Meta, 8 Eylül 2026'da Muse adlı yapay zeka ajanını başlattı ve bir ay içinde Jefferies analistleri, büyük Amerikan sitelerinin yaklaşık üçte birinin onu engellediğini, diğer üçte birinin ise kontroller koyduğunu veya sınırlamalar getirdiğini, yalnızca kalan üçte birinin sorunsuz bir şekilde erişim sağladığını bildirdi. Amazon, 21 Eylül gecesi Muse'un erişimini kapattı, eBay, Yelp, Zillow ve havayolu şirketlerinden kullanıcılar, reddedilme şikayetleri aldı ve Fingerprint, 6 Ekim'de Muse trafiğini yüksek bir güvenle tanıyabildiğini duyurdu. Meta'nın ajanının neden bot korumalarına karşı kaybettiğini ve tarayıcıda işlerini otomatikleştiren herkesin bu durumdan hangi dersleri çıkarması gerektiğini inceleyelim.
Muse nedir ve sitelerde nasıl dolaşır
Muse, uzun görevler için kişisel bir ajandır, tek mesajla yanıt veren bir sohbet botu değildir. Kullanıcı, sohbet aracılığıyla bir görev verir, ajan ise siteleri açar, formları doldurur, hesaplara giriş yapar, promosyon kodlarını uygular ve alışverişleri tamamlar. Temel bilgiler:
- Başlangıç: 8 Eylül 2026, başlangıçta yalnızca ABD'de, iOS, Android ve web üzerinde, 18 yaş ve üzeri kullanıcılar için.
- Nerede çalışır: Her kullanıcının Meta'nın bulutunda Chromium tabanlı bir tarayıcı ile kendi sanal makinesi vardır. Ajanın çalışması gerçek zamanlı olarak izlenebilir.
- Fiyatlandırma: ücretsiz bir seviye ve aylık 20$ ve 100$'lık abonelikler.
- Ödeme: Alışverişleri bir kişi onaylar, ancak ajan Link aracılığıyla ödeme yapar — ajanlar için tek kullanımlık kart numarası üreten Stripe cüzdanı.
- Kapsama: Inc.'in verdiği verilere göre Sensor Tower, uygulamanın 2,5 milyondan fazla kez indirildiğini bildirdi.
Meta, Stripe, Shopify, Best Buy, Gap, Sephora, Walmart, Wayfair, Expedia, Instacart, GitHub ve Notion'ı ortakları olarak adlandırdı. Ancak en önemlisi, Muse'un herhangi bir ortaklık olmadan çalışması için tasarlandığıdır: Meta, ajanın API olmadan tarayıcı üzerinden hizmetleri kullandığını, "bir insanın yapacağı gibi" ifade ediyor.
Neden Muse engelleniyor: isimsiz ajan
Kısa cevap: Muse, sıradan bir ziyaretçi gibi davranıyor ve kendini hiçbir şekilde tanıtmıyor. Bot koruma sistemleri için bu en kötü kombinasyon.
Görünür maskeleme
Inc. muhabiri Jason Aten, Muse'un otomasyon belirtilerini devre dışı bırakarak Chrome'u başlattığını, navigator.webdriver özelliğini gizlediğini, sahte tarayıcı eklentisi değerleri koyduğunu ve sayfaları CAPTCHA'lar ve Cloudflare hata kodları için kontrol ettiğini açıkladı. Bu, headless tarayıcılar dünyasından klasik bir "stealth" taktik setidir. Sorun şu ki, bu tür taktikler yalnızca tedarikçiler algılamalarını ayarlayana kadar işe yarar — ve bunu birkaç hafta içinde başardılar.
Fingerprint, 6 Ekim tarihli incelemesinde şöyle ifade ediyor: birçok yapay zeka ajanı kendini user-agent veya Web Bot Auth imzası ile tanıtırken, Muse doğrulanabilir bir kimlik sunmuyor, tarayıcı parmak izini değiştiriyor ve otomasyon bayraklarını bastırıyor. API'lerinde bu tür trafik artık bot_type: "meta_muse" olarak işaretleniyor, kategori ai_agent, güven düzeyi high. Önemli bir detay: Fingerprint, "kötü" etiketini kanıtlanmış zarardan değil, tam olarak beyan edilen kimliğin yokluğundan dolayı koyuyor.
