Bankalar, müşterilerinin kendilerine verdiği kimlik bilgileriyle giriş yapan ajanları şimdiden engelliyor. JPMorgan, bu işi doğru yapmanın bir yolunu geliştirirken, para transferi gerçekleştiren paylaşımlı kimlik bilgisi hizmetlerini engellediğini açıkladı.
Bir ayrışma dönemine giriyoruz. Bazı işletmeler ajanlar için bir ön kapı inşa ederken, diğerleri onların içeri girmesini sağlayan yolları tıkıyor. Walmart kısa süre önce bir geliştirici betasıyla başlayan ve harcama limitleriyle gelecek ay kullanıma sunulacak Ajan Profilleri'ni içeren MCP tabanlı bir Agent Gateway (Ajan Geçidi) duyurdu.
Meta'nın kazanç çağrısında Zuckerberg, alışverişin Muse'un en yaygın kullanım senaryosu olduğunu ve ortalama satın alma tutarının 200 doları aştığını söyledi. Bu kesinlikle bir finans problemi ve bunu çözmenin ödülü devasa.
David Sacks, bankaların müşterilerin verebileceği, sınırlandırabileceği ve iptal edebileceği erişimi desteklemesi gerektiğini savunuyor. Yön konusunda ona katılıyorum. Daha zor olan soru ise bunun nasıl yapılacağı.
Ajanınız, bankanızın gözünde devasa bir dolandırıcılık ve sorumluluk sorununa benziyor.
Giriş bilgilerimi paylaşmak, bankaya hangi ajanın bunları kullandığını, ondan ne istediğimi veya yapılan işlemin talimatımla eşleşip eşleşmediğini söylemez. Bir müşteri, bir ajanın deneyeceği her şeyi onaylamadan erişime izin verebilir.
İçimden bir harita çizmek geliyor.
Dört katman var: Giriş, Kimlik, Araçlar ve Niyet.
1. Giriş: ajana desteklenen bir giriş yolu verin.
Personal Agent Protocol yani PAP (artık Poppy olarak anılıyor), bir işletmeye ajanların onunla nasıl etkileşime geçebileceğini yayınlaması için bir yol sunar: nereye giriş yapılacağı, hangi arayüzlerin sunulduğu ve ne tür bir erişim izni verileceği.
Ajanım bu bilgiyi keşfeder ve desteklenen bir oturum açma akışını kullanır. Ben erişimi onaylarım; işletme nelere izin vereceğine karar verir. Bu erişim sınırlandırılabilir ve iptal edilebilir. Bank of America ve Wells Fargo tasarım ortaklarıdır; bu da ajanımın yarın onların bankacılık uygulamalarını kullanabileceğine söz verdikleri anlamına gelmiyor, aksine bu süreci şekillendirmeye yardımcı olduklarını gösteriyor.
Visa'nın Trusted Agent Protocol'ü (TAP), bir alışveriş ajanının imzalanmış bilgilerle kendini tanıtmasına olanak sağlar: "Ben Visa'nın programı aracılığıyla onaylanmış bir alışveriş ajanıyım, bu müşteri için alışveriş yapıyorum ve ödeme şu şekilde yapılacak." Satıcı, işleme devam etmesine izin vermeden önce bu bilgileri kontrol edebilir. Yine de satın almayı benim onaylayıp onaylamadığımı kontrol etmesi gerekir.
Web Bot Auth, web sitesinin ajanı kimin çalıştırdığını doğrulamasını sağlar. Kendinize "Muse" demeniz yeterli değildir; web sitesi, isteğin imzasını operatörün yayınladığı anahtarla karşılaştırarak kontrol eder. TAP, alışveriş ajanları için bu yaklaşımı kullanır.
Bunlar birbirini tamamlayan unsurlardır: "hey, ben bir botum, iyi niyetli bir botum ve bir şey yapmak istiyorum."
