Bank of America: 4.000 persone per chiudere le falle trovate dall'IA
Bank of America ha assegnato circa 4.000 persone alla correzione di falle informatiche individuate da modelli di intelligenza artificiale, tra cui Mythos di Anthropic. Lo ha raccontato l'amministratore delegato Brian Moynihan, secondo quanto riporta CNBC.
- Bank of America impiega 3.000 interni e 1.000 consulenti per correggere falle trovate dall'IA.
- Spesa di alcune centinaia di milioni di dollari nel terzo trimestre, insieme agli obblighi antiriciclaggio.
- I filtri di sicurezza dei modelli ostacolano anche i team di difesa.
Mille consulenti esterni e centinaia di milioni
Secondo la ricostruzione di CNBC, la banca ha ingaggiato 1.000 consulenti esterni che dal secondo trimestre lavorano insieme a 3.000 dipendenti interni. Nel terzo trimestre l'istituto ha speso alcune centinaia di milioni di dollari, una cifra che però comprende sia il lavoro sul software sia gli obblighi in materia di antiriciclaggio: Moynihan non ha indicato quanto sia costata la sola attività di correzione, che si aspetta diventi meno onerosa con il tempo.
Le vulnerabilità sono state scovate da modelli di IA avanzati. Mythos è stato rilasciato da Anthropic ad aprile solo ad alcuni partner selezionati, nell'ambito del programma Project Glasswing, e secondo l'azienda aveva individuato migliaia di falle di sicurezza serie. A maggio OpenAI ha risposto con il proprio programma dedicato alla cybersicurezza, Daybreak. All'inizio molti avevano liquidato gli allarmi dei laboratori come pubblicità; poi incidenti come l'attacco a Hugging Face e valutazioni indipendenti hanno spostato il dibattito.
Trovare è rapido, riparare no
Il punto che emerge dal caso Bank of America è lo squilibrio tra le due fasi. Un modello può leggere milioni di righe di codice e individuare in poche ore difetti rimasti nascosti per anni, ma ogni correzione va poi scritta, testata e applicata da persone: da qui l'esercito di tecnici e il conto da centinaia di milioni.
C'è anche un paradosso segnalato dal settore: i filtri di sicurezza che i produttori impongono ai modelli per impedirne l'uso offensivo finiscono per ostacolare anche chi difende. Claude Opus 5.5 dirotta gran parte delle richieste di cybersicurezza su un modello più vecchio, e quando a luglio il team di Hugging Face ha provato ad analizzare un attacco automatizzato alla propria infrastruttura con modelli commerciali, le protezioni hanno bloccato l'analisi: gli ingegneri hanno dovuto ripiegare su un modello a pesi aperti eseguito sui propri server. In questo spazio si inseriscono prodotti specializzati come Orion-1 della startup Artemis Security, pensato per indagare e rispondere agli attacchi sulle reti aziendali.
Perché conta
Bank of America è tra le prime grandi aziende americane a dire pubblicamente quante persone stia impiegando per rimediare a problemi scoperti dall'IA: un numero che dà la misura del debito di sicurezza accumulato dal software bancario.
Lo stesso schema riguarda banche, assicurazioni e pubblica amministrazione italiane, che poggiano su codice stratificato negli anni. Se i modelli rendono banale trovare le falle, la differenza la farà la capacità, e il budget, per ripararle prima di chi le vuole sfruttare.