Amazon'un pozisyonu
Amazon, engellemeyi üç sebebe dayandırdı: Meta, ajanın siteye gireceği konusunda önceden bilgi vermedi; Muse, gezinti sırasında kendini tanıtmıyor; ajanın, görünüşe göre, alıcıların kimlik bilgilerini ele geçirebileceği ve saklayabileceği belirtildi. Meta, Muse'un şifreleri ve ödeme bilgilerini görmediğini, hesapların güvenli bir depoda saklandığını yanıtladı. Amazon'daki Muse kullanıcıları artık, yetkisiz bir yapay zeka ajanın erişiminin Kullanım Koşullarını ihlal ettiğini belirten bir uyarı penceresi görüyor. The State of AI'ye göre, Amazon'un koşulları, ajanın her talepte kendini tanıtmasını gerektiriyor.
Amazon'un ajanlarla uzun bir geçmişi var: şirket, Comet ajanı nedeniyle Perplexity ile dava açtı ve bu dava temyize gitti. Hukuki tarafı — CFAA kapsamında "erişim" olarak neyin kabul edildiği — detaylı bir şekilde Amazon v. Perplexity: kim "erişim sağlıyor"? makalesinde ele aldık.
Başka kimler kapıyı kapattı
TechCrunch, 6 Ekim'de Muse kullanıcılarının şikayet ettiği şirketlerin pozisyonlarını topladı:
- Yelp, eğer ajan veri lisanslama programı aracılığıyla erişim için ödeme yapmazsa, insan dışı trafiğe izin vermiyor.
- eBay, tüm alışveriş ajanlarını yasaklamıyor, ancak yetkisiz ajanları, veri kazıma ve model eğitimi konusunda sınırlıyor. İki kullanıcı, eBay'in ajan yapay zekayı kullanmaları nedeniyle hesaplarını engellediğini bildirdi.
- Zillow, tüketicilerin adına hareket eden ajanslara izin veriyor, ancak bot koruma sisteminin bazen onları engellediğini kabul ediyor.
- Delta, üçüncü taraf ajanlarla rezervasyon için bir ortaklığı yok, United ise yazılı izin olmadan robotları yasaklayan koşullara atıfta bulunuyor.
- Walmart — Muse'un resmi ortağı — engellemelerin kasıtlı olmadığını belirtti: ajan "ben bir insanım" kontrol butonuna takıldı.
The Information'ın kurucusu Jessica Lessin, iki günde Muse'un kullanım senaryolarının "yarısının kaybolduğunu" yazdı. Jefferies, yüzlerce e-ticaret sitesi, havayolu şirketleri, seyahat acenteleri, oteller ve rezervasyon hizmetlerini inceledi ve yeni kısıtlamaların "neredeyse her gün" ortaya çıktığını belirtti ve ajans ticaretinin dar boğazının sitelere erişim olduğunu, model kalitesinin değil.
Cloudflare'ın rolü
Reddetmelerin bir kısmı, belirli bir mağazanın kararı olmayabilir. 15 Eylül'den itibaren Cloudflare, yeni alanlardaki reklam sayfalarında ajans trafiğini varsayılan olarak engelliyor ve eski "AI botları engelle" ayarına sahip siteler de aynı politikaya geçirildi. Bu değişiklik hakkında daha fazla bilgi için Cloudflare, reklam sitelerinde AI tarayıcılarını engelliyor makalemize göz atabilirsiniz. The State of AI'ye göre, Ekim ayında Cloudflare'ın AI botları kataloğunda Meta Muse için ayrı bir kayıt oluşturuldu. Cloudflare, TechCrunch'a, kişisel ajanların engellenmesiyle ilgili kesin verileri olmadığını söyledi, bu nedenle kimse doğrudan bir bağlantıyı doğrulamadı — ancak zamanlamadaki örtüşme belirgin.
Sonuç: maskeleme yerine imza
Sektör, "iyi" ajanların gizlenmek yerine kendilerini tanıtacağı bir yöne doğru ilerliyor:
- Web Bot Auth — ajanların her isteği kriptografik olarak imzaladığı ve hangi operatöre ait olduğunu kanıtladığı IETF taslak standardı. Bu tür bir imzayı, user-agent dizesinin aksine, taklit etmek mümkün değil.
- Sektör protokolü ajan — işletme: TechCrunch'a göre, Meta, Walmart, Stripe, Sierra, Genesys, Rocket, NiCE ve Decagon, iyi botları kötü botlardan ayırmak için mağazalarla ajansların iletişimi için açık bir standart geliştiriyor.
