Alışveriş ajanları üzerine konuşulanların çoğu siparişten önceki aşamayla ilgili: ajan ürününüzü bulabiliyor mu, fiyatınızı okuyabiliyor mu, ödeme adımlarından geçebiliyor mu? Bunun bir de sonrası var ve ona daha az bakılıyor. Ajan siparişi gönderdiğinde sipariş, diğer tüm siparişler gibi dolandırıcılık taramasından geçiyor. O tarama ise insanların nasıl alışveriş yaptığına göre kurulmuş durumda.
Son üç haftadaki iki gelişme bu adıma daha yakından bakmayı gerektiriyor. Dolandırıcılık önleme şirketi Forter, ağındaki ajan siparişlerinin ağustos başı ile ekim başı arasında beş kattan fazla arttığını gösteren sipariş verileri yayımladı. Mastercard da 30 Eylül'de bir işlemin yapay zekâ ajanı tarafından başlatılıp başlatılmadığını tahmin eden bir puan duyurdu; amaç, bankaların meşru ajan alışverişlerini şüpheli saymak yerine onaylayabilmesi.
İki gelişme de bir mağazaya tam olarak ne yapması gerektiğini söylemiyor. Ama birlikte okunduklarında şunu gösteriyorlar: ajan siparişleri dolandırıcılık ekipleri için artık varsayım değil ve sektör, mevcut kuralların bu siparişlerin bir kısmını yanlış okuyacağını bekliyor.
Sipariş verileri ne gösteriyor
Forter'ın analizi, 1 Ağustos ile 7 Ekim 2026 arasında satıcı ağındaki ajan siparişlerini kapsıyor. Öne çıkanlar:
- Hacim hızla artıyor. Dönem sonunda ajan siparişleri ağustos başındaki düzeyin 5,3 katına ulaştı. Ağustostan eylüle artış yüzde 24; ilk siparişleri 1 Eylül'de tespit edilen iki ajan da sayılırsa yüzde 48.
- Dağılım birkaç haftada değişti. Ağustos boyunca ajan siparişlerinin her hafta yüzde 82 ile 93'ü OpenAI'dan geliyordu. Forter, Meta'nın Muse ajanının siparişlerini 21 Eylül'de tespit etmeye başladıktan sonra Muse, eylülün son haftasındaki ajan siparişlerinin yüzde 46'sını verdi.
- Siteyi doğrudan kullanan ajanlar öne geçti. Forter, sıradan web sayfalarını okuyup dolduran ajanlara "ekran kazıyan ajanlar" (screen-scraping agents) diyor. Bunların ajan siparişlerindeki payı ağustos başında yüzde 1'di, son haftada yüzde 65'e çıktı. Muse, ajan siparişi alan mağazaların yüzde 74'ünden alışveriş yaptı. Forter bunu, bu tür ajanların her yerden alışveriş yapabilmesine, protokol tabanlı ödeme akışlarının ise yalnızca entegrasyon yapmış mağazalara ulaşabilmesine bağlıyor.
- Sepetler küçük değil. Ortalama ajan siparişi 223 dolardı; ajan siparişlerinin yalnızca yüzde 27'si 50 dolar ya da altındaydı.
Forter sınırları açıkça belirtiyor. Rakamlar yalnızca kendi ağından geliyor; tespit tarihleri, ajanın alışverişe başladığı günü değil Forter'ın onu güvenilir biçimde tanımaya başladığı günü gösteriyor; siparişler de ağırlıkla Kuzey Amerika'da. Aynı verileri inceleyen Opus Research ise rakamların ajan ticaretinin tüm çevrim içi alışverişteki payını ortaya koymadığını ve büyümenin bu hızla süreceğini kanıtlamadığını ekliyor.
Verilerin gösterdiği şu: ajan siparişleri, hiçbir ajanla entegrasyon yapmamış mağazalara, insanların kullandığı ödeme sayfalarının aynısı üzerinden geliyor. Dolayısıyla aynı dolandırıcılık kurallarıyla puanlanıyorlar.
Dolandırıcılık filtresi bir ajanı neden yanlış okuyabilir
Dolandırıcılık araçları büyük ölçüde siparişin arkasındaki kişiye dair sinyallere dayanır: kullandığı cihaz, sitede nasıl gezindiği, her adımda ne kadar kaldığı, davranışının geçmişiyle uyuşup uyuşmadığı. Siparişi bir ajan verdiğinde bu sinyallerin çoğu değişir ya da hiç oluşmaz.
