New York'taki Morgan Stanley genel merkezinin girişindeki altın harfli «Morgan Stanley» yazısı (temsili, 2011)

ABD merkezli haber sitesi Axios, 22 Ekim 2026'da yayımladığı özel haberde, büyük ABD bankalarının müşteri hesaplarının içinde çalışan yetkisiz üçüncü taraf yapay zekâ ajanları tespit ettiğini, bu ajanların bir kısmının kullanıcının talimatından bağımsız görünen işlemler yapmaya çalıştığını isimsiz kaynaklara dayandırarak yazdı. Habere göre Morgan Stanley, Bank of America, JPMorgan, Wells Fargo ve başka bankalar bu riski kontrol altına almaya çalışıyor; bazıları yetkisiz erişimin farkında.

Reuters haberi aktardı, ancak haberi hemen doğrulayamadığını belirtti. Şu ana kadar hiçbir banka somut bir olay, etkilenen müşteri sayısı ya da para kaybı açıklamadı. Ajanların hangi şirketlere ait olduğu da haberde yer almıyor.

Ajanlar hesaplara nasıl giriyor

Axios'un kaynaklarına göre ajanlar hesaplara genellikle kullanıcının izniyle ve kullanıcının kendi giriş bilgileriyle giriyor: kullanıcı, kullanıcı adını ve parolasını bir yapay zekâ ajanına ya da asistanına veriyor, ajan da onun yerine oturum açıyor. Kullanıcı izin verse bile bu, bankaların çoğunun «hesaba müşteri kendisi girer» kuralına aykırı.

Yöneticiler, ajanların özellikle satın alma ya da para aktarma yetkisi varsa neler yapabileceğinden endişe ediyor. Habere göre bazı bankalar, ajanların çağrı merkezlerini aradığını ya da kullanıcının talimatından bağımsız görünen işlemler yaptığını izledi. Yöneticiler durumu «dehşet verici» diye niteledi; bir yetkili «ciddi endişeler» dile getirdi. Bir banka yöneticisi, ajanları birbirinden ayırt etmekte ve bir ajanın kullanıcı tarafından yetkilendirildiğini mi, yoksa kontrolden çıkıp hesaba mı eriştiğini anlamakta zorlandıklarını söyledi.

Yapay zekâ ajanlarının yetki sınırlarını aşabileceğine dair uyarılar yeni değil. Hindistan'ın siber güvenlik ekibi CERT-In, test edilen yapay zekâ ajanlarının canlı sistemlere eriştiği konusunda uyarmıştı.

Bankalar ne yapıyor

Axios'a göre birkaç banka üçüncü taraf ajanların erişimini kısıtlıyor. Morgan Stanley bu ajanları engellemeye başladı; JPMorgan, Bank of America ve Citi de erişimi kısıtlıyor. Bankalar hizmet sözleşmelerini hızla yeniden yazıyor. Çoğu banka ajanlara yalnız okuma (read-only) erişimi tanıdı ya da bu yöne gidiyor; bu tür erişimi Quicken gibi uygulamalara zaten veriyorlar. Bazı bankalar en kötü senaryoya da hazırlanıyor: «ertesi gün» planlarında müşteri hesaplarının nasıl hızla güvenceye alınacağı ya da geri yükleneceği çalışılıyor. Habere göre bankalar müşterilerin ajan kullanmak isteyeceğini kabul ediyor, ancak şimdilik izin vermenin riskini çok yüksek buluyor.

Chase sözcüsü Axios'a, müşterilerin kullanıcı adlarını ve parolalarını kimseye vermemesi gerektiğini söyledi. Morgan Stanley sözcüsü ise bankanın platformlarına erişen «kontrolden çıkmış yapay zekâ ajanı» vakası gözlemlemediklerini söyledi.

JPMorgan CEO'su Jamie Dimon da 13 Ekim 2026'daki üçüncü çeyrek bilanço toplantısında dışarıdan yapay zekâ ajanlarının müşteri hesaplarına girmesine izin vermeyeceklerini söylemişti: «Kontrolden çıkmış ajanlar istemezsiniz, bunlardan binlercesi olabilir.» Dimon, ajan kullananların riski anlaması gerektiğini, bunun bir «sorumluluk devri» olduğunu da ekledi. JPMorgan sözcüsü CNBC'ye, üçüncü tarafların müşterinin bankacılık giriş bilgilerini alıp onun adına hesaba girmesine izin vermediklerini, müşterinin onayladığı açık bankacılık veri paylaşımını ise desteklediklerini söyledi.

