Yapay zekâ ajanı kimliği: Her şirketin atladığı soru

Kısa cevap: şirketinizde bir yapay zekâ ajanı çalıştırdığınızda, tıpkı bir çalışanın hesaba ihtiyaç duyması gibi, onun da kendine ait bir kimliğe ihtiyacı vardır. Bugünkü yaygın uygulama — ajanın sistemlerinize ulaşabilmesi için içine statik bir API anahtarı gömmek — yapabileceğiniz en tehlikeli şeydir; çünkü bu anahtarın süresi hiç dolmaz, onu kimin kullandığını kimse bilmez ve gerektiğinde hızla iptal edilemez. Doğru yaklaşım, her ajana kayıtlı bir kimlik, sınırlandırılmış yetkiler ve süresi otomatik olarak dolan kısa ömürlü token'lar vermektir.

Dünyanın en büyük kimlik yönetimi sağlayıcılarından biri olan Okta, 24 Ağustos 2026'da Agent SSO adlı yeni bir özellikle tam olarak bunu duyurdu. Fikir yüzeyde basit görünse de sonuçları derindir: yapay zekâ ajanını şirket dizininde, insan çalışanların yanında birinci sınıf bir kimlik olarak kaydetmek; böylece erişim verme, izleme ve iptal etme konusunda aynı araçlara tabi olmasını sağlamak.

Bu soru neden şimdi acil hâle geldi

Son iki yılda kurumsal yapay zekâ, "soruları yanıtlayan bir bot"tan "işi yapan bir ajan"a dönüştü. Bugünün ajanı CRM'inizi açıyor, siparişleri okuyor, bir stok kaydını güncelliyor, bir müşteriye mesaj gönderiyor ve hatta bir fatura hazırlayabiliyor. Bu adımların her biri, gerçek veriler barındıran gerçek bir sisteme giriş yapmak anlamına geliyor.

Sorun şu ki, çoğu şirketin güvenlik araçları tek bir varsayım üzerine kurulmuştur: sistemlere giriş yapanın bir insan olduğu. Okta'nın duyurusunda aktardığı çarpıcı bir rakam bu açığı özetliyor: kuruluşların yalnızca %34'ü yapay zekâ ajanlarına, insan çalışanlara uyguladığı güvenlik kontrollerinin aynısını uyguluyor. Başka bir deyişle, şirketlerin kabaca üçte ikisi sistemlerinde aynı düzeyde yönetişim olmadan çalışan otomatik varlıklar barındırıyor.

Bir ajanın net bir kimliği olmadığında sorunlar üst üste biner ve hepsi aynı türdendir: işinizde kaç ajanın çalıştığını bilmezsiniz, her birine kimin yetki verdiğini bilmezsiniz, bir denetçinin basit sorusunu — "bu işlemi kim yaptı?" — yanıtlayamazsınız ve rotasından çıkmış bir ajanı durdurmak için basabileceğiniz tek bir düğmeniz yoktur.

Agent SSO gerçekte ne yapıyor

Hizmet, bilinen OAuth standardının bir uzantısı olan Cross App Access (XAA) adlı açık bir protokol üzerinde çalışıyor; bu protokol, ajanlar ile sistemler arasındaki ortak dil hâline gelen MCP için resmî kurum tarafından yönetilen yetkilendirme uzantısı olarak benimsendi. Kısacası, bu protokolü destekleyen bir yapay zekâ ajanı iş uygulamalarınızdan birine bağlanmaya çalıştığında şunlar olur:

  • Kayıt: ajan, şirket dizininde anonim bir anahtar olarak değil, adı olan bir kimlik olarak kaydedilir.
  • Yetkilendirme: bir yapılandırma dosyasında duran statik bir anahtar yerine, süresi otomatik olarak dolan kısa ömürlü bir erişim token'ı alır.
  • Yönetişim: bir yönetici, ajanın yetkilerini çalışan yetkileri için kullanılan aynı konsoldan yönetir.
  • Anında iptal: davranış yanlış göründüğü anda ajanın erişimi tek bir işlemle kesilebilir.

