Bank of America mobilisiert 4.000 Kräfte für KI-entdeckte Softwarelücken
Mindverse News
KI-gestützt erstellt 3 Quellen Originalmeldung: the-decoder.com Arbeitsweise
Das Wichtigste in Kürze
- Die Bank hat im zweiten Quartal 1.000 externe Auftragnehmer zur Behebung von Softwarelücken hinzugezogen; sie arbeiten neben 3.000 internen Beschäftigten in diesem Bereich. [1][2]
- Die Arbeit betrifft sowohl eigene Software als auch Code von Anbietern. Die Schwachstellen wurden nach Angaben des CEO durch fortgeschrittene KI-Modelle, darunter Anthropics Mythos, sichtbar. [2]
- Die für das dritte Quartal genannte Ausgabe von einigen hundert Millionen Dollar umfasst auch Aufwendungen im Zusammenhang mit der Geldwäscheprävention; einen separaten Betrag für Patches nannte die Bank nicht. [1][2]
- Anthropic beschreibt Mythos als Modell, das Schwachstellen sowohl finden und beim Beheben helfen als auch ausnutzen kann. Angaben zu den eigenen Testergebnissen sind Unternehmensangaben und nicht mit unabhängig bestätigten Ergebnissen für Bank of America gleichzusetzen. [1][3]
- CEO Brian Moynihan erwartet sinkende Kosten für die Behebung, nannte aber keinen Zeitplan. Zugleich erwartet die Bank höhere Einsparungen aus ihren internen KI-Projekten. [2][3]
// Inhalt · 7 Abschnitte
- 1.000 externe Kräfte ergänzen 3.000 interne Beschäftigte
- Die Arbeit reicht über bankeigene Systeme hinaus
- Anthropic beschreibt ein doppeltes Sicherheitsprofil
- Entdeckung ist nicht gleich Behebung
- Die Kostenangabe ist kein Mythos-spezifischer Betrag
- Sicherheitsaufwand neben erwarteten KI-Einsparungen
- Was Unternehmen aus dem Fall ableiten können
- Quellen
1.000 externe Kräfte ergänzen 3.000 interne Beschäftigte
Bank of America hat 1.000 externe Auftragnehmer für die Behebung von Softwarelücken hinzugezogen. Sie arbeiten seit dem zweiten Quartal neben 3.000 internen Beschäftigten, die bereits in diesem Bereich tätig waren. Die Gesamtzahl von rund 4.000 beschreibt damit den Umfang des laufenden Teams – nicht 4.000 neu eingestellte Mitarbeitende. Die Angaben stammen von CEO Brian Moynihan, der dazu in einem Interview mit CNBC Stellung nahm. [1][2]
Der zusätzliche Personaleinsatz steht im Zusammenhang mit Schwachstellen, die nach Moynihans Darstellung durch fortgeschrittene KI-Modelle sichtbar wurden. Er nannte Mythos von Anthropic als eines der Modelle, die dabei eine Rolle spielen. Die Bank arbeitet allerdings nicht ausschließlich an Befunden dieses einen Modells: Laut CNBC umfasst die Prüfung ein breites Spektrum eigener Software und von Code externer Anbieter. [1][2]
Dass die Auftragnehmer auch Monate nach Beginn des Einsatzes noch tätig waren, deutet auf einen umfangreichen laufenden Behebungsprozess hin. Eine konkrete Zahl der gefundenen Schwachstellen bei Bank of America, eine Aufschlüsselung nach Schweregrad oder ein Abschlussdatum enthält die vorliegende Berichterstattung nicht. Deshalb lässt sich aus dem Personaleinsatz weder die Zahl der Sicherheitslücken noch die Dauer der einzelnen Reparaturen ableiten. [2][3]
Die Arbeit reicht über bankeigene Systeme hinaus
Die Behebung beschränkt sich nicht auf Software, die Bank of America selbst entwickelt hat. Nach dem Bericht von CNBC geht es auch um Code von Anbietern, deren Produkte oder Dienstleistungen die Bank nutzt. Damit umfasst die Aufgabe unterschiedliche Zuständigkeiten: Ein Fehler kann im eigenen Bestand liegen oder in Software, für deren Pflege ein externer Hersteller verantwortlich ist. [2][3]