2. Kimlik: hizmetin ihtiyaç duyduğu kanıtı sunun.
Proof'un x401'i, hizmetin ajanın arkasındaki kişi hakkında kanıt talep etmesini sağlar. Banka neye ihtiyacı olduğunu söyler, ajan bir kimlik bilgisi sunar ve banka bunu kontrol eder. "Ajanım benim Simon olduğumu söylüyor" sadece bir iddiadır; güvenilir bir düzenleyiciden gelen imzalı bir kimlik bilgisi buna kanıt niteliği kazandırır.
Doğrulanabilir Sunumlar için OpenID (OpenID4VP), cüzdanın bu kimlik bilgisini nasıl sunduğunun yöntemidir. x401 kanıtı ister; OpenID4VP ise onu teslim etmeye yardımcı olur.
FIDO standartları passkey'lerin temelini oluşturur. Benimkileri yüzümle, parmak izimle veya cihaz PIN'imle açarım ve cihazım hizmetin kontrol edebileceği bir imza gönderir. Biyometrik verilerim cihazımda kalır. Bu, ajanıma şifremi vermeden beni doğrular; ancak tek başına yasal kimliğimi tesis etmez.
Mevcut bir banka müşterisinin yalnızca kimlik doğrulaması yapması gerekebilir. Yeni bir müşteri veya kısıtlı bir hizmet, doğrulanmış kimlik veya uygunluk da isteyebilir.
3. Araçlar: ajana net bir işlem verin.
MCP, bankanın bir ajanın neler yapabileceğini ve bunları nasıl talep edeceğini tanımlamasını sağlar. "Bir kartı dondurmak için bu aracı çağır ve bana kart kimliğini ver." Ajan kimliği gönderir; banka bir sonuç döndürür.
WebMCP, tarayıcı üzerinden yapılandırılmış araçlar sunar; böylece ajan hangi butona tıklayacağını tahmin etmek yerine doğrudan kart dondurma aracını kullanabilir. Bir API doğrudan bir yazılım arayüzü sağlar. MCP bir işlemi tanımlayabilirken, API altta bu işi gerçekleştirir.
Agent2Agent (A2A), ajanımın bir görevi işletmenin ajanına devretmesini ve ilerlemesini takip etmesini sağlar. Ancak bu görevi benim yetkilendirdiğimi kanıtlamaz.
Tarayıcı, öngörülebilir gelecekte ajanların birçok hizmete ulaşma biçimi olacak. Mevcut olan bu olduğu için sayfalar arasında tıklamalarla ilerleyecekler ve beklenmedik bir açılır pencere tüm işi bozabilir.
Erişimi yine de işletme kontrol eder. Bir "para transferi" aracını keşfetmek, ajanıma hesabımı boşaltma izni vermez.
4. Niyet: eylemi onayladığım şeyle eşleştirin.
Telefonunuzu bulamadığınızda hissettiğiniz o mide bulantısı hissi yeterince kötüdür, bir de her bankayı tek tek aramak zorunda kalmak cabası. Ajanımın kartlarımı dondurmasını ve cihazı kilitlemesini istiyorum. "Kartımı dondur" demek, bakiyemi transfer etme veya hesap bilgilerimi değiştirme izni değildir.
Bir satın alma işlemi ek koşullar getirir. Ajanımdan bir otel rezervasyonu yapmasını istersem, "uygun" demek; 25 lbs üzeri serbest ağırlıklar, mini buzdolabı ve seyahat planları son anda değişebildiği için ücretsiz iptal hakkı anlamına gelir. Belirli tarihler için, ücretler dahil gecelik 200 dolara kadar tek bir odayı onaylayabilirim.