Riskified ve HUMAN Security, Ağustos 2025'te ortaklıklarını duyururken bunu açıkça söyledi: kural tabanlı dolandırıcılık yönetimi, bir yapay zekâ ajanı işlem yaptığında temel davranış sinyalleri ortadan kalktığı için işe yaramayabilir; bu da daha fazla haksız reddedilen siparişe ya da gözden kaçan dolandırıcılığa yol açabilir. Risk iki yönlü. Botları yakalamak için ayarlanmış bir kural gerçek bir müşterinin ajanını engelleyebilir; ajanları serbestçe geçiren bir kural da otomatik kötüye kullanıma kapı açabilir.
Mastercard'ın duyurusu ilk soruna bir örnek veriyor. Bir kişi asistanından bir seyahat planlamasını istiyor; asistan uçuşu, oteli ve ulaşımı tek bir onayla ayırtıyor. Mastercard'a göre farklı satıcılarda art arda yapılan birkaç alışveriş, faaliyet meşru olsa bile ilk bakışta olağan dışı görünebilir.
Mağaza açısından pratik sonuç şu: bazı ajan siparişleri, kimse bir örüntü fark etmeden reddedilebilir ya da elle incelemeye düşebilir. Reddedilen bir ajan siparişi, reddedilen bir insan siparişi gibi şikâyete dönüşmez; ajan büyük olasılıkla başka bir mağazayı dener.
Kart ağları ve sağlayıcılar ne ekliyor
Birkaç girişim, dolandırıcılık sistemlerini tahmin etmeye zorlamak yerine onlara ajan siparişleri hakkında daha iyi bilgi vermeyi hedefliyor.
- Mastercard'ın olasılık puanı. Mastercard'ın yeni Agent Pay hizmetlerinden ilki, ABD'de test amacıyla kullanıma açılıyor: bir işlemin yapay zekâ ajanı tarafından başlatılmış olma olasılığını gösteren bir puan. Mastercard amacın kartı çıkaran bankalara meşru ajan alışverişlerini onaylama güveni vermek olduğunu ve zamanla davranış, satıcı riski, işlem örüntüleri ve kimlik bilgisi riskiyle ilgili sinyaller ekleyeceğini söylüyor. Mastercard ayrıca web ve ödeme sinyallerini birleştirmek için Cloudflare ile, "Know Your Agent" (ajanını tanı) kimlik kontrolleri için de Skyfire ile çalışıyor.
- İmzalı onaylar. Google'ın Agent Payments Protocol'ü (AP2), kişinin ne istediğini ve neyi onayladığını kaydeden imzalı yetki belgeleri (mandate) kullanıyor. Opus Research, bir mağazanın siparişle birlikte saklayabileceği kanıta örnek olarak bunları gösteriyor.
- Ajan kimliği önerileri. Forter, bir ajanı ve arkasındaki tüketiciyle bağını kolayca taklit edilebilen user agent dizeleri ya da paylaşılan IP adresleri yerine kriptografiyle doğrulayan açık bir Trusted Agentic Commerce Protocol önerdi. Bu hâlâ bir öneri; Forter satıcıları ve geliştiricileri geliştirmeye katılmaya çağırıyor.
Bunların hepsi erken aşamada. Mastercard'ın puanı tek bir ülkede test ediliyor ve yukarıdaki kaynakların hiçbiri ajan siparişleri için onay, ret ya da dolandırıcılık oranı yayımlamıyor. Bugün ajan siparişlerinin ne sıklıkla haksız yere reddedildiğini bildiğini söyleyen biri, yayımlanmış kanıtın ötesine geçiyor demektir.
Bir mağaza bugün neyi kontrol edebilir
Bu adımların hiçbiri yeni bir standardı beklemiyor; çoğu, mağazanın zaten kullandığı araçlarla yapılabilir.
- Dolandırıcılık aracınızın son dönemdeki sıra dışı siparişlere ne yaptığına bakın. Son birkaç haftada reddedilen ve elle incelemeye düşen siparişleri gözden geçirin. Ödemeyi çok hızlı tamamlayan, bulut ya da veri merkezi IP aralıklarından gelen veya bir yapay zekâ asistanından yönlendirmeyle gelen siparişler ikinci bir bakışı hak ediyor. Amaç bunların ajan olduğunu kanıtlamak değil; bir kuralın kabul etmek isteyeceğiniz bir örüntüyü engelleyip engellemediğini görmek.