Diese Abhängigkeit ist für die Umsetzung relevant, weil ein erkannter Fehler nicht automatisch durch das Unternehmen behoben werden kann, das ihn entdeckt. Anbieter müssen gegebenenfalls informiert werden und an einer Korrektur mitwirken. Das ist eine Analyse der beschriebenen Reichweite der Arbeiten; die Quellen legen nicht offen, wie Bank of America einzelne Funde zwischen internen Teams und Lieferanten verteilt oder priorisiert. [2][3]
Für Unternehmen mit umfangreichen IT-Lieferketten zeigt der Fall, dass ein KI-gestützter Sicherheitscheck auch Software betreffen kann, deren Entwicklung und Wartung außerhalb der eigenen Organisation liegen. Welche konkreten vertraglichen oder technischen Prozesse Bank of America dafür nutzt, ist nicht bekannt. Aus den verfügbaren Angaben lässt sich daher nur die Bedeutung der Lieferantenkomponente ableiten, nicht deren genaue Ausgestaltung. [2]
Anthropic beschreibt ein doppeltes Sicherheitsprofil
Anthropic stellte Mythos im April über das Projekt Glasswing einer begrenzten Gruppe von Partnern zur Verfügung. Das Unternehmen erklärte, das Modell habe Tausende schwerwiegende Sicherheitslücken gefunden. Diese Zahl beschreibt Anthropics eigene Angaben zu den Fähigkeiten und Ergebnissen des Modells; sie ist kein Nachweis dafür, wie viele Schwachstellen Mythos bei Bank of America entdeckt hat. [1]
Nach der Darstellung eines weiteren Berichts kann Mythos aufgrund seiner Fähigkeiten beim Programmieren und Schlussfolgern sowohl dabei helfen, Fehler zu beheben, als auch Schwachstellen auszunutzen. Die Sicherheitsrelevanz liegt demnach nicht allein in der Erkennung: Dieselben Fähigkeiten, die Verteidigern bei der Analyse helfen, könnten auch für Angriffe nutzbar sein. [3]
Anthropics geschilderter Prüfprozess unterscheidet zwischen einem möglichen Fund und einer bestätigten, relevanten Schwachstelle. Der Bericht beschreibt, dass ein KI-Agent verdächtigen Code untersucht, die vermutete Schwäche erprobt und bei Erfolg einen Fehlerbericht mit Reproduktionsschritten erstellt. Eine weitere Modellprüfung soll anschließend einschätzen, ob der Fund tatsächlich besteht und bedeutsam ist. [3]
Für besonders schwerwiegende Funde sah der von Anthropic beschriebene Ablauf zusätzlich eine Prüfung durch Fachleute vor, bevor die für die Software verantwortlichen Maintainer informiert wurden. Anthropic erklärte dem Bericht zufolge, dass zum Zeitpunkt seiner Veröffentlichung im April weniger als ein Prozent der potenziellen, vom Unternehmen entdeckten Schwachstellen vollständig behoben gewesen sei. Diese Angabe bezieht sich auf Anthropics Befunde, nicht auf die Systeme von Bank of America. [3]
Entdeckung ist nicht gleich Behebung
Der Ablauf macht deutlich, warum eine hohe Zahl automatisiert erkannter Schwachstellen nicht unmittelbar einer ebenso hohen Zahl abgeschlossener Reparaturen entspricht. Ein Fund muss bestätigt und bewertet werden; anschließend sind Zuständigkeiten zu klären und Korrekturen umzusetzen. Bei Software von Drittanbietern kann zudem die Mitwirkung des jeweiligen Herstellers erforderlich sein. Diese Folgerung ergibt sich aus dem von Anthropic beschriebenen Prüfprozess und der von CNBC berichteten Einbeziehung von Anbieter-Code. [2][3]