Onay sadece bir adımdır. Ardından hizmeti alan tarafın, gerçek rezervasyonu bu koşullarla eşleştirmesi gerekir. Ekstra 60 dolarlık ücreti olan 190 dolarlık bir oda limitimi aşar. Ödemeyi imzalamak da otelin istediğim spor salonuna sahip olduğunu kanıtlamaz.
x401 ayrıca imzalı bir eylem de talep edebilir. Koşulları cihazımda inceler, onaylarım ve hizmet ilerlemeden önce imzalı yanıtı kontrol eder. Sağlayıcının desteklediği durumlarda bu, ödemelerin yanı sıra hesap değişikliklerini ve belgeleri de kapsayabilir.
Mastercard'ın Verifiable Intent'i, işletmeye benim iznimle ajanın satın alımını birbirine bağlayan imzalı bir kanıt sunar. Ajanın sözüne güvenmek yerine, imzaların ve işlemin limitlere uyup uymadığını kontrol eder.
Google'ın AP2'si, yetki (mandate) olarak adlandırılan ödeme izni ve ödeme bağlantılarını birbirine bağlar. Satıcı ajanın ne satın alabileceğini kontrol eder; ödeme sağlayıcısı ise bu ödeme için benim ödeme yöntemimi kullanıp kullanamayacağını denetler.
Visa Intelligent Commerce ödeme talimatları ve kontrolleri sağlar. Bir talimatı doğrularım; ajan ödeme kimlik bilgilerini talep eder ve Visa, talebi ve satıcının ödemesini bu talimatla karşılaştırarak kontrol eder. TAP ajanı tanımaya yardımcı olur; bu kontroller ise ödemeyi yönetir.
Avrupa'nın Güçlü Müşteri Kimlik Doğrulaması (SCA) faydalı bir kademe atlama karşılaştırması sunar: ilgili uzaktan ödemelerde onay, tutara ve alıcıya bağlıdır. Ancak bu bize, kayıp telefon senaryosunun tamamı için evrensel bir izin sağlamaz.
İşletmenin yine de evet demesi gerekiyor.
Sonuçta tüketicilerin, ajanların ne yaptığı üzerinde kontrole sahip olması gerekir.
Evet, her banka yine de kendi hizmetine erişim izni vermek zorundadır. Benim talimatım, banka adına izin veremez. Tüm bunlara yönelik protokoller mevcut, sadece birbirlerine entegre edilmeleri gerekiyor ve ajanın bu sonuçları raporlaması lazım ki neyin korunduğunu, neyin hâlâ ilgi gerektirdiğini bileyim.
Risk iştahınız farklı olabilir.
Birkaç yüz doların altındaki satın alımlarda bir ajanın işini yapmasına izin vermekten memnuniyet duyarım. Ama bunun ötesinde, benimle iletişime geçmesini ve bir şeyler yapan bilinen bir ajanın denetim izini bırakmasını isterim.
Eğer elimizde şunlar olursa:
- Tüketici izinleri (niyetler aracılığıyla)
- Ajan üreticilerinin ve insanların kimlikleriyle bağlantılı.
- İşletmelerden ve bankalardan izin talep edebilen
- Ve ardından tüm bunlar için bir denetim izi bırakan
O zaman artık izinsiz çalışan daha fazla ajanımız olmaz.
Tabii ki sorun şu ki, "izinli" olmak genellikle "ücretli" olmak anlamına gelir. JPMorgan ve Plaid'in veri erişim anlaşması halihazırda fiyatlandırmayı içeriyor ve bu anlaşmanın detaylarına inmek neredeyse on yıl sürdü.
Bankaların Meta'dan daha fazlasını almak için direnmeyeceğini mi düşünüyorsunuz?
Yıllarımızı müşterilerin doğru butonlara tıklamasını kolaylaştırmakla geçirdik. Şimdi ise ajanları bir talimatla çıkageliyor.
Yetkisini kanıtlamasını ve işi bitirmesini mümkün kılmamız gerekiyor.
Ve bu, bankaların süreç boyunca para kazanacağı anlamına gelebilir.
Bu yazıyı beğendiyseniz, brainfood.xyz adresinde yazıyorum - bize bir göz atın :)
