Tam da KYC'yi anladık derken, bir de KYA mı çıktı şimdi ?

Yine yeni yeniden ajanlar 🕵️

YZ kullanımının, makine öğrenmesi ve generative teknolojilerin ilerlemesi ve bu teknolojilere erişimin artmasıyla birlikte, giderek daha sık duymaya başladığımız ajanlar.

Aslında yapay zekanın özellikle dil modelleri ve generative kısmı daha fazla insanın kullandığı teknolojiler olsa da, ajanlar da düşünüldüğü kadar uzak konular değil. Bugünkü teknoloji ajanlar için yeterli, finansal pek çok işlemi bizim yerimize yapabilir durumdalar.

Ama ya sonrası? Herkesin bir ya da daha fazla ajanının olduğu, ödemelerden al-sat dünyasına kadar farklı işlemlerin farklı ajanlarca sizin benim adımıza yapıldığı, bana göre yakın gelecekteki bir dünyayı düşünelim.

Emin olun bu dünya çok uzak değil ve aslında kısa bir süre sonra mobil bankacılık uygulaması kullanır gibi kendi adınıza ajanlar açıp çalıştıracaksınız.

Fakat dünyada insandan daha çok ajan olması demek, orkestrasyon, koordinasyon gibi konuların yanı sıra çok önemli bir konuyu daha gündeme taşıyor : Güvenlik

Bunu yapılan işlemin güvenliği, izinin sürülebilmesi, hangi ajanın ne düşünerek yaptığının bir kenarda kaydının olması ve aslında o ajanın yaptığı işlemlerin sorumluluğunun kimde olduğu gibi düşünebilirsiniz.

Yani bir uygulama üzerinden ödemeleriniz için aktif ettiğiniz bir bankadan diğerine para gönderip, orası üzerinden de ödemelerini yapan bir ajan ya ödemeyi yapmazsa, ya da yanlış yere yaparsa, ya da ajan ele geçirilirse ve sizin onay vermemiş olduğunuz işlemleri yapmanın da bir yolu bulunursa gibi gibi konular.

Türkiye’de çok uzun zamandır kullandığımız, dünyada da yavaş yavaş trend haline gelen “dijital/mobil bankacılık” borsa uygulamaları gibi yerlerde birkaç senedir çokça kullanılan sistemler “KYC- Know Your Customer” adı altındaki sistemler. Online bankada hesap açarken selfie çekiyor, ya da whatsapp/facetime/banka uygulaması üzerinden bir görevli ile canlı görüşüyor, kripto borsasına giriş yaparken ise kimlik belgesi yüklüyorsunuz. Seyahat uygulamasında kart kaydederken bir fatura ya da e-devlet çıktısı ile adres doğrulaması yapıyorsunuz. KYC, “Müşterini Tanı” süreci, finansın dahil olduğu tüm dijital süreçlerin, hayatın rutini, vazgeçilmez bir parçası. Kara para aklamanın, dolandırıcılığın, terör finansmanının önüne geçmek için geliştirilen bu sistem, merkezi yapılar üzerinden kimin ne yaptığını takip etmenin standart yolu haline geldi ve dünyanın her yerinde kullanılıyor.

Şimdi aynı soru, çok daha karmaşık bir varlık için soruluyor: Bizim adımıza işlem yapan ama kim olduğunu bilmediğimiz ajanlar.

KYC neden var? Çünkü merkezi sistemler (bankalar, borsalar, kripto borsaları) hesap sahibini, altyapısını kullananı bilmek zorunda.

Protokoller ve akıllı kontratlar dünyası olan blokzincirler/Web3 ise farklı bir yerden kuruldu: anonimlik, merkeziyetsizlik, kimlik sormayan, gerek duymayan bir dünya. O denklem hiç kurulmadı.

Ama YZ ajanları bu iki dünyanın ortasında bir yerde duruyor.

Adımıza işlem yapıyorlar. Ödeme yapıyorlar. Geçen ay bir ajan, insan müdahalesi olmadan ABD’de şirket kurup IRS’ten vergi kimlik numarası alan ajandan bahsetmiştim; ClawBank’ın “Manfred” isimli ajanı.