Für die Praxis bedeutet das analytisch: Der Engpass kann nach der automatisierten Suche in der Bewertung und Umsetzung liegen. Der von Anthropic beschriebene zusätzliche menschliche Review soll nach Unternehmensdarstellung helfen, schwerwiegende Funde gezielt weiterzugeben. Zugleich zeigt die berichtete geringe Patch-Quote zum Zeitpunkt der Veröffentlichung, dass zwischen einem potenziellen Fund und einer vollständig eingespielten Korrektur Zeit liegen kann. Die Quellen belegen jedoch nicht, dass dieser Wert auf die Systeme oder Abläufe von Bank of America übertragbar wäre. [3]
Moynihan bezeichnete das Risiko durch fortgeschrittene Modelle als real und sagte, die Bank habe früh im Jahr versucht, die Arbeit rasch voranzutreiben. Welche konkreten Sicherheitsvorfälle, Ausnutzungen oder Schäden bei Bank of America Anlass für einzelne Maßnahmen waren, geht aus den vorliegenden Berichten nicht hervor. Die Meldung handelt von vorsorglicher beziehungsweise notwendiger Behebung erkannter Softwarelücken, nicht von einem bestätigten Angriff auf die Bank. [2]
Die Kostenangabe ist kein Mythos-spezifischer Betrag
Moynihan sprach für das dritte Quartal von Ausgaben in Höhe von einigen hundert Millionen Dollar für Softwarebehebungen und regulatorische Themen im Zusammenhang mit der Geldwäscheprävention. Die Summe fasst damit unterschiedliche Arbeitsbereiche zusammen. Einen separaten Betrag für das Schließen von Softwarelücken nannte er nicht; erst recht lässt sich daraus keine isolierte Rechnung für Mythos ableiten. [1][2]
Die Trennung ist für die finanzielle Einordnung wesentlich. Die berichtete Gesamtsumme kann nicht vollständig den KI-entdeckten Schwachstellen zugeschrieben werden, weil sie auch Aufwendungen für Anti-Geldwäsche-Anforderungen enthält. Die Quellen schlüsseln zudem weder die Personalkosten der Auftragnehmer noch Kosten pro Schwachstelle oder die Aufteilung zwischen eigener und fremder Software auf. [1][2]
Moynihan erwartet, dass die Kosten für Patches mit der Zeit zurückgehen, wenn die Bank die offenen Arbeiten abarbeitet. Das ist eine Einschätzung des Managements, kein veröffentlichter Zeitplan oder Nachweis, dass der Aufwand bereits sinkt. Eine konkrete Prognose für die Gesamtkosten oder den Zeitpunkt des Abschlusses wurde in den vorliegenden Berichten nicht genannt. [2][3]
Für die Budgetplanung anderer Unternehmen lässt sich daraus analytisch ableiten, dass eine gemeinsame Kostenkennzahl für Sicherheitsbehebungen und Compliance wenig über die tatsächlichen Kosten eines einzelnen KI-Sicherheitsprogramms aussagt. Eine belastbare Bewertung würde getrennte Angaben zu Personal, Prüfaufwand, externen Anbietern und Umsetzung erfordern. Solche Detailzahlen liegen für Bank of America hier nicht vor. [2]
Sicherheitsaufwand neben erwarteten KI-Einsparungen
Moynihan verwies zugleich auf rund 130 interne KI-Projekte bei Bank of America. Nach seinen Angaben sollen die daraus erwarteten Einsparungen von 300 Millionen Dollar im laufenden Jahr auf 700 Millionen Dollar im Jahr 2027 steigen. Es handelt sich um Prognosen des Unternehmens; die vorliegenden Angaben erläutern nicht, wie die Einsparungen berechnet werden oder welcher Anteil auf einzelne Projekte entfällt. [2]
