美國銀行（Bank of America）執行長 Brian Moynihan，美國時間 10/14 公布第三季財報後接受《CNBC》專訪時透露，為了修補 Anthropic 的 Mythos 等先進 AI 模型揭露的軟體漏洞，銀行第二季加派了 1,000 名外部承包商，與原有的 3,000 名內部員工一起作業。《CNBC》指出，這是美國大型企業最早具體說明為防範 Mythos 投入多少人力與資金的案例之一。
AI 找出漏洞的速度愈來愈快，但找到之後，修補、測試與部署仍需要大量人力與流程配合。當「發現」不再是最難的一步，企業該如何補上修補的量能？
美國銀行加派 1,000 名承包商，執行長：這是真實風險
Mythos 是 Anthropic 今年 4 月推出的 AI 模型，推出時只開放給少數銀行、科技公司與政府機構使用。Moynihan 表示，美國銀行今年稍早動用數千名員工與外部人員，緊急強化大範圍的內部程式碼與供應商程式碼。
「這是真實的風險，所以當這些前沿模型出現時……我們很多人坐下來討論：『要怎麼盡快度過這一關？』」Moynihan 告訴《CNBC》記者 Leslie Picker。他說：「我們在第二季投入 1,000 名承包商協助修補工作，這些人到今天都還在，加上我們在這個領域原有的 3,000 人。」
在當天稍早的財報電話會議上，Moynihan 向分析師補充，這 1,000 人是以顧問身分加入，不計入員工編制。他也表示，第三季在軟體修補，以及反洗錢合規相關的監管問題上，合計花費「兩億多美元」；兩項支出各占多少，他沒有拆分說明。
美國銀行同日公布財報，受反洗錢相關和解金拖累，當季獲利下滑 17%，股價盤中一度重挫逾 8%。Moynihan 也試著安撫投資人，強調支出增加是暫時的：「一旦修補完成，需要修補的就會變少……整個流程會逐步消化。」他表示，銀行預期修補成本會隨時間下降。
AI 找漏洞變快，瓶頸從「發現」移到「修補」
《CNBC》分析，Moynihan 的說法也凸顯 AI 的兩面性：AI 能提升生產力、幫企業省錢；但 Mythos 這類模型能找出、甚至利用存在數十年的舊軟體漏洞，也迫使企業投入昂貴的防禦行動。
這股壓力在今年 5 月就已浮現。據《Reuters》報導，美國銀行業當時正趕著修補 IT 系統的弱點，Mythos 可找出數百到數千個風險等級為低到中度的漏洞；有些過去可能要等幾週才修補的漏洞，銀行現在要在幾天內完成。工作量增加，也可能讓銀行更頻繁地讓系統離線。資訊服務公司 Incedo 共同創辦人暨執行長 Nitin Seth 表示：「這是一記警鐘，因為資安風險正以機器的速度發展，而銀行大部分的防禦措施仍僅以人類的速度運作。」
資安業者 Suzu Labs 資深總監 Jacob Krell 在提供給科技部落格《The IT Nerd》的評論中，把這個轉變說得更直接：「美國銀行的 1,000 名修補承包商，證實了我一直以來的看法：瓶頸已經從找出漏洞，移到了修補漏洞。」他認為，Mythos 這類 AI 模型揭露弱點的速度，比任何銀行修補的速度都快，因此修補量能成了稀缺資源。
Black Hills Information Security 負責人 John Strand 也指出：「找到更多漏洞，就會替負責修補的人帶來更多工作。」
大型銀行怎麼因應？組專隊、找外部協作，監管機關也給時間
美國銀行不是唯一動起來的銀行。據《Bloomberg》 5 月報導，取得 Mythos 使用權的大型銀行，包括摩根大通（JPMorgan）、摩根士丹利（Morgan Stanley）與高盛（Goldman Sachs），都組成了保密團隊專門處理；許多銀行也直接與美國聯邦情報機關合作，掌握威脅樣貌。其中，高盛與資安廠商合作，摩根大通則與同業和廠商合作。
摩根大通執行長 Jamie Dimon 在《Bloomberg TV》上表示：「我想，我們現在有數百人全職在處理這件事。這是很嚴肅的工作。」到了 7 月，據《Bloomberg Law》報導，Dimon 再度示警，形容廣泛開放 Mythos 帶來的風險是一個「真正的問題」。
監管機關也在調整步調。據《Bloomberg》報導，美國聯準會（Federal Reserve）與美國貨幣監理署（OCC）暫緩了部分針對最大型銀行的資安檢查，讓銀行有時間強化系統，抵禦最新 AI 模型揭露的網路威脅；知情人士表示，檢查時程延後，不等於監管放鬆。
大型銀行也開始拉小型銀行一把。據《Reuters》報導，大型銀行會協助提醒小型銀行，但小型銀行面臨成本負擔，也缺乏使用這個模型所需的運算能力。一名知情人士表示，快速測試 Mythos 等 AI 產品，已是新常態。
用外包補上修補量能，企業還要守住哪些風險？
不過，向外找人手補量能，本身也有代價。Krell 指出：「用這種方式補充修補量能，會帶來新的曝險。」他認為，一家銀行的漏洞清單，「實際上就是一份攻擊目標清單」，清楚標示出內部軟體與第三方供應商程式碼中，防禦最薄弱的地方。
Krell 估算，1,000 名外部承包商，大約等於每 3 名既有資安人員就搭配 1 名承包商；把漏洞清單交給他們，等於把銀行最敏感的營運情資，交給人資控管、監控與懲處機制之外的人。他認為，銀行可以說承包商遵守和員工相同的資安規範，但如果缺少員工等級的端點紀錄與存取監督，這樣的說法無法驗證。
因此，Krell 建議釐清 3 件事：承包商會待多久、離職程序怎麼做，以及由誰稽核他們對即時漏洞資料的存取。他說：「待修補的積壓會逐漸減少，但這類第三方風險，會比這 1,000 名承包商交出的任何一個修補都更持久。」
Strand 則提醒，修補漏洞不是一場找彩蛋的遊戲：「把彩蛋全部找出來、放進籃子，就結束了。軟體不是這樣運作的。」他說：「我們不可能找出所有問題、修好所有問題，然後一切就沒事了。這是持續性的工作。」這和 Moynihan 預期修補需求會逐漸減少的看法，形成不同的觀察角度。
另一方面，AI 也正在替美國銀行省錢。Moynihan 在財報電話會議上表示，銀行約有 130 個內部 AI 專案，相關節省金額預計從今年的 3 億美元，增加到 2027 年的 7 億美元。
同一家銀行，一邊用 AI 提升效率，一邊投入上千人修補 AI 揭露的漏洞。當找漏洞的速度不再是限制，對企業而言，資安的課題，也從「能不能找到漏洞」，延伸到「能不能補得夠快、補得安全」。
【推薦閱讀】
◆ 【AI 驅動的 vibe hacking】漏洞數量已找不完，企業資安計畫重點轉向驗證漏洞「可利用性」
＊本文開放合作夥伴轉載，資料來源：《CNBC》、《Reuters》、《Bloomberg》、《Bloomberg Law》、《The IT Nerd》、《Benzinga》，首圖來源：Unsplash
