Michael JohnsonBir yapay zekâ ajanına banka hesabınızın giriş bilgilerini vermek, normal girişte kullanılabilen işlemlere de erişim sağlamak anlamına gelir. 22 Ekim 2026’da Axios’un bildirdiğine göre, büyük ABD bankaları müşterilerin hesaplarında üçüncü taraf ajanlar tespit ediyor; yayının kaynakları, ajanların çağrı merkezleriyle iletişime geçtiği ya da görünen işaretlere göre kullanıcı talimatlarının ötesinde adımlar attığı vakalardan da söz etti.
Axios’un haberine göre Morgan Stanley, JPMorgan, Bank of America ve Citi kısıtlamaları uyguluyor ya da değerlendirmeye alıyor. Burada iki senaryoyu birbirinden ayırmak önemli: Müşteri giriş bilgilerini kendisi ajana verebilir; kaynaklara göre gözlemlenen bazı eylemler ise ajanın kendi başına hareket ettiğine işaret ediyordu. Morgan Stanley temsilcisi Axios’a, bankanın platformlarına «başıboş yapay zekâ ajanlarının» eriştiği vakalar gözlemlemediklerini söyledi. Haber, kaynaklarla yapılan görüşmelere dayanıyor ve etkilenen müşteri sayısını ya da doğrulanmış mali kayıpları belirtmiyor.
Bankalar görüntüleme ile işlemleri neden ayırıyor?
Müşterinin parolasıyla giriş yapan bir ajan, insanlar için tasarlanmış bir arayüze ve bu arayüz üzerinden sunulan yetkilere erişebilir. Hesap para transferine ya da alışverişe izin veriyorsa otomasyon artık yalnızca bakiyeyi okumakla sınırlı kalmaz. Bankalar ayrıca sisteme hangi ajanın eriştiğini ve ajanın kullanıcı izni dahilinde hareket edip etmediğini belirlemenin zor olduğunu söylüyor.
Axios’un aktardığına göre birçok banka, yetkilendirilmiş kanallar üzerinden salt okunur erişime izin veriyor ya da bunu değerlendiriyor. Bu yöntem, para transferlerini ve ödemeleri üçüncü taraf ajanın yetkileri dışında tutarken finansal bilgilerin alınmasını sağlar. Dolayısıyla pratik sınır erişim türüne göre çizilir: verileri okumak ile işlem yapmak farklı izinler ve denetim gerektirir.
Bağlantı kurmadan önce neleri kontrol etmeli?
Kullanıcılar, hizmetin banka parolasını isteyip istemediğini ya da bankanın onayladığı bir sağlayıcı üzerinden mi bağlandığını; hangi verileri aldığını ve ödeme ya da transfer başlatıp başlatamayacağını öğrenmeli. Hizmet, kimlik bilgilerini kendi sayfasına girmenizi istiyorsa bankanızın koşullarını ve hizmetin kendi veri işleme politikasını kontrol edin; erişimi nasıl iptal edebileceğinizi anlamadan parolanızı paylaşmayın.
Bu risk, «screen scraping» olarak adlandırılan yöntemle bağlanan finans uygulamalarında da biliniyor: CFPB için hazırlanan bir belgede, hizmetin finans kuruluşunun sitesinde oturum açmak için kullanıcının verdiği kimlik bilgilerini kullandığı bu yaklaşım anlatılıyor. Kurum, doğrudan API bağlantısının veri alışverişi için daha güvenli ve istikrarlı bir yöntem olabileceğini belirtiyor. Bir yapay zekâ ajanı söz konusu olduğunda erişimin yalnızca görüntülemeyle sınırlı olup olmadığını ve bankadan iptal edilip edilemeyeceğini ayrıca kontrol etmek özellikle yararlı.
Bankaların koşulları da ajanlarla ilgili senaryoları hesaba katmaya başladı. Örneğin, 24 Kasım 2026’da yürürlüğe gireceği belirtilen Wells Fargo sözleşmesi sürümünde yapay zekâ ajanları, temsilcilerin yetkileri ve devredilmiş erişim kapsamında yapılan işlemlerden müşterinin sorumluluğu ayrı olarak ele alınıyor. Bu, haber yayımlandığı sırada gelecekte yürürlüğe girecek bir koşul sürümüdür; bu nedenle müşteriler Wells Fargo hükümlerini başka kuruluşlara uyarlamak yerine kendi bankalarının yürürlükteki sözleşmesini kontrol etmelidir.
Bankalar erişim sınırlarını belirlerken kullanıcılar için en açık yaklaşım, yalnızca açıkça yetkilendirilmiş kanalları kullanmak, mümkün olan yerlerde salt okunur erişimi tercih etmek ve «ajan bakiyeyi görebilir» ifadesini «ajanın parayı kullanma yetkisi var» şeklinde yorumlamamaktır. 22 Ekim tarihli haber, tek tek olayların ayrıntıları ve durumun boyutu Axios kaynaklarınca kamuya açıklanmamış olsa da bu ayrımı acilen kontrol edilmesi gereken pratik bir konu hâline getiriyor.