美国银行增聘 1,000 名合同工，应对 AI 揭露的漏洞

目录

• 你可能想知道
• 主题
• 重点摘要表
• 后续……

你可能想知道

• 美国银行为何聘用 1,000 名合同工？先进 AI 模型在这一决策中扮演什么角色？
• 银行如何在软件修复的即时成本与 AI 带来的节省和生产力提升之间取得平衡？

主题

美国银行聘用了一大批外部合同工，协助修复在先进人工智能模型（包括 Anthropic 的 Mythos）开发过程中发现的软件漏洞。首席执行官 Brian Moynihan 于周三在接受 CNBC 采访时，在银行公布第三季度财报后介绍了这项工作。他的说法少见地公开揭示了这家美国大型金融机构为确保技术系统安全所投入的人力和资金。

Moynihan 表示，今年早些时候，银行迅速着手加强自有软件以及供应商提供的各类代码。这项工作动员了数千名员工和外部人员。他解释说，令人担忧的是，前沿级 AI 模型可能使人更容易找到软件中的弱点，而这些弱点原本可能一直未被发现。这种可能性促使银行和其他机构考虑如何快速处理漏洞。

“这种风险确实存在，所以前沿类型的模型问世时……我们很多人坐下来讨论：‘我们要怎样才能快速处理这件事？’”Moynihan 告诉 CNBC 的 Leslie Picker。这番话体现了银行应对措施背后的紧迫性：其安全工作并非例行检查，而是因应不断变化的威胁环境而加速进行。

为扩大这项工作，美国银行在第二季度聘用了 1,000 名合同工处理软件修补。Moynihan 表示，接受采访时这些合同工仍在银行工作，并与原本负责该领域的 3,000 名员工并肩作业。这些数字显示了应对工作的规模，也表明修补工作由临时外部支持和既有内部团队共同负责。

银行立即采取的应对措施，结合了 1,000 名合同工和 3,000 名原有专职人员。修补软件是指修正代码或应用更新，以封堵已知的安全弱点。在大型机构中，这个流程可能包括找出受影响的系统、确定风险优先级、测试变更、与供应商协调，以及在不影响必要服务的情况下部署修复措施。

这项工作的财务投入也相当可观。周三早些时候，Moynihan 告诉分析师，银行第三季度在软件修复以及与反洗钱合规相关的监管问题上，花费了“两亿多美元”。据报道，这笔金额涵盖不止一类工作，因此不应解读为 Mythos 相关安全修复的确切支出。即便如此，这仍表明银行正同时处理规模庞大的技术和合规义务。

这项披露值得注意，因为它是美国大型企业首次公开说明，为应对 Mythos、保护软件系统所投入的人力和支出。该模型于 4 月提供给少数银行、科技公司和政府机构。模型并未广泛开放，并不意味着更广泛的担忧就不存在：先进模型展现的能力可能影响各机构评估自身风险的方式，即使特定模型并非人人都能使用。

这一事件凸显了 AI 的双面性。一方面，AI 工具可能帮助机构提升生产力并降低成本；另一方面，能够找到并可能利用旧有软件漏洞的模型，会加大企业检查和修复多年累积系统问题的压力。安全团队可能需要检查内部开发的代码以及供应商提供的软件，使这项工作涉及范围广、操作复杂。

Moynihan 还强调，必须谨慎看待技术供应商与客户之间的关系。“我们必须领先于他们，也必须留意，负责开发软件的人，同时也是想向我们销售服务的人。”他说。这番话点出了实际的治理问题：企业依赖外部供应商提供技术，但也必须评估这些供应商所提供产品和服务的安全性。

对美国银行来说，立即增加的支出未必会一直维持同样的速度。Moynihan 发言时，公司股价周三一度下跌 8%，他试图向投资者保证，成本增加只是暂时的。他表示，系统完成修补后，就不需要再以同样的程度进行修补。“修补完成后，就不必修补那么多……整个流程会逐步推进。”他说，并补充称，修复成本预计将随时间下降。

这一预期取决于工作的性质。大规模的初期工作可以处理积压的弱点，但软件安全并非一次性任务。新的漏洞可能出现，系统也可能发生变化，供应商还可能发布更多更新。因此，银行的说法表明，除了近期全力完成现有修补工作外，在当前待处理项目逐步完成后，仍需持续维护安全流程。

与此同时，美国银行也在其他运营领域运用 AI，寻求提高效率。公司内部约有 130 个 AI 项目。Moynihan 告诉分析师，这些项目带来的节省预计将从今年的 $300 million 增至 2027 年的 $700 million。这些估算反映了银行各项工作预期带来的效益，并非声称任何单个项目都能取得这些成果。

银行的员工规模也发生了变化。Moynihan 表示，过去一年员工总数减少约 3,400 人，公司还裁减了约 5% 的经理。现有信息并未说明这些人员缩减有多少（如果有的话）是由 AI 导致的。人员变动可能源于许多因素，包括组织重组、业务优先事项和效率措施，因此仅凭这些数字无法证明 AI 应用与职位减少之间存在直接因果关系。

综合来看，这些披露说明一家公司正如何应对技术变革带来的两种不同影响。先进 AI 提高了防御工作的紧迫性，银行必须投入更多人力和大量资金来修复软件弱点。另一方面，银行预计自家的 AI 项目将随时间带来节省。这些工作都与 AI 更广泛的应用有关，但它们的目标、成本、时间安排和成效衡量方式各不相同。

重点摘要表

后续……

这一经历凸显了机构、研究人员和政策制定者可能需要进一步积累知识的领域。首要工作之一，是建立可靠的方法来评估 AI 系统如何识别软件漏洞，包括如何区分有助于防御的分析与可能促成滥用的能力。明确的测试规范和负责任的访问措施，有助机构了解风险，同时不忽视安全研究的益处。

企业还需要加强保障软件安全的日常流程。这包括准确维护内部代码和供应商代码清单、依据风险确定修复优先级、审慎测试补丁，以及明确界定技术供应商与客户之间的责任。AI 可以加快漏洞发现，但有效防护仍取决于可靠的工程实践、协调完善的治理以及持续的人为监督。

最后，机构应谨慎评估 AI 带来的节省和人员影响。预测有助于领导者进行规划，但预测本身无法确定哪些工作会改变，也无法确定就业结果会受到何种影响。持续研究生产力衡量、安全实践和负责任的自动化，有助机构依据证据而非假设做出决策。核心挑战在于善用 AI 的能力，同时为这些能力可能带来的新安全需求做好准备。