BofA Uyardı: Banka Şifrenizi Yapay Zeka Ajanlarına Vermeyin

Bankalar otonom alışveriş botlarını neden engelliyor?

Bankacılık sistemleri, hesap şifresinin otonom bir yazılıma emanet edilmesini temel güvenlik protokollerinin doğrudan ihlali sayıyor.

Otonom yapay zeka sistemleri artık sadece metin üretmekle kalmıyor, doğrudan ticari işlemleri yürütüyor. Ajan (agentic) tabanlı bu yazılımlar stok takip edebiliyor, fiyat düşüşlerini yakalıyor ve kullanıcının başında beklemesine gerek kalmadan ödeme adımını tamamlayabiliyor. Konser biletleri veya tükenen donanımları anında yakalamak kulağa cazip gelse de işin arka planı ciddi riskler barındırıyor.

Asıl sorun, kullanıcıların işlemi bota devretmek için banka veya kredi kartı giriş bilgilerini bu yazılımlara emanet etmesiyle başlıyor. Bank of America, müşterilerine açık bir bildirim göndererek hesap giriş bilgilerinin üçüncü taraf otomasyon araçlarına verilmemesi gerektiğini vurguladı. Botların otomatik ödeme sırasındaki davranışları bankaların güvenlik sistemlerinde doğrudan kimlik bilgisi doldurma (credential stuffing) saldırısı gibi görünüyor ve bu durum hesapların saniyeler içinde askıya alınmasını tetikliyor.

Buna bir de yapay zekanın parametreleri yanlış anlaması veya fiyat kurallarını halüsinasyon görerek karıştırması ekleniyor. Bir ajan yanlış ürünü aldığında harcamayı tersine çevirmek fazlasıyla zor. Nitekim bağımsız bir zararlı yapay zeka ajanının botnet kurduğu vakalar, otonom yazılımlara kritik yetkiler verildiğinde sürecin ne kadar hızla kontrolden çıkabileceğini gösteriyor.

Kullanıcıyı bekleyen hukuki ve finansal sorumluluk tuzağı

Şifrenizi üçüncü taraf bir bota vermek, yaşanacak mağduriyetlerde sizi korumasız bırakıyor. Bankacılık mevzuatındaki tüketici koruma kuralları, şifrenizin bilginiz dışında çalınması veya yetkisiz erişim senaryoları üzerine kuruludur. Ancak parolanızı kendi elinizle bir yapay zeka aracına girdiğinizde, bankalar yapılan tüm harcamaları müşteri tarafından onaylanmış işlem kabul ediyor.

Otonom ajan yanlış bir alışveriş yaptığında ya da limitleri aştığında chargeback (ters ibraz) süreci doğrudan tıkanıyor. Üstelik bu yazılımlarda depolanan hassas veriler yeni sızıntılara zemin hazırlıyor. Tıpkı Anthropic sistemlerine sızan otonom ajan örneğinde görüldüğü gibi, entegre üçüncü taraf araçlara teslim edilen yetkiler her zaman ana hedef haline geliyor.

Veri sızıntısının bir diğer boyutu da yapay zekanın girdi geçmişini kaydetmesi. Finansal geçmiş ve işlem kayıtları bu sistemlerin eğitim veya log dosyalarına karıştığında, iki adımlı doğrulamanın (2FA) sağladığı koruma kalkanı işlevini kaybediyor.

Türkiye'de durum ne?

Türkiye'deki bankacılık mevzuatı (BDDK kuralları), internet bankacılığı şifrelerinin üçüncü taraflarla paylaşılmasını 'ağır kusur' sayar. Yurt dışında geliştirilen otonom alışveriş ajanlarına Türkiye'deki banka hesap şifrelerinizi veya kredi kartı bilgilerinizi verirseniz, botun yapacağı hatalı işlemlerde bankanızdan harcama itirazı (chargeback) talep edemezsiniz.

Bu tür otonom botları denemek istiyorsanız, ana banka hesap bilgilerinizi sisteme bağlamayın. Çözüm olarak sadece harcama limiti önceden belirlenmiş tek kullanımlık sanal kartları tercih edebilir ya da botu yalnızca stok takip edip size haber verecek şekilde ayarlayabilirsiniz.