Damit stehen in der Berichterstattung zwei unterschiedliche Seiten des KI-Einsatzes nebeneinander: erwartete Effizienzgewinne aus internen Projekten und zusätzliche Arbeit zur Behebung von Softwarelücken, die durch leistungsfähige Modelle sichtbar werden. Die Zahlen erlauben keinen direkten Nettovergleich, weil die Einsparungsprognose und die gebündelte Ausgabe im dritten Quartal unterschiedliche Zeiträume und Kostenarten betreffen. [2]
CNBC berichtet außerdem, dass die Belegschaft der Bank im vergangenen Jahr um etwa 3.400 Personen sank und rund fünf Prozent der Führungskräfte abgebaut wurden. Wie viel davon auf KI zurückzuführen ist, sei unklar. Die Personalentwicklung sollte daher nicht als belegter KI-bedingter Stellenabbau interpretiert werden. [2]
Was Unternehmen aus dem Fall ableiten können
Der Einsatz von 1.000 Auftragnehmern neben 3.000 internen Beschäftigten zeigt, dass KI-gestützte Erkennung in großem Maßstab zusätzliche personelle Kapazität für die Behebung nach sich ziehen kann. Das ist keine allgemeingültige Prognose für andere Organisationen: Die Quellen nennen weder die Zahl der geprüften Systeme noch den Umfang der gefundenen Fehler bei Bank of America. Sie belegen aber, dass ein großer Finanzkonzern für diese Arbeiten ein eigenes, umfangreiches Team eingesetzt hat. [1][2]
Analytisch spricht der Fall dafür, KI-Sicherheitswerkzeuge nicht nur als Prüfsoftware zu betrachten. Unternehmen müssen auch die nachgelagerten Schritte einplanen: Befunde validieren, Risiken priorisieren, Korrekturen entwickeln und – bei Fremdsoftware – mit Lieferanten abstimmen. Die von Anthropic beschriebene menschliche Kontrolle und die bei Bank of America berichtete Einbeziehung von Anbieter-Code stützen diese Einordnung, ohne dass daraus eine konkrete Vorgabe für jede Organisation folgt. [2][3]
Zugleich sollte die Wirkung solcher Modelle weder an einer Zahl potenzieller Funde noch an einer unaufgeschlüsselten Kostensumme gemessen werden. Aussagekräftiger wären Angaben dazu, welche Funde bestätigt, wie viele behoben und in welchem Zeitraum Korrekturen umgesetzt wurden. Für Bank of America enthalten die vorliegenden Berichte solche Kennzahlen nicht. Offen bleibt damit, wie groß der tatsächlich festgestellte Bestand an Schwachstellen ist und wann die Bank die zusätzlichen Behebungsarbeiten abschließen kann. [1][2][3]
Quellen
- [1] Bank of America puts 4,000 people on fixing vulnerabilities uncovered by Anthropic's Mythos and other AI models — https://the-decoder.com/bank-of-america-puts-4000-people-on-fixing-vulnerabilities-uncovered-by-anthropics-mythos-and-other-ai-models (abgerufen am 2026-10-15)
- [2] Anthropic Mythos: Bank of America hired 1,000 contractors to patch flaws — https://www.cnbc.com/2026/10/14/anthropic-mythos-bank-of-america-hiring-cost.html (abgerufen am 2026-10-15)
- [3] Bank of America adds 1,000 contractors to fix software flaws exposed by AI — https://superpowerdaily.com/posts/bank-of-america-adds-1-000-contractors-to-fix-software-flaws-exposed-by-ai (abgerufen am 2026-10-15)
//Nächster Artikel
Google stellt Gemini 4 Argon als Modell für Steuerung, Simulation und Datenauswertung in der Robotik vor. Demos zeigen Fortschritte, aber auch Grenzen.
// Artikel teilen
// Dranbleiben
Mindverse News folgen
Neue Meldungen erhalten Sie über unseren RSS-Feed oder auf LinkedIn.
Passend dazu in Mindverse Studio
Recherchieren Sie KI-News wie diese selbst — mit Mindverse Studio.
7 Tage kostenlos testen — ohne Kreditkarte, mit 200 Credits. Für Fragen zur Umsetzung buchen Sie eine persönliche Demo.