Bankalar otonom yapay zeka ajanlarının hesaplara erişimini engelliyor

Bankalar yapay zeka botlarına kapıyı neden kapatıyor?

Güvenlik sistemleri, kullanıcı adına işlem yapan bir asistan ile çalıntı oturum bilgilerini kullanan bir saldırganı teknik olarak birbirinden ayıramıyor.

Kullanıcı adına tarayıcıyı devralıp işlem yapan otonom asistanlar, finans dünyasının katı güvenlik protokollerine çarptı. Günlük fatura ödemelerini, portföy takibini ya da para transferlerini otomatikleştirmek isteyen birçok kullanıcı, banka giriş bilgilerini bu yeni nesil modellere emanet etmeye başladı. Ancak bankaların güvenlik duvarları, hesaba giren yapının sizin yetkilendirdiğiniz bir yazılım mı yoksa oturum çerezlerini ele geçirmiş bir siber saldırgan mı olduğunu teknik olarak ayırt edemiyor.

Finansal kuruluşların belirli izin sınırlarıyla sunduğu resmi API altyapılarının aksine, tüketiciye yönelik otonom yapay zeka ajanları doğrudan masaüstü veya tarayıcı kontrolü talep ediyor. Bu durum kritik bir açığa yol açıyor: Başka bir iş üzerinde çalışan asistan arayüzde şaşırdığı anda bakiyeyi sıfırlayabilecek hatalı bir transfer tetikleyebilir ya da hassas hesap geçmişini sızdırabilir.

Geçtiğimiz dönemde Tencent yapay zekasının hedef dışına çıkarak farklı yollara sapması gibi olaylar bu yapısal tehlikeyi kanıtlıyor. Otonom modeller görevleri tamamlamak için kendi kendilerine doğaçlama adımlar atıyor ve bir banka hesabında yaşanacak böylesi bir sapma telafisi imkansız kayıplar yaratabilir.

Haftada onlarca yetkisiz yapay zeka girişi durduruluyor

Risk artık varsayımsal bir senaryo olmaktan çıktı. Charles Schwab İcra Kurulu Başkanı Rick Wurster, Bloomberg TV'ye yaptığı açıklamada kurumun her hafta üçüncü taraf yapay zeka ajanlarının müşteri fonlarına erişmeye çalıştığı onlarca giriş denemesini engellediğini açıkladı. Benzer şekilde Wells Fargo da harici botların müşteri hesaplarıyla doğrudan etkileşim kurmasını önleyecek filtreleri devreye aldığını doğruladı.

Mesele tamamen kimlik doğrulama mimarisinden kaynaklanıyor. Modern dijital bankacılık; doğrulanabilir oturum verilerine, cihaz parmak izine ve insan kullanıcıya özgü davranış kalıplarına dayanır. Yazılımlar tarayıcı pencerelerini simüle ederek sisteme dahil olduğunda, bankaların bu denetim zincirini ve yasal izlenebilirliği koruması imkansızlaşıyor.

Finans devleri yapay zekaya tamamen sırtını dönmüş değil ancak sınırları kendileri çizmekte ısrarcı. Dışarıdan gelen kontrolsüz kodlar yerine, Charles Schwab'ın kendi geliştirdiği 'Charley' gibi sadece bankanın kapalı veri tabanını sorgulayan denetimli iç asistanlar öne çıkarılıyor.

Hesaplarınızı kontrolsüz otomasyondan nasıl korursunuz?

Siber güvenlik uzmanları, kullanıcıların yeni çıkan otonom araçları denerken farkında olmadan geniş sistem izinleri verdiklerine dikkat çekiyor. Bir yazılıma yerel tarayıcınıza veya şifre yöneticinize tam erişim izni vermek, o yazılımla en kritik finansal portallarınız arasındaki tüm engelleri kaldırmak anlamına geliyor.

Masaüstü otomasyon araçlarını test edenlerin hesap güvenliğini sağlamak için alabileceği somut önlemler var:

Kurumsal tarafta Anthropic Claude Duet gibi platformlar iş süreçlerini yönetmeye başladıkça bu alanın regülasyonları oturacaktır. Ancak bireysel bankacılıkta güvenliği sağlamanın yolu şimdilik insan denetiminden vazgeçmemekten geçiyor.

Türkiye'de durum ne?

Türkiye'deki bankacılık mevzuatı, BDDK düzenlemeleri gereği iki bileşenli kimlik doğrulama, cihaz eşleme ve katı SMS/mobil onay mekanizmalarıyla çalışır. Bu nedenle Türkiye'deki banka ve aracı kurum hesaplarında üçüncü taraf otonom yapay zeka ajanlarının sorunsuz çalışması teknik olarak mümkün değil.

Masaüstü tarayıcı kontrolüyle Türk bankalarına giriş yaptırmaya çalışmak, sistemlerin oturumu 'şüpheli işlem' veya 'yetkisiz cihaz' gerekçesiyle anında bloke etmesine ve mobil bankacılık şifrenizin kilitlenmesine yol açacaktır. Bankaların resmi olarak sunduğu açık bankacılık izinleri dışında hiçbir bota giriş yetkisi verilmemesi gerekiyor.

Otonom yazılımlar gelecekte finansal planlamayı tamamen değiştirebilir ancak günümüz modelleri bankacılık güvenliğinin gerektirdiği katı sınır kontrollerine henüz sahip değil. Doğrulanabilir ajan protokolleri küresel bir standart haline gelene dek parayı manuel yönetmek tek güvenli yol.