ABD bankaları agent'ların paylaşımlı parolalarla giriş yapmasına karşı çıkarken agent başına kimlik çözümü duyuruldu

ABD bankaları müşteri hesaplarında doğrulanmamış agentic aktivite tespit ediyor ve en az bir büyük banka müşterilerine giriş bilgilerini devretmemeleri konusunda uyarıda bulunuyor. Bir dev.to analizinde aktarılan Axios habere göre Chase, bankanın oturumun diğer ucundakinin kim ya da ne olduğunu doğrulama yolu olmadığı için müşterilerini üçüncü taraf agent'larla kimlik bilgilerini paylaşmamaları konusunda uyardı.

Meşru bir agent, hesap ele geçirmesi gibi görünüyor

Bankanın bakış açısından, onaylı bir agent'ın parolanızı kullanması ile bir suçlunun çalıntı bir kopyayı kullanması neredeyse aynı sinyalleri üretiyor: doğru kimlik bilgileri, tanıdık olmayan bir cihaz veya konum, olağandışı saatler, hızlı gezinme ve insan tipi yazma ritminin olmaması. Bu tam olarak dolandırıcılık tespit sistemlerinin yakalamak için tasarlandığı davranış olduğundan, agent trafiği otomasyon değil, devam eden bir hesap ele geçirmesi olarak okunuyor.

Sorumluluk hesap sahibine düşüyor. Agent kimliğinizi ödünç aldığı için yaptığı her şey sizin adınızla, sizin izinlerinizle kaydediliyor. Kötü bir işlem veya sızan bir dışa aktarım, denetim kaydında sizin yaptığınız bir şey olarak görünüyor.

Bu ölçekli olarak yaşanıyor. Dev.to yazısında atıf yapılan 1Password'in Developer Pulse anketinde developer'ların %65'i yapay zeka agent'ları kullanmalarının beklendiğini veya teşvik edildiğini söylerken, yalnızca %33'ü agent'ların giriş yapması için güvenli bir yola sahip olduklarını belirtti. Analize göre kimlik bilgileri prompts'lara ve config dosyalarına özellikle özensizlik nedeniyle değil, ağırlıklı olarak güvenli agent erişimi altyapısının şu ana kadar var olmadığı için düşüyor.

Agent giriş yöntemleri spektrumu, en kötünden en iyiye

Dev.to analizi bugün kullanılan yöntemleri en kötünden en iyiye doğru sıralıyor.

Paylaşılan parolalar hâlâ en yaygın ve en kötü seçenek. Her yerde hemen çalışıyorlar, ancak tam yetkilerinizi taşıyorlar; kapsam yok, süre sonu yok ve agent eylemlerini kendi eylemlerinizden ayırmanın bir yolu yok. Sızan bir prompt, sızan bir parola demek ve parolayı değiştirmek ona bağımlı her agent'ı bozuyor.

Uzun ömürlü API anahtarları bir adım daha iyi: insan girişinizden ayrı ve tek tek iptal edilebilirler. Ama nadiren süreleri dolar, nadiren sıkı kapsamlıdır ve repository'lere, CI log'larına ve sohbet kayıtlarına kopyalanırlar. Geniş kapsamlı, süresi dolmayan bir anahtar, parolaya kıyasla gerçek bir iyileştirme sunmaz.

Kapsamlı, kısa ömürlü token'lar güvenlik ekiplerinin istediği biçim: dakikalarla veya saatlerle sınırlı, belirli izinlere sahip OAuth tarzı kimlik bilgileri; böylece çalınan bir token hızla süresi dolar ve sınırlı zarar verebilir. Sorun ise düzensiz destek. Agent'ların ihtiyaç duyduğu birçok servis hâlâ ince ayarlı, kısa ömürlü token'lar sunmuyor ve her agent ve servis için token üretme ve yenileme altyapısını kurmak ciddi bir mühendislik işi.

Agent başına kimlik geliyor

Bir sonraki yöntem, insan onaylı agent başına anahtarlar; 1Password for Agents'ın 22 Ekim 2026'da sunduğu şey tam olarak bu. 1Password'in açıkladığı şekliyle — launch materyallerine dayanan bir vendor beyanıdır — her agent kendi benzersiz dijital anahtarıyla oturum açıyor, her giriş denemesini kendi cihazınızdan onaylıyorsunuz ve arka plandaki parola asla agent'a ulaşmıyor. Şirket, özelliği Individual ve Family planlarına dahil olarak listeliyor.

1Password, Muse ve Grok Bot'ı rollout aşamasındaki launch partnerleri olarak sayıyor; Claude Duet, ChatGPT Work/dots ve Townie "yakında" listesinde, ayrıca Browserbase, Browser Use, Perplexity ve Ramp'tan entegrasyonlar devam ediyor. Dev.to yazısı, bu listeyi her entegrasyon canlı olana kadar bir yol haritası olarak görmeyi öneriyor; yine de bu karmaya dikkat çekiyor: browser agent'ları ve finans araçları, tam olarak kimlik bilgisi paylaşımı riskinin yoğunlaştığı yerler. Denge ise şu: insan onayı, arka planda sürekli kimlik doğrulayan agent'larla ölçeklenemez.

Aynı hafta duyurulan ikinci bir ürün olan IDENTOS PolicyArc da aynı analizde, agent başına kimlik yönündeki bir diğer erken ve somut girişim olarak tanımlanıyor.

Neden önemli

Bankalar karşı çıkan ilk kurumlar, ama aynı örüntü cloud konsolları, ödeme panoları, reklam hesapları ve production SaaS araçlarına kadar uzanıyor. Paylaşılan kimlik bilgileri her agent'ı sizin adınızı, izinlerinizi ve sorumluluğunuzu taşıyan bir aktöre dönüştürüyor ve dolandırıcılık sistemleri bunu bir saldırgandan ayırt edemiyor. Dev.to analizinin önerdiği sırayla pratik çözüm: agent'larınızın şu anda neye erişebildiğinin envanterini çıkarın, paylaşılan parolaları ortadan kaldırın, ardından kapsam, süre sonu ve okunabilir denetim log'ları ekleyin. Developer'ların %65'i agent'ları devreye almaya zorlanırken ve yalnızca üçte biri güvenli bir giriş yöntemine sahipken, agent başına kimlik en iyi uygulamadan bir ön koşula dönüşüyor ve vendor'lar bunu sunmaya yeni başladı.