美國銀行增聘 1,000 名承包商，因應 AI 揭露的軟體風險

目錄

• 你可能會想知道
• 主要議題
• 重點摘要表
• 後續展望……

你可能會想知道

• 美國銀行為什麼找來 1,000 名承包商處理軟體安全問題？
• 面對 AI 相關網路風險的成本，以及自家 AI 專案可能帶來的節省，該銀行如何取得平衡？

主要議題

美國銀行聘請 1,000 名外部承包商，協助修補在先進人工智慧模型（包括 Anthropic 的 Mythos）協助下所發現的軟體漏洞。執行長 Brian Moynihan 在該行公布第三季財報後，於週三接受 CNBC 訪問時談及這項工作。他的說法罕見地公開說明大型金融機構因應 AI 軟體風險時所投入的人力與經費。

Moynihan 表示，該行今年稍早開始強化自家各類軟體，以及供應商提供的程式碼。這項工作動用了數千名員工和外部人員。他告訴 CNBC 的 Leslie Picker，前沿型 AI 模型問世後，金融機構開始思考如何迅速應對這些模型可能造成的風險。他指出，顧慮並不侷限於單一應用程式或供應商：檢視範圍涵蓋廣泛的內部程式碼和第三方程式碼。

第二季，美國銀行特別聘請 1,000 名承包商協助修補軟體。Moynihan 表示，這些承包商仍留在該行，與原本負責這項工作的 3,000 人一同工作。軟體修補程式是用來修正漏洞或以其他方式提升程式安全性的變更。在此情況下，這項工作的規模反映出大型組織檢視並更新程式碼所面臨的挑戰，尤其是潛在弱點可能已累積多年。

這項披露之所以重要，是因為 Mythos 於 4 月提供給少數銀行、科技公司和政府機構使用。具備先進程式碼分析能力的模型，有助於找出僅靠傳統檢視方式可能難以發現的弱點。但若落入不當人士手中，同樣的漏洞搜尋能力也可能協助攻擊者加以利用。因此，即使組織沒有直接使用這項技術，也會面臨安全挑戰：它們可能需要評估自己的系統是否存在更強大的工具能夠揭露的漏洞。

美國銀行的應對也涉及可觀的支出。週三稍早，Moynihan 告訴分析師，該行第三季在軟體修復，以及反洗錢合規相關監管事務上，花費了「兩億多美元」。這項說法涵蓋上述領域的合計支出；並未單獨列出與 Mythos 相關的修復金額。不過，這確實表明，安全工作和合規義務可能同時增加大型銀行的資源負擔。

核心問題在於 AI 的雙重性：能提升生產力的工具，也可能暴露組織必須儘速修補的軟體弱點。企業可以運用 AI 支援分析、自動化工作並降低成本。與此同時，能檢查程式碼的模型可能迫使組織加緊找出並修補漏洞，以免遭他人利用。對擁有大量軟體系統的企業而言，這可能意味著增加人力、加速測試，以及短期支出提高。

Moynihan 強調，必須領先潛在威脅，並仔細檢視開發及銷售軟體服務公司的利益。他的說法點出客戶實際面臨的顧慮：軟體供應商能提供實用產品，但買方仍需了解產品如何打造、維護及保護。獨立檢視和謹慎的供應商監督，有助於組織評估產品宣稱的功能之外、可能不易察覺的風險。

這位執行長也試圖讓投資人放心，表示修復成本不會無限期維持在同一水準。隨著修補程式陸續套用，待處理問題逐步完成修復，該行預期往後所需的修復工作會減少。Moynihan 表示：「修補過後，需要修補的地方就沒那麼多了。」這番展望顯示，該行將支出激增視為針對一批集中漏洞的短期應對，但未來實際成本仍取決於後續檢視所發現的問題。

這番談話發表之際，美國銀行股價週三一度下跌 8%。股價下跌與 Moynihan 談及額外支出的時間相同，但現有資訊無法證明軟體相關工作是股價波動的唯一原因。投資人可能會同時考量修復的即時成本，以及提升安全性可能帶來的長期效益。對銀行而言，即使預防工作需要投入大量短期資源，避免重大資安事件也能保護客戶、營運和信任。

與此同時，美國銀行正推動旨在提升效率的 AI 專案。Moynihan 告訴分析師，該公司目前約有 130 個內部 AI 專案。這些專案帶來的節省預計將從今年的 $300 million 增至 2027 年的 $700 million。這些預測呈現該行 AI 策略的另一面：這項技術帶來新的安全需求，但也預期能協助降低業務其他部分的支出。

該行的員工人數也有所變化。Moynihan 表示，過去一年員工總數減少約 3,400 人，公司並將經理人數削減約 5%。現有資訊未說明員工人數減少有多少可歸因於 AI。因此，若將人事變動視為 AI 直接取代特定數量員工的證據，仍言之過早。這些數字描述的是同時發生的變化，並未證明兩者存在直接因果關係。

綜合來看，這些細節說明，AI 相關投資不能簡化為支出與節省二選一。企業可能投資 AI 以提升生產力，同時也增加資安、軟體維護、合規和監督方面的支出。淨效益取決於這些成本與新系統創造的價值之間如何權衡。對美國銀行而言，聘用承包商，以及內部 AI 專案預期帶來的節省，分別代表這項整體考量的不同面向。

這起事件也凸顯事前準備的重要性。組織需要準確掌握所使用的軟體，包括由外部供應商開發的系統。它們可能需要建立流程，以識別漏洞、排定修復優先順序、測試修補程式，並確認更新是否如預期運作。快速、大規模的應對有助於處理緊急風險，但長期有效的網路安全也取決於例行維護，以及內部團隊與供應商之間明確的責任分工。

重點摘要表

後續展望……

美國銀行的經驗指出，企業、政策制定者和研究人員可能需要進一步探討幾個面向。其中之一是如何評估能找出軟體漏洞的 AI 系統：組織需要可靠的方法，了解模型能發現哪些問題、表現是否穩定，以及大規模運用其能力前應採取哪些防護措施。明確的測試方法有助於區分正當的安全研究與可能增加漏洞遭利用風險的活動。

另一項優先工作是強化軟體供應鏈。大型組織仰賴許多供應商提供的產品和程式碼，因此難以獨立評估每個元件。更完善的文件、協調一致的漏洞揭露機制、安全的開發實務，以及有效的供應商審查，都有助於客戶了解風險源自何處，以及由誰負責處理。隨著 AI 工具加快在大型程式碼庫中搜尋弱點，這些做法尤其重要。

組織也應研究如何衡量 AI 的整體經濟影響。自動化和生產力提升所帶來的節省，必須與資安、合規、訓練和系統維護成本一併考量。以美國銀行為例，內部專案預期帶來的節省，以及目前進行的修復工作，說明了為何評估時必須同時納入這兩個面向。對 AI 作出平衡的評估，應同時考量生產力提升，以及負責任地使用這項技術所需的防護措施。

最後，未來的研究和政策討論可以探討員工結構變化與 AI 採用之間的關係，而不應假設每一次人力縮減都是自動化造成的。關於職務、技能需求變化，以及生產力提升成果如何分配的可靠證據，將有助員工和雇主更充分地做好準備。隨著 AI 能力持續進步，最持久的做法將結合技術安全、負責任的監督、透明的評估，以及持續投入人類專業知識。