz seviniriz” ifadesi 419 dolandırıcılık e-postası gibi hissettirdi

• Bu konu daha önce de defalarca tartışılmıştı
  11 yıl önce, 7 yıl önce, 5 yıl önce, 4 yıl önce de aynı tartışma vardı
  Tekrarlanan kronik bir sorun

• Bu başlığı okurken ben de bir GitHub kazıyıcısından spam e-postası aldım
  Gönderen [e-mail] idi ve ABD merkezli mühendis işbirliği teklifi gibi görünen bir e-postaydı
  Benim deneyimime göre bu tür şeylerin Kuzey Kore kaynaklı dolandırıcılık girişimi olma ihtimali yüksek

  • Ben de aynı göndericiden neredeyse aynı e-postayı aldım. Sadece başlık ve imza biraz farklıydı
  • Neden Kuzey Kore olduğunu düşündüğünü merak ettim. Anonim bir ekibin ABD’lileri vitrin olarak kullandığı bir kamuflaj yapısı olduğu için mi?

• Bu arada bu tür izinsiz reklam e-postaları Avrupa’da yasadışıdır
  “Bilmiyordum” bahanesi geçerli değil. Çünkü GitHub profillerinde konum bilgisi çoğu zaman açıkça yazıyor
  Yasadışılıkla başlayan bir startup, güvenilirlik açısından da zaten eksiyle başlar