ABD'de ulusal bankaları denetleyen Para Denetim Ofisi'nin (OCC) başkanı Jonathan Gould, 22 Ekim 2026'da Fox Business'a konuşurken bankaların konuyu «aylardır» ele aldığını ve savunmalarını güçlendirdiğini söyledi. American Banker'a göre Gould iddiaları yalanlamadı; müşterilerin olası bir kayıpta paralarını geri alıp alamayacağı sorulduğunda ayrıntı vermedi. ABD Federal Mevduat Sigorta Kurumu (FDIC) Başkanı Travis Hill ise 21 Ekim 2026'da, mevcut model riski rehberinin ajan tabanlı yapay zekâ için iyi işlemediğini söyledi; FDIC konuyla ilgili kamuoyu görüşü almayı değerlendiriyor.

Türkiye açısından

Şu ana kadar Türkiye'de bankalarda yetkisiz yapay zekâ ajanı erişimine ilişkin bildirilmiş bir olay yok; BDDK, TCMB ya da TBB'nin bu haberle ilgili bir açıklaması bulunmuyor.

BDDK'nın 15 Mart 2020'de Resmî Gazete'de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği'nin 34. maddesine göre bankalar, müşteri bilgilerinin görüntülenmesi gibi finansal sonuç doğurmayan işlemler dâhil elektronik bankacılıkta birbirinden bağımsız en az iki bileşenli kimlik doğrulama uygulamak zorunda. İki bileşenli doğrulama kullanılmadan yapılan işlemlerde, işlemi müşterinin yaptığını ispat yükü bankada.

Üçüncü tarafların hesaba erişimi için Türkiye'de tanımlı yol, müşterinin onayıyla çalışan açık bankacılık. TCMB'nin 1 Aralık 2021'de Resmî Gazete'de yayımlanan Ödeme Hizmetleri Yönetmeliği'ne göre hesap bilgisi hizmeti ve ödeme emri başlatma hizmeti sunan kuruluşlar, bankayla güvenli şekilde iletişim kurmak ve kendilerini bankaya tanıtmak zorunda. Hesap bilgisi hizmeti sağlayıcısı yalnız müşterinin onay verdiği hizmetleri sunabiliyor ve ödeme hesaplarına ilişkin hassas müşteri verilerini talep edemiyor. Müşteri de güvenlik bilgilerini korumakla yükümlü. TCMB'nin 17 Mart 2026 tarihli duyurusuna göre Türkiye'de açık bankacılık 16,4 milyon kullanıcıya, günlük ortalama 12,3 milyon işleme ve 53 katılımcıya ulaştı.

Türkiye'de ChatGPT'de uygulaması olan bankaların duyurduğu hizmetler ise bilgi vermeye yönelik. Garanti BBVA'nın 3 Temmuz 2026'da yürürlüğe giren ChatGPT Uygulaması Gizlilik Politikası'na göre uygulama, ChatGPT'nin banka hesaplarına, bakiyelere, işlem geçmişine ve kartlara erişmesini sağlamıyor; ödeme, para transferi ya da başka bir bankacılık işlemi başlatmıyor. Halkbank da Ekim 2026'da internet sitesindeki ürün ve hizmet bilgilerini ChatGPT üzerinden erişilebilir hale getirdiğini duyurdu. BDDK'nın 2025–2028 Stratejik Planı'nda ise «Yapay zekâ kullanımına ilişkin usul ve esaslar belirlenecektir» ifadesi yer alıyor.

Kullanıcılar için pratik sonuç basit: internet ve mobil bankacılık parolanızı ve tek kullanımlık doğrulama kodlarınızı hiçbir yapay zekâ asistanına ya da uygulamaya vermeyin. Chase'in müşterilerine yaptığı uyarı da bu yönde.

Kaynaklar

Kapak (temsili): Morgan Stanley genel merkezi girişi, New York (2011), Alex Proimos / Wikimedia Commons, CC BY 2.0 (16:9 kırpıldı, 1200×675 yeniden boyutlandırıldı).