- Bank of Americaは契約社員1,000人を採用し、AIが発見した脆弱性の修正に数億ドルを投じた
- AnthropicのMythosは大手銀行で大規模な修正対応を引き起こすほど多くの欠陥を発見した
- 金融機関は、高度なAIセキュリティツールが弱点を暴くペースに、パッチ適用が追いつかないと警告している
米国最大級の金融機関であるBank of Americaは、Anthropicの生成AI（GenAI）モデル「Mythos」が見つけたバグをすべて修正するため、契約社員1,000人の採用を迫られ、1億ドルを超える費用を投じました。
Anthropicは2026年4月にMythosを初めて発表した際、未知のソフトウェア脆弱性を自律的に発見し、悪用できる高度なサイバーセキュリティ能力を備えたツールだと説明していました。
しかし、このツールは非常に高性能で危険でもあったため、Anthropicはアクセスを厳しく制限しました。利用を認めたのは、米政府、重要インフラ事業者、銀行、一部のサイバーセキュリティ企業など、審査を通過したごく少数の組織です。
Bank of AmericaとJPMorgan Chase
Bank of Americaもその一社だったようです。同行のCEOであるBrian Moynihan氏はCNBCの取材に対し、Mythosが社内システムでバグを見つけ始めた時点で「現実のリスク」と受け止め、すべての脆弱性に対処する計画を立てざるを得なかったと語りました。
「第2四半期にパッチ適用作業を支援する契約社員1,000人を投入しました。彼らは今も、この分野を担当する既存の3,000人に加わって作業を続けています」と、同氏は同メディアに述べています。CNBCによると、Moynihan氏は同日、アナリストに対しても、バグの修正や規制対応に「数億ドル強」を費やしたと説明しました。
これほどの規模の銀行でも、こうした採用や支出は控えめに言っても異例です。Moynihan氏が、支出増は一時的なものであり、脆弱性への対処が終われば今ほどの作業量は発生しなくなると付け加えたのも、そのためとみられます。「いったんパッチを当てれば、それほど多くを当てる必要はなくなります。……パイプラインは流れていきます」と同氏は述べました。
The Next Webは報道の中で、これを州法・連邦法の規制を順守する文脈に位置づけています。「このコンプライアンス関連の支出は、10月13日に発表された12億1,000万ドル超の財務省による制裁金に続くものだ」と同メディアは書いています。「連邦規制当局は、同行が50億ドル相当の疑わしい取引の報告を怠り、2024年に命じられた措置も完了していなかったとしている」
深刻な影響
Mythosが暴いた問題の修正に追われているのは、Bank of Americaだけではありません。数カ月前にはJPMorgan ChaseのCEOであるJamie Dimon氏が、同行は同業他社やベンダーと連携し、今後起こる事態に備えてシステムの準備を進めていると述べています。「これは真剣な取り組みです」と、Dimon氏はBloomberg TVのインタビューで語りました。「現在、数百人がフルタイムで対応にあたっていると思います」
Goldman SachsのCEOであるDavid Solomon氏は4月中旬、Mythosの能力を「極めて強く意識している」と述べ、同社がAnthropicと「緊密に」連携していると付け加えました。「大規模言語モデル（LLM）が急速に進歩しているのは明らかであり、米政府やモデル提供企業の支援を受けながら、これら新モデルの強化された能力を極めて強く意識しています」と、Solomon氏は当時アナリストに語っています。
AnthropicはMythosを初めて公表した際、このAIモデルは、ソフトウェアの脆弱性を発見して悪用する能力において「最も熟練した人間を除くすべての人間を上回りうる」水準のコーディング能力に達したと説明しました。
「経済、公共の安全、国家安全保障への影響は深刻になりかねません」
実際に試した多くの企業も、この見方に同意しているようです。たとえばMozillaは、わずか1回のテストでセキュリティ上重要なバグを22件発見したことを受け、Mythosを「世界最高のセキュリティ研究者に勝るとも劣らない能力」と評価しました。
一方、Palo Alto Networksは、Mythosを使って約3週間で20件を超える重大な脆弱性を発見しました。ただ、このテストでは、企業にはAIセキュリティ予算の大幅な増額が必要であることも浮き彫りになりました。
