Bank of America põe 1.000 terceirizados para corrigir falhas achadas por IA

O Bank of America trouxe cerca de 1.000 terceirizados externos para corrigir falhas de software expostas por modelos avançados de IA, incluindo o Mythos, da Anthropic, disse o CEO Brian Moynihan em 14 de outubro de 2026. Os terceirizados se juntaram a cerca de 3.000 funcionários do banco que já estavam nesse trabalho. É um dos sinais mais claros até agora do quanto a caça a bugs com IA custa às empresas cujo código ela vasculha.

O Mythos é um modelo da Anthropic feito para encontrar falhas de segurança em software. A Anthropic o disponibilizou em abril para um pequeno grupo de empresas, bancos e agências governamentais por meio de um programa chamado Project Glasswing, informa o The Next Web. O acesso é limitado: a Anthropic manteve o Mythos 5.1 apenas para convidados quando ele foi lançado em setembro.

O que Moynihan disse

Moynihan revelou o número de terceirizados em uma entrevista à CNBC após os resultados do terceiro trimestre do banco. O The Next Web e o Superpower Daily dizem que os terceirizados chegaram no segundo trimestre. O Startup Fortune diz apenas que eles foram contratados neste ano.

Número	Detalhe
Terceirizados	Cerca de 1.000, contratados como consultores
Funcionários do banco no trabalho	Cerca de 3.000
Equipe combinada	Cerca de 4.000, segundo o Superpower Daily e o Startup Fortune
Custo trimestral	"Uns duzentos e poucos milhões de dólares", incluindo outros trabalhos de compliance
Data de término	Nenhuma informada

Os terceirizados "não entram no quadro de funcionários", disse Moynihan, porque foram contratados como consultores, segundo o The Next Web. Ele disse aos analistas, na teleconferência de resultados, que o custo do trimestre foi de "uns duzentos e poucos milhões de dólares". Esse valor também cobre reparos nos controles do banco contra lavagem de dinheiro, então não é a conta só do trabalho com o Mythos.

As falhas estão em código usado pelo banco e por seus fornecedores externos, disse Moynihan. Alguns desses fornecedores criam software que vendem ao banco, informa o Superpower Daily. Ele espera que o custo caia à medida que as correções avançarem, mas não deu uma data.

Por que a caça a bugs com IA gera um acúmulo de trabalho

Modelos de IA como o Mythos conseguem encontrar falhas mais rápido do que as pessoas conseguem corrigi-las. Moynihan alertou para "uma grande mudança na quantidade de trabalho que vai ter de ser feita" em uma entrevista à Bloomberg Television no começo deste ano, informa o Startup Fortune.

Os próprios números da Anthropic mostram a distância. Segundo uma avaliação de 7 de abril, menos de 1% das possíveis falhas que a Anthropic havia encontrado estavam totalmente corrigidas, informa o Superpower Daily. Nos testes, o Mythos teria encontrado milhares de falhas antes desconhecidas, incluindo um bug de 27 anos no OpenBSD, diz o Startup Fortune. O site acrescenta que a maioria das descobertas no setor bancário foi classificada como de gravidade baixa a moderada.

O Mythos já encontrou uma falha que atacantes exploraram um dia depois de ela ser publicada, no servidor de arquivos Rejetto HFS. Esse é o risco contra o qual o banco corre: quando uma falha se torna conhecida, o relógio começa a contar.

Outros bancos e reguladores

O Bank of America não está sozinho. O CEO do JPMorgan Chase, Jamie Dimon, disse em maio que centenas de pessoas trabalhavam nisso em tempo integral, informa o The Next Web. Reguladores nos Estados Unidos suspenderam alguns exames cibernéticos um mês depois da chegada do Mythos. O Banco Central Europeu quer os planos dos bancos até o fim de outubro, acrescenta o veículo.

A revelação veio um dia depois de o Tesouro anunciar penalidades de mais de US$ 1,21 bilhão contra o banco, informa o The Next Web. A receita do terceiro trimestre subiu cerca de 3%, para quase US$ 30 bilhões, mas o lucro ajustado de US$ 1,08 por ação ficou abaixo das previsões. As ações fecharam em queda de quase 5%.

O que isso significa para desenvolvedores

• Reserve orçamento para corrigir, não só para encontrar. Um scanner de IA pode gerar mais descobertas em uma semana do que uma equipe consegue corrigir em um trimestre. Planeje as pessoas e o tempo para os reparos antes de ligar um.
• Pergunte aos seus fornecedores sobre o código deles. As falhas do banco incluíam software de fornecedores. Se o produto de um fornecedor roda nos seus sistemas, pergunte como ele está sendo verificado e corrigido.
• Faça a triagem pela gravidade primeiro. A maioria das descobertas no setor bancário teve gravidade baixa a moderada, segundo o Startup Fortune. Corrija as poucas críticas antes de atacar a longa cauda.
• Espere perguntas dos reguladores. Supervisores nos Estados Unidos e na Europa já estão perguntando aos bancos sobre falhas encontradas por IA. Outros setores regulados devem preparar as mesmas respostas.
• Trate cada descoberta como urgente. O caso Rejetto mostra que atacantes podem agir em até um dia após a divulgação. Mantenha as correções e a divulgação no mesmo cronograma.