Bank of America、AIが見つけた欠陥の修正に契約スタッフ1,000人を投入

Bank of Americaは、AnthropicのMythosなどの高度なAIモデルが明らかにしたソフトウェアの欠陥を直すため、外部の契約スタッフ約1,000人を投入しました。Brian Moynihan CEOが2026年10月14日に明らかにしました。契約スタッフは、すでにこの作業に当たっていた約3,000人の行員に加わりました。AIによるバグ探しが、コードを調べられる側の企業にどれだけのコストをもたらすかを示す、これまでで最も明確な兆候の1つです。

Mythosは、ソフトウェアのセキュリティ上の欠陥を見つけるために作られたAnthropicのモデルです。The Next Webによると、Anthropicは4月、Project Glasswingというプログラムを通じて、少数の企業、銀行、政府機関にMythosを提供しました。利用は限られています。Anthropicは9月の公開時も、Mythos 5.1を招待制のままにしました。

Moynihan氏が語ったこと

Moynihan氏は、同行の第3四半期決算の後に行われたCNBCのインタビューで、契約スタッフの人数を明らかにしました。The Next WebとSuperpower Dailyによると、契約スタッフは第2四半期に加わりました。Startup Fortuneは、今年採用されたとだけ伝えています。

数値	内容
契約スタッフ	約1,000人。コンサルタントとして採用
作業に当たる行員	約3,000人
チーム全体	約4,000人（Superpower DailyとStartup Fortuneによる）
四半期のコスト	「2億ドル強」。ほかのコンプライアンス作業を含む
終了時期	示されていない

The Next Webによると、Moynihan氏は、契約スタッフはコンサルタントとして採用されたため「人員数には含まれていない」と述べました。同氏は決算説明会でアナリストに対し、この四半期のコストは「2億ドル強」だと語りました。この数字には、同行のマネーロンダリング対策の修復費用も含まれています。そのため、Mythos関連の作業だけの費用ではありません。

Moynihan氏によると、欠陥は、同行と外部ベンダーが使うコードにあります。Superpower Dailyによると、そうしたプロバイダーの中には、同行に販売するソフトウェアを作っている企業もあります。同氏は、修正が追いつくにつれてコストは下がると見込んでいますが、時期は示しませんでした。

AIによるバグ探しが積み残しを生む理由

MythosのようなAIモデルは、人が直すよりも速く欠陥を見つけられます。Startup Fortuneによると、Moynihan氏は今年初め、Bloomberg Televisionのインタビューで「必要になる作業量が大きく変わる」と警告しました。

Anthropic自身の数字が、その差を示しています。Superpower Dailyによると、4月7日時点の評価では、Anthropicが見つけた潜在的な欠陥のうち、完全に修正されたものは1%未満でした。Startup Fortuneによると、Mythosはテストで、これまで知られていなかった数千件の欠陥を見つけたとされます。その中には、OpenBSDにあった27年前のバグも含まれます。同メディアはさらに、銀行業界での検出結果の大半は、深刻度が低から中程度と評価されたと伝えています。

Mythosはすでに、Rejetto HFSファイルサーバーで、公開の翌日に攻撃者に悪用された欠陥を見つけています。同行が競っているのは、まさにこのリスクです。欠陥が知られた瞬間から、時計が動き始めます。

ほかの銀行と規制当局

Bank of Americaだけではありません。The Next Webによると、JPMorgan ChaseのJamie Dimon CEOは5月、数百人がフルタイムでこの作業に当たっていると述べました。米国の規制当局は、Mythosの登場から1か月後に、一部のサイバー検査を一時停止しました。同メディアによると、欧州中央銀行は10月末までに銀行の計画を求めています。

The Next Webによると、この発表は、財務省が同行に対する12億1,000万ドル超の制裁金を発表した翌日のことでした。第3四半期の売上高は約3%増えて300億ドル近くになりましたが、調整後の1株当たり利益は1.08ドルで、予想を下回りました。株価は5%近く下落して取引を終えました。

開発者にとっての意味

• 見つけることだけでなく、直すことにも予算を割きましょう。 AIスキャナーは、チームが1四半期で直せる以上の検出結果を、1週間で生み出すことがあります。スキャナーをオンにする前に、修正のための人員と時間を計画してください。
• ベンダーに、そのコードについて尋ねましょう。 同行の欠陥には、ベンダーのソフトウェアも含まれていました。サプライヤーの製品が自社のシステムで動いているなら、どのようにスキャンし、修正しているかを尋ねてください。
• まず深刻度で優先順位を付けましょう。 Startup Fortuneによると、銀行業界の検出結果の大半は、深刻度が低から中程度でした。長く続く残りに取りかかる前に、数少ない重大な欠陥を直してください。
• 規制当局から問われると考えておきましょう。 米国と欧州の監督当局は、すでにAIが見つけた欠陥について銀行に問い合わせています。ほかの規制産業も、同じ質問への答えを用意しておくべきです。
• すべての検出結果を、時間との勝負として扱いましょう。 Rejettoの事例は、攻撃者が公開から1日以内に動けることを示しています。修正と公開を、同じスケジュールで進めてください。