美國銀行增聘 1,000 名約聘人員，修補 AI 揭露的漏洞

目錄

• 你可能會想知道
• 主題
• 重點摘要表
• 後續……

你可能會想知道

• 美國銀行為何聘用 1,000 名約聘人員？先進 AI 模型在這項決策中扮演什麼角色？
• 銀行如何在軟體修補的立即成本，與 AI 帶來的節省及生產力提升之間取得平衡？

主題

美國銀行聘用了一大批外部約聘人員，協助修補在先進人工智慧模型（包括 Anthropic 的 Mythos）開發過程中所發現的軟體漏洞。執行長 Brian Moynihan 於週三在接受 CNBC 訪問時，於銀行公布第三季財報後說明了這項工作。他的說法少見地公開揭示了這家美國大型金融機構為確保技術系統安全所投入的人力與資金。

Moynihan 表示，今年稍早銀行迅速著手強化自有軟體，以及供應商提供的各類程式碼。這項工作動員了數千名員工和外部人員。他解釋，令人憂慮的是，前沿級 AI 模型可能讓人更容易找出軟體中的弱點，而這些弱點原本可能一直未被發現。這種可能性促使銀行及其他機構思考如何迅速處理漏洞。

「這種風險確實存在，所以前沿類型的模型問世時……我們很多人坐下來討論：『我們要怎麼做才能迅速處理這件事？』」Moynihan 告訴 CNBC 的 Leslie Picker。這番話展現了銀行應對措施背後的急迫性：其安全工作並非例行檢查，而是因應不斷變化的威脅環境而加速進行。

為擴大這項工作，美國銀行在第二季聘用了 1,000 名約聘人員處理軟體修補。Moynihan 表示，接受訪問時這些約聘人員仍在銀行工作，並與原本負責該領域的 3,000 名人員並肩作業。這些數字顯示應對工作的規模，也表明修補工作由臨時外部支援與既有內部團隊共同負責。

銀行立即採取的應對措施，結合了 1,000 名約聘人員與 3,000 名原有專責人員。修補軟體是指修正程式碼或套用更新，以封堵已知的安全弱點。在大型機構中，這個流程可能包括找出受影響的系統、排定風險優先順序、測試變更、與供應商協調，以及在不影響必要服務的情況下部署修正措施。

這項工作的財務投入也相當可觀。週三稍早，Moynihan 告訴分析師，銀行第三季在軟體修補，以及與反洗錢合規相關的監管議題上，花費了「兩億多美元」。據報金額涵蓋不只一類工作，因此不應解讀為 Mythos 相關安全修補的確切支出。即便如此，這仍顯示銀行正同時處理規模龐大的技術與合規義務。

這項披露值得注意，因為它是美國大型企業首次公開說明，為因應 Mythos 而保護軟體系統所投入的人力與支出。該模型於 4 月提供給少數銀行、科技公司和政府機構。模型並未廣泛開放，並不代表較廣泛的疑慮就不存在：先進模型展現的能力，可能影響各機構評估自身風險的方式，即使特定模型並非人人都能使用。

這起事件凸顯了 AI 的雙面性。一方面，AI 工具可能協助機構提升生產力並降低成本；另一方面，能找出並可能利用舊有軟體漏洞的模型，會加大企業檢查及修補多年累積系統問題的壓力。安全團隊可能需要檢視內部開發的程式碼，以及供應商提供的軟體，使這項工作涵蓋範圍廣、作業複雜。

Moynihan 也強調，必須謹慎看待科技供應商與客戶之間的關係。「我們必須領先他們，也必須留意，負責開發軟體的人，同時也是想向我們銷售服務的人。」他表示。這番話點出實際的治理問題：企業仰賴外部供應商提供技術，但也必須評估這些供應商所提供產品與服務的安全性。

對美國銀行而言，立即增加的支出未必會一直維持同樣的速度。Moynihan 發言時，公司股價週三一度下跌 8%，他試圖向投資人保證，成本增加只是暫時的。他表示，系統完成修補後，就不需要再以同樣的程度進行修補。「修補完成後，就不必修補那麼多……整個流程會逐步推進。」他說，並補充預期修補成本將隨時間下降。

這項預期取決於工作的性質。大規模的初期工作可以處理累積的弱點，但軟體安全並非一次性任務。新的漏洞可能出現，系統也可能變更，供應商還可能發布更多更新。因此，銀行的說法顯示，除了近期全力完成現有修補工作外，在目前的待辦項目逐步完成後，仍須持續維護安全流程。

與此同時，美國銀行也在其他營運領域運用 AI，尋求提升效率。公司內部約有 130 個 AI 專案。Moynihan 告訴分析師，這些專案帶來的節省預計將從今年的 $300 million 增至 2027 年的 $700 million。這些估算反映銀行各項工作預期帶來的效益，並非宣稱任何單一專案都能達到這些成果。

銀行的人力規模也有所變化。Moynihan 表示，過去一年員工總數減少約 3,400 人，公司也裁減了約 5% 的經理人。現有資訊並未說明這些人力縮減有多少（如果有的話）是由 AI 所造成。人力變動可能來自許多因素，包括組織重整、業務優先事項及效率措施，因此單憑這些數字，無法證明 AI 採用與職位減少之間有直接因果關係。

綜合而言，這些披露說明一家公司正如何因應技術變革帶來的兩種不同影響。先進 AI 提高了防禦工作的急迫性，銀行必須投入更多人力與大量資金來修補軟體弱點。另一方面，銀行預期自家的 AI 專案將隨時間帶來節省。這些工作都與 AI 更廣泛的採用有關，但它們的目標、成本、時程與成效衡量方式各不相同。

重點摘要表

後續……

這段經驗凸顯了機構、研究人員與政策制定者可能需要進一步累積知識的領域。首要工作之一，是建立可靠的方法來評估 AI 系統如何辨識軟體漏洞，包括如何區分有助防禦的分析與可能促成濫用的能力。明確的測試規範與負責任的存取措施，有助機構了解風險，同時不忽略安全研究的益處。

企業也需要強化支援安全軟體的日常流程。這包括準確維護內部程式碼與供應商程式碼的清單、依風險程度安排修正優先順序、審慎測試修補程式，以及明確界定科技供應商與客戶之間的責任。AI 能加快漏洞發現，但有效的防護仍有賴健全的工程實務、協調完善的治理，以及持續的人為監督。

最後，機構應審慎評估 AI 帶來的節省與人力影響。預測有助領導者進行規劃，但預測本身無法確定哪些工作會改變，或就業結果將受到何種影響。持續研究生產力衡量、安全實務與負責任的自動化，有助機構依據證據而非假設做出決策。核心挑戰在於善用 AI 的能力，同時為這些能力可能帶來的新安全需求做好準備。