- Doğrudan bağlantılar: Meta, Walmart, Best Buy, Wayfair, Sephora, Dick's Sporting Goods ile bireysel olarak anlaşmalar yapıyor — ancak birçok entegrasyon henüz başlatılmadı. Shopify, Muse'un Shop Pay aracılığıyla sipariş vermesini sağladı.
Meta'nın pozisyonu şöyle ifade ediliyor: kişisel bir ajana erişimi reddetmek, arkasındaki müşteriye erişimi reddetmek anlamına geliyor. Mağazalar ise henüz, müşterinin gelip kendisinin yapabileceğini yanıtlıyor.
Bu, tarayıcıyı otomatikleştirenler için ne anlama geliyor
Muse'un hikayesi, Playwright, Puppeteer, tarayıcı kullanımı veya anti-detect tarayıcıları başlatan herkes için gözlemlenen bir testtir. Meta'nın kaynaklarıyla maskeleme birkaç hafta sürdüyse, kendi yazdığınız bir scriptin şansı daha azdır. Pratik sonuçlar:
1. Bayrak maskelemesi — bir strateji değil
Navigator.webdriver ve eklentilerin değiştirilmesi, tutarsızlıklar nedeniyle tespit edilir: tarayıcı parmak izi, TLS el sıkışması ve davranış aynı hikayeyi anlatmalıdır. Eğer belirli özellikleri değiştiriyorsanız ve geri kalan "makine" olarak kalıyorsa, dedektör bir çelişki görür. Tüm profilin tutarlılığı gereklidir, sadece yamalar değil.
2. Bulut VM, IP üzerinden görünür
Muse, Meta'nın bulutundan çalışıyor, yani sıradan alıcıların oturmadığı veri merkezi aralıklarından. Bot koruma sistemleri, tarayıcı parmak izinden önce adresin itibarını değerlendirir. Gerçek bir kullanıcının adına hareket ettiğiniz görevlerde — kendi hesaplarınız, kişisel panelde fiyat izleme, kendi sitenizi test etme — isteklerin, bu kitle için tipik bir adresten gelmesi gerekir. Bunun için konut proxy'leri kullanılır, gerekli ülkenin ev IP'leri veya mobil proxy'ler kullanılır, eğer senaryo mobilse.
3. Hesap, istekten daha değerlidir
eBay durumu gösteriyor ki: yalnızca isteğe değil, aynı zamanda hesaplara da ceza veriliyor. Eğer ajan bir hesaba giriş yapıyorsa, onun için "profil + IP" stabil bir çift tutun — her istek için döngü yerine tek bir adresle yapışkan bir oturum. Oturum ortasında ülke ve sağlayıcı değiştirmek, hesap ele geçirme sinyallerinden biridir.
4. Platform kuralları, teknikten daha önemlidir
Amazon, United ve Yelp, yetkisiz ajanları kullanım koşullarında doğrudan yasaklıyor. Hiçbir proxy, koşulları ihlal etmeyi yasal hale getirmez ve ajanslarla ilgili yasal uygulama henüz şekilleniyor. Eğer platformun resmi bir API'si, ortaklık programı veya veri lisanslama varsa — bu, dedektörle yarışmaktan daha güvenilirdir.
5. Kendinizi tanıtmaya hazırlanın
Uzun vadeli erişim isteyen kamuya açık ajanlar ve tarayıcılar için, bahis imzalı isteklere doğru kayıyor. Bunun teknik olarak nasıl düzenlendiğini, Web Bot Auth ve imzalı ajanlar konulu makalemizde açıkladık.
Sonuç
Muse, modelin yeteneklerine değil, sitelerin kapılarına çarpan ilk kitlesel tüketici ajanı oldu: Amazon engelliyor, eBay hesapları yasaklıyor, Fingerprint ve Cloudflare ona ayrı etiketler koyuyor. Ders evrenseldir. İnsan gibi davranan, ancak bulut IP'si ve ayarlanmış bir tarayıcı ile kendini gizleyen bir ajan kaybeder. Kazanan, ya dürüst bir şekilde kendini tanıtan ve platformla anlaşan ya da gerçek bir kullanıcının adına, tutarlı bir profil, doğru ağdan bir adres ve site kuralları çerçevesinde hareket eden kişidir.