ABD bankaları, paylaşılan kimlik bilgisi riski nedeniyle müşteri hesaplarına dış AI agent'larının erişimini kısıtlıyor

Bankalar agent oturumlarına karşı harekete geçiyor

22 Ekim'de Reuters ve Axios, büyük ABD bankalarının dış AI agent'larının müşteri hesaplarına erişimini kısıtladığını bildirdi; bu haberleri aktaran bir dev.to yazısı da konuyu özetliyor. Kısıtlamaları tetikleyen mekanizma basit: müşteri kullanıcı adı ve şifresini bir AI aracına veriyor, araç müşteri olarak oturum açıyor ve bankanın kayıtlarında yalnızca müşteri görünüyor. Haberlere göre bazı agent'lar müşterinin hiç talep etmediği işlemler denedi ve çoğu banka, ara dönem orta yol olarak agent'lara salt-okunur erişim konusunda uzlaşıyor.

Paylaşılan oturum açmanın temel sorunu

dev.to yazarının ana argümanı, salt-okunur erişimin makul bir geçici çözüm olduğu ama gerçek bir tasarım olmadığı. Bir şifre, hesap sahibinin var olduğunu kanıtlar; kimin, kimin adına, hangi amaçla, hangi sınırlar içinde ve ne kadar süreyle hareket ettiği konusunda hiçbir şey söylemez. Bir agent müşterinin kimlik bilgilerini ödünç aldığında tüm bu ayrımlar tek bir kimlikte çöker ve denetim izi, müşteri oturumu açmasından daha ayrıntılı bir şey kaydetmez. Bankanın bakış açısıyla yazılım ile kişi ayırt edilemez.

Kapsamlı bir yetkilendirme (grant) deseni

Yazı, dört kural üzerine kurulu bir alternatif çiziyor. Agent, müşteriden ayrı kendi kimliğine kavuşur. Müşteri daha sonra hangi agent'in, hangi eylemleri, hangi sınırlarla, erişim ne zaman sona erecek ve agent'in arkasındaki şirketin hangisi olduğunu belirten bir yetkilendirme (grant) yayınlar. Para hareketi gerektiren her işlem, müşterinin kendi uygulaması içinde ayrı bir anahtarla imzalanan bir onay gerektirir; agent'in prompt'unda sağlanan bir alan güvenilmeyen veri olarak ele alınır. Son olarak, her log satırı iki tarafı isimlendirir: eylemi yapan agent ve adına hareket ettiği müşteri.

Referans uygulama ne yapıyor

Tasarım bilinçli olarak iki ayrı anahtara dayanıyor. Banka yetkilendirmeleri (grant) imzalar, müşterinin uygulaması onayları imzalar ve agent ikisini de elinde tutmaz. Yetkilendirmeler bir kapsam listesi ve ödeme başına bir üst limit taşır. Onaylar tek bir yetkilendirmeye, tek bir alıcıya ve tek bir tutara bağlanır ve iki dakika sonra geçersiz olur.

Bir gateway, kontrolleri sabit bir sırayla uygular: önce imza ve süre, sonra iptal durumu, sonra kapsam, sonra ödeme başına üst limit, en son onay eşleşmesi. Reddedilen işlemler de log'a alınır; sahte token'larla yapılan denemeler dahil.

Yazarın demo çalışması — kodun yayınlanmadan önce çalıştırıldığını yazar belirtiyor — beklenen sonuçları üretiyor. Grant kapsamında bakiye okumaları başarılı. Onaysız bir ödeme reddedilirken, eşleşen onaylı ödeme geçer. Onaydan sonra tutarın değiştirilmesi, onay artık eşleşmediği için başarısız olur. Üst limitin üzerindeki bir ödeme, o tutar için onaylanmış olsa bile reddedilir. Grant kapsamı dışındaki bir eylem geri çevrilir ve grant iptal edildikten sonra izin verilen okumalar bile başarısız olur.

Yazar bunun bir ürün değil öğretici bir taslak olduğunu açıkça belirtiyor; üretim sistemlerinin simetrik demo gizli anahtarları yerine KMS veya HSM'de tutulan asimetrik anahtarlara ihtiyaç duyacağını not ediyor ve yazı, desenin nerede yetersiz kaldığını incelemeye devam ediyor.

Neden önemli

Bir banka yazılımı hesap sahibinden ayırt edemiyorsa, güvenli tek ayarlar kapalı veya salt-okunur olur; bu da agent'lı ticaretin en belirgin erken pazarlarından biri olan kişisel finansta yapılabilecekleri sınırlar. Desen olası çözümü işaret ediyor: temsil yetkisinin, kapsamlı, limitli, süreli ve iptal edilebilir yetkilendirmeler ile iki taraflı denetim logları olarak modellenmesi — ruhen OAuth'a şifre paylaşımından daha yakın. Temeldeki sorun bankacılığa özgü değil; bir AI agent'in kullanıcı adına dokunduğu her hizmet için geçerli. Temsil yetkili agent kimliğinin ne kadar temiz çözüleceği, kurumların bu sistemlere ne kadar özerklik vermeye istekli olacağını büyük ölçüde belirleyecek.