Bank of America hat festgestellt, dass bei KI-gestützter Sicherheit nicht das Aufspüren von Fehlern der teure Teil ist. Teuer ist es, sie zu beheben. Die Bank hat 1.000 externe Fachkräfte hinzugezogen, um Software-Schwachstellen zu beheben, die fortschrittliche KI-Modelle entdeckt haben, darunter Mythos von Anthropic. Und laut ihrem CEO geht das ins Geld.
Was die Bank mitgeteilt hat
CEO Brian Moynihan berichtete Analysten von den externen Fachkräften, nachdem die Bank ihre Quartalsergebnisse veröffentlicht hatte. Die 1.000 Fachkräfte wurden im zweiten Quartal engagiert und sind weiterhin im Einsatz. Sie arbeiten an der Seite von 3.000 internen Spezialisten, die sich um Sicherheit und die Behebung von Softwaremängeln kümmern.
Damit arbeiten bei der Bank nun rund 4.000 Menschen an dem Problem, ein Viertel davon auf Vertragsbasis. Das ist ein großes Team für die Aussage „Wir haben ein paar Probleme gefunden“.
Wessen Code geprüft wird
In diesem Jahr prüft die Bank zwei Arten von Software und behebt darin Fehler:
- Eigener Code. Programme, die sie selbst geschrieben hat und selbst wartet.
- Software von Drittanbietern. Programme externer Anbieter, die die Bank ebenfalls bewerten muss.
Moynihan zufolge sind die Risiken real. Nach seiner Darstellung müssen Banken Bedrohungen einen Schritt voraus sein und zugleich beurteilen, wie sicher die Produkte ihrer Anbieter sind. Die zweite Aufgabe ist die unangenehmere, denn eine Bank kann ihren eigenen Code korrigieren, beim Code aller anderen aber nur höflich nachfragen.
Die Kosten
Moynihan sagte, die Bank habe im dritten Quartal mehr als 200 Millionen US-Dollar für die Behebung von Schwachstellen und für Maßnahmen zur Einhaltung regulatorischer Vorgaben ausgegeben. Der Bericht nennt dafür eine gemeinsame Summe und schlüsselt nicht auf, wie sich das Geld auf die beiden Bereiche verteilt.
Das Management erwartet, dass die Ausgaben für die Behebung von Softwaremängeln mit der Zeit sinken. Die Überlegung dahinter ist einfach: Sobald der aufgelaufene Rückstau an Problemen abgearbeitet ist, gibt es weniger abzuarbeiten. Ob sich danach erneut ein Rückstau bildet, ist eine Frage, auf die der Bericht nicht eingeht.
Warum Mythos hier wichtig ist
Anthropic gewährte im April Zugang zu Mythos, allerdings nur einem begrenzten Kreis von Banken, Technologieunternehmen und staatlichen Stellen. Nach dem Erscheinen des Modells begannen US-Banken, ihre Softwaresysteme zu scannen.
Der berichtete Effekt auf das Tempo ist bemerkenswert. Schwachstellen, deren Behebung früher wochenlang warten konnte, werden nun innerhalb weniger Tage behoben. Die Zahl der gefundenen Fehler ging in die Tausende, die meisten waren jedoch von geringem oder mittlerem Schweregrad.
Dieses letzte Detail verdient einen Moment Aufmerksamkeit. Tausende Befunde klingen alarmierend und bedeuten Arbeit, doch laut dem Bericht waren die meisten nicht von der Sorte, die einen Sicherheitschef nachts wach hält. Die Kosten entstehen durch die Masse, nicht durch eine Serie von Katastrophen.
Die Compliance-Rechnung nebenan
Die zusätzlichen Kosten hängen auch mit Vorgaben zur Bekämpfung von Geldwäsche zusammen. Am Dienstag vor Erscheinen des Berichts gab das US-amerikanische Financial Crimes Enforcement Network (FinCEN) eine Geldstrafe von 1,2 Milliarden US-Dollar gegen Bank of America bekannt, weil sie verdächtige Transaktionen nicht ordnungsgemäß gemeldet hatte.
Der Bericht stellt diese Geldstrafe neben die Ausgaben für die Behebung von Softwaremängeln und ordnet beides der Compliance-Belastung der Bank zu. Er sagt nicht, dass die Strafe in den 200 Millionen US-Dollar enthalten ist, und sollte auch nicht so gelesen werden.
Was sich daraus mitnehmen lässt
Die Geschichte ist ein nützliches Korrektiv zur Vorstellung, KI-gestützte Sicherheitstools seien ein Mittel zur Kostensenkung. Zumindest im ersten Jahr erzeugen diese Tools Arbeit. Ein Modell, das Tausende Schwachstellen aufspüren kann, erzeugt eine Warteschlange, und für deren Abarbeitung braucht es Menschen.
Das beschriebene Muster – eine Einstellungswelle im zweiten Quartal, hohe Ausgaben im dritten und die Hoffnung auf niedrigere Kosten danach – sieht nach einer einmaligen Aufräumaktion aus, gefolgt von einem erhofften stabilen Kostenniveau. Das ist die Erwartung des Managements, kein bereits erzieltes Ergebnis.
Die kürzeren Behebungszeiten sind der Aspekt, den es zu beobachten lohnt. Wird eine Schwachstelle, die früher wochenlang offen blieb, nun innerhalb von Tagen geschlossen, verkleinert sich das Zeitfenster, in dem Angreifer sie ausnutzen können. Der Bericht nennt keine Zahlen dazu, um wie viel es schrumpft, sondern zeigt nur die Richtung.
Kurz gesagt: Für eine Bank ist die Ankunft eines Modells, das alles findet, eine wunderbare Nachricht – und zugleich eine Rechnung. Bank of America hat sich entschieden, sie mit 1.000 zusätzlichen Paar Händen zu begleichen.