Dikkat çekici olan, Okta'nın Agent SSO'yu ek ücret olmadan temel tek oturum açma teklifinin bir parçası yapmasıdır; bu, onu premium bir özellik olarak satmak yerine bu modelin bir standart olarak yayılmasını istediğinin işaretidir. Duyuruda bu yaklaşım üzerinde birlikte çalıştığı şirketler de anıldı; aralarında Anthropic, Atlassian, Slack, Notion, Datadog ve Figma var.

Yeni kural: şirketinizde çalışan her yapay zekâ ajanının bir adı, ondan sorumlu bir insan sahibi, sınırlandırılmış yetkileri ve bir son kullanma tarihi olmalı. Tıpkı bir çalışan gibi.

Bu, Suudi Arabistan'daki bir işletme sahibi için ne anlama geliyor

Krallığın Yapay Zekâ Yılı ilan ettiği bir yılda şirketler, yapay zekâ ajanlarını müşteri hizmetlerine, satışa ve operasyonlara hızla yerleştiriyor. Pilot aşamadan gerçek üretime geçiş de tam olarak kimlik ve yetkilerin teknik bir ayrıntı olmaktan çıkıp temel bir kaygıya dönüştüğü noktadır.

İşin bir de düzenleyici boyutu var. Kişisel Verilerin Korunması Kanunu (PDPL), bir kuruluşun kişisel verilere kimin ve hangi amaçla eriştiğini kontrol etmesini ve bunu denetimde kanıtlayabilmesini şart koşar. Yapay zekâ ajanınız müşteri verilerini belirli hiç kimseye ait olmayan paylaşılan bir anahtarla okuyorsa, "bu verilere kim erişti?" sorusunu fiilen yanıtlayamazsınız — ve bu yalnızca teknik bir zayıflık değil, bir uyumluluk açığıdır.

Bugün başlayabileceğiniz pratik adımlar

Başlamak için küresel bir platforma ihtiyacınız yok. Aynı ilkeler, düzgün kurulmuş her iç sistem için geçerlidir:

  • Ajanlarınızın envanterini çıkarın: bugün sistemlerinize bağlı her yapay zekâ aracını listeleyin — sayı sizi şaşırtacak.
  • Her ajana ayrı bir hesap: bir çalışan hesabını ya da genel amaçlı bir anahtarı asla birden fazla araç arasında paylaşmayın.
  • En az yetki: ajanın yalnızca okuması gerekiyorsa, ona değiştirme veya silme yetkisi vermeyin.
  • Kısa ömürlü token'lar: kalıcı anahtarları, süresi dolan ve otomatik olarak yenilenen token'larla değiştirin.
  • Eksiksiz bir denetim izi: ajanın gerçekleştirdiği her işlem; adı, zaman damgası ve etkilenen sistemle birlikte kaydedilir.
  • Bir insan sahibi: her ajanın, yetkilerini düzenli olarak gözden geçiren ve onu durdurabilen sorumlu bir çalışanı vardır.
  • Hassas işlemler için insan onayı: finansal transferler, veri silme ve toplu müşteri mesajları bir insan kontrol noktası gerektirir.

Origami'de bu konuya nasıl bakıyoruz

Bir müşteri için özel bir sistem kurup ona bir yapay zekâ ajanı bağladığımızda, o ajana ilk günden itibaren yöneticinin anahtarıyla çalışan bir betik gibi değil, hesabı, yetkileri ve kaydı olan bir kullanıcı gibi davranıyoruz. Bu basit mimari karar, müşteriyi ileride yeniden inşa zahmetinden kurtarır ve sistemi, bir denetçinin ilk sorusunda ya da ilk güvenlik olayında yamalamak yerine, en baştan denetime hazır hâle getirir.

Okta'nın duyurusu önemlidir, çünkü eskiden tek tek geliştiricilerin takdirine kalmış bir kararı, büyük araç sağlayıcıları tarafından desteklenen bir sektör standardına dönüştürür. Bugün bu temel üzerine inşa eden herkes, bir iki yıl içinde temel gereklilik hâline gelecek olanla kendiliğinden uyumlu olacaktır.

Sonuç olarak: şirketinizdeki yapay zekâ artık kullandığınız bir araç değil, sizin adınıza hareket eden bir taraftır. Ve sizin adınıza hareket eden her tarafın bir kimliğe ve net sınırlara ihtiyacı vardır — aksi hâlde göremediğiniz bir riski yönetiyorsunuz demektir.

Kaynaklar