Bank of America mobilise 1 000 prestataires sur des failles trouvées par l'IA

Bank of America a fait appel à environ 1 000 prestataires externes pour corriger des failles logicielles mises au jour par des modèles d'IA avancés, dont Mythos d'Anthropic, a déclaré son PDG Brian Moynihan le 14 octobre 2026. Ces prestataires ont rejoint environ 3 000 employés de la banque déjà mobilisés sur ce travail. C'est l'un des signes les plus clairs à ce jour de ce que coûte la chasse aux bugs par l'IA aux entreprises dont elle fouille le code.

Mythos est un modèle d'Anthropic conçu pour trouver des failles de sécurité dans les logiciels. Anthropic l'a mis à la disposition d'un petit groupe d'entreprises, de banques et d'agences gouvernementales en avril, via un programme appelé Project Glasswing, rapporte The Next Web. L'accès est limité : Anthropic a gardé Mythos 5.1 sur invitation uniquement lors de son lancement en septembre.

Ce qu'a dit Moynihan

Moynihan a révélé le chiffre des prestataires dans une interview à CNBC après les résultats du troisième trimestre de la banque. The Next Web et Superpower Daily indiquent que les prestataires sont arrivés au deuxième trimestre. Startup Fortune dit seulement qu'ils ont été recrutés cette année.

Chiffre	Détail
Prestataires	Environ 1 000, recrutés comme consultants
Employés de la banque sur ce travail	Environ 3 000
Équipe combinée	Environ 4 000, selon Superpower Daily et Startup Fortune
Coût trimestriel	« Quelques centaines de millions de dollars, et plus », y compris d'autres travaux de conformité
Date de fin	Aucune donnée

Les prestataires « ne figurent pas dans les effectifs », a déclaré Moynihan, car ils ont été recrutés comme consultants, selon The Next Web. Il a dit aux analystes, lors de la conférence sur les résultats, que le coût du trimestre s'élevait à « quelques centaines de millions de dollars, et plus ». Ce chiffre couvre aussi la remise en état des contrôles anti-blanchiment de la banque, donc ce n'est pas la facture du seul travail lié à Mythos.

Les failles se trouvent dans du code utilisé par la banque et par ses fournisseurs externes, a précisé Moynihan. Certains de ces fournisseurs développent des logiciels qu'ils vendent à la banque, rapporte Superpower Daily. Il s'attend à ce que le coût baisse à mesure que les correctifs rattrapent le retard, mais n'a donné aucune date.

Pourquoi la chasse aux bugs par l'IA crée un arriéré

Les modèles d'IA comme Mythos peuvent trouver des failles plus vite que les humains ne peuvent les corriger. Moynihan avait averti d'« un grand changement dans la quantité de travail qui devra être accomplie » lors d'une interview à Bloomberg Television plus tôt cette année, rapporte Startup Fortune.

Les propres chiffres d'Anthropic montrent l'écart. Lors d'une évaluation du 7 avril, moins de 1 % des failles potentielles trouvées par Anthropic étaient entièrement corrigées, rapporte Superpower Daily. Lors des tests, Mythos aurait mis au jour des milliers de failles jusque-là inconnues, dont un bug vieux de 27 ans dans OpenBSD, selon Startup Fortune. Le site ajoute que la plupart des découvertes dans le secteur bancaire ont été classées de gravité faible à modérée.

Mythos a déjà trouvé une faille que des attaquants ont exploitée un jour après sa publication, dans le serveur de fichiers Rejetto HFS. C'est le risque contre lequel la banque fait la course : dès qu'une faille est connue, le compte à rebours commence.

Les autres banques et les régulateurs

Bank of America n'est pas seule. Le PDG de JPMorgan Chase, Jamie Dimon, a déclaré en mai que des centaines de personnes y travaillaient à plein temps, rapporte The Next Web. Aux États-Unis, des régulateurs ont suspendu certains contrôles cyber un mois après l'arrivée de Mythos. La Banque centrale européenne veut recevoir les plans des banques d'ici fin octobre, ajoute le site.

Cette annonce est intervenue un jour après que le Trésor a annoncé des sanctions de plus de 1,21 milliard de dollars contre la banque, rapporte The Next Web. Le chiffre d'affaires du troisième trimestre a progressé d'environ 3 %, à près de 30 milliards de dollars, mais le bénéfice ajusté de 1,08 dollar par action a manqué les prévisions. L'action a clôturé en baisse de près de 5 %.

Ce que cela signifie pour les développeurs

• Budgétez la correction, pas seulement la détection. Un scanner d'IA peut produire en une semaine plus de résultats qu'une équipe ne peut en corriger en un trimestre. Prévoyez les personnes et le temps nécessaires aux corrections avant d'en activer un.
• Interrogez vos fournisseurs sur leur code. Les failles de la banque touchaient aussi des logiciels de fournisseurs. Si le produit d'un fournisseur tourne dans vos systèmes, demandez-lui comment il l'analyse et le corrige.
• Triez d'abord par gravité. La plupart des découvertes dans le secteur bancaire étaient de gravité faible à modérée, selon Startup Fortune. Corrigez les quelques failles critiques avant de traiter la longue traîne.
• Attendez-vous aux questions des régulateurs. Les superviseurs aux États-Unis et en Europe interrogent déjà les banques sur les failles trouvées par l'IA. Les autres secteurs réglementés devraient préparer les mêmes réponses.
• Traitez chaque découverte comme urgente. Le cas Rejetto montre que les attaquants peuvent agir moins d'un jour après la divulgation. Gardez correctifs et divulgation sur le même calendrier.