Bank of America: 1000 konsulenter – Mythos, Q2, 200 mill.+

Bank of America hentet 1000 eksterne konsulenter i andre kvartal for å lappe sårbarheter som avanserte KI-modeller, inkludert Anthropics Mythos, hadde avdekket i bankens egen kode og i leverandørprogramvare. De jobber fortsatt, oppå 3000 interne folk i samme område. Det er en av de første gangene en storbank setter tall på bemanningen KI-drevet sårbarhetsjakt faktisk krever.

CEO Brian Moynihan sa det til CNBC onsdag 14. oktober, etter kvartalstallene. «That risk is real risk», sa han om frontier-modellene. Da de kom, satte «a lot of us» seg ned og spurte hvordan de skulle komme gjennom det raskt.

Hva banken faktisk betalte

Moynihan fortalte analytikerne at banken i tredje kvartal brukte «a couple of hundred million plus» på programvareutbedring og regulatoriske saker knyttet til anti-hvitvasking. Han splittet ikke beløpet. The Register understreker det samme: Mythos-lapping og AML-opprydding er slått sammen. Styret kan ikke lese 200 millioner dollar som en ren Mythos-regning.

Samme dag rykket aksjen ned inntil 8 prosent. Resultatet falt 17 prosent, drevet av et forlik på 1,21 milliarder dollar med FinCEN, pluss 750 millioner dollar fra OCC og 11,6 millioner dollar fra OFAC. Det er sanksjoner og hvitvasking, ikke Mythos. Poenget for en nordisk CIO er likevel det samme: når KI-sikkerhet og tilsynskrav treffer i samme kvartal, drukner patch-kapasiteten.

Moynihan sa til CNBC at kostnadene skal falle. «Once you patch, you don’t have to patch as much. … The pipeline moves through.» Konsulentene er midlertidige. De står utenfor headcount.

Leverandøren skriver koden – og selger tjenesten

Den skarpeste setningen er ikke bemanningstallet. «We’ve got to stay ahead of them, and we’ve got to be mindful that the people doing the software development are the people trying to sell us the services,» sa Moynihan. Frontier-modeller som finner hull, selges av de samme husene som leverer sky, modeller og utviklerverktøy. For innkjøp betyr det interessekonflikt i kontrakten, ikke bare en ny skanner.

Mythos ble sluppet i april til en liten krets av banker, teknologiselskaper og myndigheter. CNBC beskriver evnen til å avdekke – og potensielt utnytte – tiårsgamle feil. The Register minner om at Mozilla-CTO Bobby Holley i april sa at Mythos fant 271 feil i Firefox 150, og at de ikke hadde sett en kategori mennesker finner som modellen ikke finner. Han sa også at de ikke hadde sett bugs en eliteforsker ikke kunne ha funnet. Det er ikke magi. Det er tempo.

130 KI-prosjekter mot 1000 lapper

Banken kjører om lag 130 interne KI-prosjekter. Moynihan sa til analytikerne at ingeniørstaben er blitt rundt 10 prosent mer effektiv, og at hvert prosjekt skal gi 2x eller 3x avkastning over tid. Gevinsten fra KI-prosjektene er ventet å stige fra om lag 300 millioner dollar i 2026 til 700 millioner dollar i 2027, ifølge CNBC. The Register gjengir 250–300 millioner dollar i 2026, samme 700 millioner i 2027. Han detaljerte ikke hvordan.

Headcount falt med om lag 3400 det siste året, inkludert kutt på rundt 5 prosent av lederne. Hvor mye som skyldes KI, er uavklart. For styret er fellen å nette KI-gevinst mot en patch-kø som kom fordi samme teknologi åpnet gammel gjeld.

Hva dette betyr i Norge og EØS

Norske banker, forsikring, kraft og offentlig sektor har den samme kombinasjonen: gammel kjerne, mange leverandører, kort tilsynsvindu. Når en modell som Mythos eller tilsvarende går gjennom egen kode og leverandørkode, er flaskehalsen ikke funn. Flaskehalsen er folk som kan verifisere, prioritere, lappe, teste og rulle ut uten å knekke produksjon.

For CIO og CISO er tre beslutninger konkrete nå. For det første: patch-SLA mot aktivt utnyttbare funn må tåle at køen kan hoppe med tusenvis av treff på uker, ikke måneder. For det andre: leverandørkontrakter må kreve responstid, evidens og eierskap når en tredjepartsmodell peker på hull i deres kode – og de må skille «vi selger skanneren» fra «vi eier feilen». For det tredje: styret må få to linjer, ikke én. KI-produktivitet og KI-drevet sårbarhetsgjeld er ikke samme KPI.

Moynihan har rett i at køen kan avta etter første runde. Det forutsetter at ny kode, nye agenter og nye leverandører ikke mater den like fort. I EØS kommer DORA, NIS2 og AI-forordningen oppå dette. En bank som ikke har kapasitet til å lappe det en modell allerede har funnet, har heller ikke et troverdig argument for å slippe løs egne agenter i kjerneprosesser.

Kilder og medier

Primærkilde: CNBC, Hugh Son, «Bank of America hired 1,000 contractors to patch software flaws exposed by Anthropic’s Mythos», publisert 14. oktober 2026 kl. 18:47 UTC, oppdatert 20:06 UTC. https://www.cnbc.com/2026/10/14/anthropic-mythos-bank-of-america-hiring-cost.html

Korroborering: The Register, Connor Jones, 15. oktober 2026 kl. 14:45 UTC. https://www.theregister.com/security/2026/10/15/bank-of-america-had-to-bring-in-1000-contractors-to-patch-all-the-bugs-mythos-identified/5303275

Thumbnail: OpenAI Image 2 / hogby.ai