Bu tablonun güvenlik tarafı biraz rahatsız edici duruyor: Darktrace’in 2026 raporuna göre güvenlik yöneticilerinin yüzde 92’si ajan güvenliğinden endişeli, ama yalnızca yüzde 37’sinin bu konuda resmi bir politikası var. Sorumluluk nerede, kim hesap verecek?

İki farklı dünya iki farklı cevap geliştiriyor.

Merkezi yönetilen gerçek dünya :)

Mastercard’ın Nisan 2025’teki duyurusunda şunu söylediler: “Bugünün ödeme sistemleri yapay zeka ajanlarının işlem yapması için tasarlanmadı.” Agent Pay bu boşluğu kapatmak için geldi. Microsoft, IBM, Braintree ve Checkout.com ile ortaklık kurarak geliştirdikleri sistemde her ajana bir “Agentic Token” atanıyor; kartın sahibi, ajanın kimliği ve yetkinin kapsamı tek bir kriptografik belgeye bağlanıyor. Ajan ödeme yaparken bu token, ağ tarafından doğrulanıyor; ajanın kim adına, ne kadar, ne için işlem yapabileceği önceden tanımlanmış kurallarla denetleniyor.

Visa’nın Trusted Agent Protocol’ü farklı bir mimari seçti: token içine gömmek yerine her işleme ayrı bir “onay başlığı” ekliyor — ajan kimliği, insan onayı ve işlem niyetinin üçü birden imzalanarak her ödemeye ekleniyor. İki sistem de mevcut kart altyapısının üzerine inşa edilmiş, onu değiştirmiyor.

Merkeziyetsiz ve dijital olan dünya

W3C — HTML’i, CSS’i standartlaştıran, internetin kural koyucusu — DID (Decentralized Identifier) standardını v1.1 ile güncelledi. “Dijital pasaport, ama devlet değil sen kontrol ediyorsun” diye düşünün: bir DID, bir blokzincire ya da dağıtık bir sisteme kaydedilmiş, sahibinin kendi kontrolündeki bir kimlik belgesi. İnsan için tasarlandı ama ajan kimliğine de uygulanabiliyor.

Ocak 2026’da Ethereum mainnet’te canlıya geçen ERC-8004 ise doğrudan ajanlar için yazıldı. MetaMask’tan Marco De Rossi, Ethereum Foundation’dan Davide Crapis, Google’dan Jordan Ellis ve Coinbase’den Erik Reppel’in birlikte kaleme aldığı bu standart, her ajana zincir üzerinde üç ayrı kayıt açıyor: kimlik kaydı (adı, yetenekleri, servis noktaları), itibar kaydı (geçmişteki performansı, diğer ajanların değerlendirmeleri) ve doğrulama kaydı (bir görevi tamamladığına dair kanıtlar). Bu kayıtlar herkese açık, değiştirilemez ve ajanlar birbirini doğrulamak için bu kayıtlara bakabiliyor.

Bu iki çözüm rakip değil. Farklı ekosistemler aynı soruya farklı cevap veriyor — ve ikisi de gelişiyor.

Merkeziyetsiz dünyanın değiştirilemez, kriptografik çözümleri, ZK (zero knowledge) yaklaşımları yoksa tamamen başka bir teknoloji üzerinden kendilerine gerçek kullanım alanları mı buluyorlar?

Ajanlarımız bizim kimliğimizle mi hareket edecek ? Yoksa hem onların hem bizim onayımız mı söz konusu olacak? Birden fazla ajanım varsa onları birbirinden nasıl ayırt edebileceğim ? sonunda “işlem bitti /Done ✅” yazan ajanın arka tarafta tam olarak neler yaptığını adım adım nasıl görüp geriye doğru izini sürebileceğim?Bu kayıtların değiştirilmediğinden nasıl emin olacağım? Güvenlik bakış açısıyla bu soruların sonu gelmez tabi :)

KYC konusu, insanlar için yıllarca tartışılıp, direnç görerek bugüne geldi. Sonunda bir norm halini aldı. Ajanlar için de bizi benzer bir yol mu bekliyor?

Ve daha da büyük soru ise: Anonimlik felsefesiyle yola çıkan merkeziyetsiz dünyanın kimlik çözümleri gerçek hayatta, tam da aksine bir konuda, çözümde kendilerine yer mi buluyorlar yoksa? Bu durum hem sorunları hem manifestoları nasıl etkileyecek, bekleyip göreceğiz