- Ödeme ya da dolandırıcılık sağlayıcınıza doğrudan sorun. Yapay zekâ ajanlarından gelen siparişleri tanıyor mu? İmzalı ya da kayıtlı ajanlara anonim otomasyondan farklı davranıyor mu? Mastercard Agent Pay ya da Visa'nın Trusted Agent Protocol'ü gibi kart ağlarının ajan programlarını destekliyor mu? Shopify, WooCommerce, ikas, Ticimax, IdeaSoft ya da T-Soft kullanıyorsanız yanıt çoğu zaman platformun kendisine değil, mağazanıza bağlı ödeme sağlayıcısına bağlı.
- Toptan kurallardan kaçının. Fare hareketi olmayan ya da veri merkezinden gelen her siparişi reddeden bir kural, giderek daha fazla gerçek müşteriyi yakalayacak. Kendini ajan olarak tanıtan her siparişe güvenen bir kural da aynı ölçüde riskli; çünkü herkes ajan olduğunu iddia edebilir. Ajanların kendilerini nasıl tanıttığını Bot mu, müşteri mi? yazımızda anlattık.
- Kanıtı siparişle birlikte saklayın. Opus Research, ajan sağlayıcılarına hangi yetki kanıtını sunabildiklerini sormayı ve doğrulanabilir her onayı siparişle birlikte saklamayı öneriyor. Bir itiraz gelirse bu kayıt önem kazanır; nedenini Alışveriş ajanı hata yaparsa bedeli kim öder? yazımızda açıkladık.
- Satın almayı değiştirmekten ayırın. Aynı analiz, satın alma yetkisinin teslimat adresini değiştirmeye, muadil ürünü kabul etmeye ya da iade pazarlığı yapmaya kendiliğinden uzanmaması gerektiğini vurguluyor. İadesiz rezervasyonlar ya da yüksek tutarlı ürünler gibi riskli alışverişlerde, ajan benzer bir kanıt sunamıyorsa müşteriden doğrudan onay isteyin.
- Dürüst yolu kolaylaştırın. Net fiyatlar, erkenden gösterilen kargo ücreti ve üye olmadan alışveriş seçeneği, bir ajanın siparişe giderken yaptığı tuhaf görünen tekrar denemeleri azaltır; daha az tekrar deneme de kötüye kullanıma benzeyen daha az örüntü demektir. En sık takılma noktalarını ajan sepeti nerede bırakıyor saha notlarımızda sıraladık.
Sonuç
Ajan siparişleri artık en az bir büyük dolandırıcılık ağında ölçülebilir bir akış; çoğu sıradan ödeme sayfalarından geliyor ve kart ağları, mevcut dolandırıcılık kurallarının bunların bir kısmını yanlış değerlendireceğini öngördükleri için yeni sinyaller geliştiriyor. Yayımlanmış veriler henüz kaç iyi ajan siparişinin reddedildiğini söylemiyor. Bu yüzden akıllıca olan, dolandırıcılık kurallarınızı baştan yazmak değil; insan gibi görünmeyen siparişlere ne yaptıklarını kontrol etmek ve sağlayıcınıza bir müşterinin ajanını bir bottan nasıl ayıracağını sormak.
Specoria, dolandırıcılık kontrolünden önceki adımlara bakıyor: gerçek bir tarayıcı ajanı ödeme adımına ulaşabiliyor mu, nerede duruyor ve hangi sürtünme onun yolunu düzensiz gösteriyor. Ücretsiz hazırlık testiyle başlayabilirsiniz.
Kaynaklar
- Forter, AI Agent Order Data: Agentic Commerce on Forter's Network, 1 Ekim 2026 (8 Ekim 2026'da güncellendi).
- Opus Research, Agentic Commerce Is Starting to Leave a Trail, 7 Ekim 2026.
- Mastercard, Mastercard Advances Agentic Commerce With New Trust and Intelligence Services, 30 Eylül 2026.
- Riskified (Silicon UK aracılığıyla), Riskified Joins Forces with HUMAN to Help Merchants Embrace Trusted AI Shopping Agent Commerce, 13 Ağustos 2025.
- Forter, Proposing a Trusted Agentic Commerce Protocol, 27 Ağustos 2025.
- Specoria, Bot mu, müşteri mi? Alışveriş ajanları mağazaya nasıl kimlik gösteriyor, 6 Ekim 2026.