美国银行请来一千名承包商，替 AI 挖出的漏洞打补丁

美国银行请来一千名承包商，替 AI 挖出的漏洞打补丁

二季度增聘千名外部承包商

美国银行（Bank of America）首席执行官布莱恩·莫伊尼汉（Brian Moynihan）在第三季度财报发布后接受 CNBC 采访时说，该行在第二季度"上了 1000 名承包商"来做补丁工作，这些人至今仍在岗。要做的事，是修补自家软件和供应商软件里被先进人工智能模型（包括 Anthropic 的 Mythos）暴露出来的漏洞。

三千自有员工之外再添一千人

莫伊尼汉的原话是，这 1000 人叠在"我们在这个领域已有的 3000 人"之上。CNBC 的表述是：该行新增 1000 名第三方顾问，支持 3000 名内部员工修补自有及厂商软件的缺陷。也就是说，补丁工位从约 3000 人扩到约 4000 人量级，其中约四分之一是外部人员。这是美国大公司第一次有人把"防 Mythos"的人力和钱说清楚。

三季度多掏数亿美元拖累财报

在财报电话会上，莫伊尼汉对分析师说，该行当季在软件修复和反洗钱合规相关的监管事项上花了"两亿多美元往上"，被各家媒体读作超过 2 亿美元。同一份财报显示，美国银行第三季度净利润 69 亿美元、每股收益 0.91 美元，营收 300 亿美元、同比增长 3%，其中包含一笔 12 亿美元、不可税前扣除的监管和解费用，净利润因此同比下滑 17%，终结了连续六个季度超预期的纪录。

四月定向开放的AI漏洞猎手

Mythos 是 Anthropic 在 2026 年 4 月定向发布的模型，没有向公众开放，而是通过"Project Glasswing"计划交给一批银行、科技公司和政府机构使用，用来扫描关键软件里的安全问题。Anthropic 当时称，Claude Mythos Preview 已经找出数千个高危漏洞，其中包括存在于每一款主流操作系统和浏览器里的缺陷。

四个月验证漏洞十二万九千个

数量级才是这份披露真正扎眼的地方。Anthropic 后来公布，参与 Project Glasswing 的机构在 2026 年 4 月至 7 月间确认了 12.9 万个软件漏洞；另有报道提到，该项目第一个月就发现了超过 1 万个高危或严重级别的漏洞，单次扫描曾标出 2.3 万多个潜在问题，多数被评定为低到中危。Quartz 的观察是：过去银行可能拖上几周才处理的修复，到 5 月已经要几天内完成；每家银行发现的漏洞数量从几百个到数千个不等。

摩根大通CEO说风险涨了十倍

摩根大通首席执行官杰米·戴蒙 10 月 6 日在伦敦的 JPMorgan Tech Stars 会议上对彭博电视说："Mythos 之后，AI 带来的风险涨了十倍。"他补了一句："AI 制造了我们原本不知道的漏洞。"摩根士丹利在用 Mythos Preview 强化自己的网络安全基础设施，高盛已经拿到 Mythos 并与 Anthropic 及其安全厂商合作，花旗的简·弗雷泽把 AI 驱动的网络风险列为重点关注项。行业给这股补丁潮起了个名字——"补丁末日"（Patchmageddon）。

监管层四月就把CEO叫到华盛顿

这不是某一家的私事。2026 年 4 月，美国财政部长斯科特·贝森特与时任美联储主席杰罗姆·鲍威尔在财政部召集"系统重要性"银行的 CEO 开临时会议，议题正是 Mythos 及其对全球金融体系网络安全的冲击。英国金融行为监管局 9 月的评估称，前沿 AI 正让机构更快地发现软件与基础设施弱点；欧洲的银行和监管机构则在抱怨，今年拿到的 Mythos 准入太少。

外包吃饱，正式员工一年少三千四

同一份披露里还有另一边：莫伊尼汉说，该行过去一年员工总数减少约 3400 人，并裁掉了约 5% 的管理层，其中有多少能归因于 AI，目前并不清楚。另有报道称该行目前只补上约 75% 的离职岗位。一家银行为补丁临时加人，同时又在整体缩编。

补丁速度追不上发现速度

行业瓶颈已经很清楚：AI 发现问题比人修补问题快。德国 Heise 的报道说，AI 能在几天甚至几小时内找出漏洞，银行不得不补上多年欠下的功课，而开源补丁常常传不到银行手里。美国网络安全和基础设施安全局复盘 2024 至 2025 年漏洞数据也发现，被利用的仍多是内存安全、输入校验、注入、路径穿越、缺失认证这类老问题。

成本见顶预期与七亿节省目标

莫伊尼汉给的是乐观口径：随着补丁做完，修复支出会下降。"一旦补上，就不用一直补了……流水线会走完。"他说。该行同时有约 130 个内部 AI 项目，预期由此省下的钱会从今年的 3 亿美元涨到 2027 年的 7 亿美元。Anthropic 则在 10 月 6 日把 Cyber Verification Program 重组成三档，Mythos 5.1 等模型仍只对经过审查的少数机构开放——这种漏洞发现能力，短期内不会变成人人可用的公共品。