Bank of America setzt 1.000 Auftragnehmer auf von KI gefundene Schwachstellen an

Bank of America hat rund 1.000 externe Auftragnehmer geholt, um Schwachstellen in Software zu beheben, die fortgeschrittene KI-Modelle aufgedeckt haben, darunter Anthropics Mythos. Das sagte CEO Brian Moynihan am 14. Oktober 2026. Die Auftragnehmer kamen zu rund 3.000 Beschäftigten der Bank hinzu, die bereits daran arbeiten. Es ist eines der bisher deutlichsten Zeichen dafür, was die Fehlersuche per KI die Unternehmen kostet, deren Code sie durchsucht.

Mythos ist ein Modell von Anthropic, das Sicherheitslücken in Software finden soll. Anthropic stellte es im April über ein Programm namens Project Glasswing einer kleinen Gruppe von Unternehmen, Banken und Behörden zur Verfügung, berichtet The Next Web. Der Zugang ist begrenzt: Anthropic beließ Mythos 5.1 beim Start im September auf Einladung.

Was Moynihan sagte

Moynihan nannte die Zahl der Auftragnehmer in einem Interview mit CNBC nach den Ergebnissen der Bank für das dritte Quartal. The Next Web und Superpower Daily schreiben, dass die Auftragnehmer im zweiten Quartal kamen. Startup Fortune schreibt nur, dass sie in diesem Jahr eingestellt wurden.

Kennzahl	Detail
Auftragnehmer	Rund 1.000, als Berater eingestellt
Bankmitarbeiter an der Arbeit	Rund 3.000
Gesamtteam	Rund 4.000, laut Superpower Daily und Startup Fortune
Kosten pro Quartal	„Ein paar hundert Millionen Dollar plus“, einschließlich anderer Compliance-Arbeit
Enddatum	Keines genannt

Die Auftragnehmer sind „nicht im Personalbestand“, sagte Moynihan laut The Next Web, weil sie als Berater eingestellt wurden. In der Telefonkonferenz zu den Quartalszahlen sagte er Analysten, die Kosten des Quartals hätten „ein paar hundert Millionen Dollar plus“ betragen. Diese Zahl deckt auch Reparaturen an den Kontrollen der Bank gegen Geldwäsche ab. Sie ist also keine Rechnung allein für die Arbeit an Mythos.

Die Schwachstellen stecken in Code, den die Bank und ihre externen Zulieferer nutzen, sagte Moynihan. Einige dieser Anbieter entwickeln Software, die sie an die Bank verkaufen, berichtet Superpower Daily. Er erwartet, dass die Kosten sinken, sobald das Patchen aufholt, nannte aber kein Datum.

Warum KI-Fehlersuche einen Rückstau erzeugt

KI-Modelle wie Mythos finden Schwachstellen schneller, als Menschen sie beheben können. Moynihan warnte früher in diesem Jahr in einem Interview mit Bloomberg Television vor „einer großen Veränderung bei der Menge an Arbeit, die anfallen wird“, berichtet Startup Fortune.

Anthropics eigene Zahlen zeigen, wie groß der Abstand ist. Bei einer Bewertung vom 7. April waren weniger als 1 % der potenziellen Schwachstellen, die Anthropic gefunden hatte, vollständig gepatcht, berichtet Superpower Daily. In Tests soll Mythos Tausende bisher unbekannte Schwachstellen gefunden haben, darunter einen 27 Jahre alten Fehler in OpenBSD, schreibt Startup Fortune. Laut dem Medium wurden die meisten Funde im Bankensektor mit niedriger bis mittlerer Schwere eingestuft.

Mythos hat bereits eine Schwachstelle gefunden, die Angreifer einen Tag nach ihrer Veröffentlichung ausnutzten, im Dateiserver Rejetto HFS. Gegen dieses Risiko läuft die Bank ein Rennen: Sobald eine Schwachstelle bekannt ist, läuft die Uhr.

Andere Banken und Aufsichtsbehörden

Bank of America ist nicht allein. JPMorgan-Chase-CEO Jamie Dimon sagte im Mai, dass Hunderte Menschen in Vollzeit daran arbeiteten, berichtet The Next Web. Aufsichtsbehörden in den USA setzten einen Monat nach dem Start von Mythos einige Cyberprüfungen aus. Die Europäische Zentralbank will die Pläne der Banken bis Ende Oktober sehen, ergänzt das Medium.

Die Mitteilung kam einen Tag, nachdem das US-Finanzministerium Strafen von mehr als 1,21 Milliarden US-Dollar gegen die Bank angekündigt hatte, berichtet The Next Web. Der Umsatz im dritten Quartal stieg um rund 3 % auf fast 30 Milliarden US-Dollar, aber der bereinigte Gewinn von 1,08 US-Dollar je Aktie verfehlte die Prognosen. Die Aktie schloss fast 5 % tiefer.

Was das für Entwickler bedeutet

• Planen Sie Budget fürs Beheben ein, nicht nur fürs Finden. Ein KI-Scanner kann in einer Woche mehr Funde liefern, als ein Team in einem Quartal beheben kann. Planen Sie Personal und Zeit für Reparaturen ein, bevor Sie einen einschalten.
• Fragen Sie Ihre Zulieferer nach deren Code. Zu den Schwachstellen der Bank gehörte Software von Zulieferern. Wenn das Produkt eines Lieferanten in Ihren Systemen läuft, fragen Sie, wie er es scannt und patcht.
• Sortieren Sie zuerst nach Schwere. Die meisten Funde im Bankensektor waren laut Startup Fortune von niedriger bis mittlerer Schwere. Beheben Sie die wenigen kritischen, bevor Sie den langen Rest abarbeiten.
• Rechnen Sie mit Fragen der Aufsicht. Aufsichtsbehörden in den USA und Europa fragen Banken bereits nach von KI gefundenen Schwachstellen. Andere regulierte Branchen sollten dieselben Antworten vorbereiten.
• Behandeln Sie jeden Fund als zeitkritisch. Der Fall Rejetto zeigt, dass Angreifer innerhalb eines Tages nach der Offenlegung handeln können. Halten Sie Korrekturen und Offenlegung im selben Zeitplan.