Bank of America выяснил, что самая затратная часть обеспечения безопасности с помощью ИИ — не поиск ошибок. А их исправление. Банк привлёк 1 000 подрядчиков для устранения уязвимостей в ПО, выявленных передовыми моделями ИИ, в том числе Mythos от Anthropic, и, по словам его генерального директора, расходы вполне ощутимы.
Что рассказал банк
Генеральный директор Брайан Мойнихан рассказал аналитикам о подрядчиках после публикации квартальных результатов банка. Эту тысячу специалистов наняли во втором квартале, и они до сих пор работают. Вместе с ними трудятся 3 000 штатных специалистов, которые занимаются безопасностью и устранением проблем в ПО.
Таким образом, сейчас над этой задачей в банке работают около 4 000 человек, четверть из них — на контрактной основе. Немалая команда для задачи, сформулированной как «мы нашли кое-какие проблемы».
Чей код проверяют
В этом году банк проверяет и исправляет два вида ПО:
- Собственный код. Программы, которые банк написал и поддерживает сам.
- ПО сторонних поставщиков. Программы от внешних поставщиков, которые банку тоже необходимо оценивать.
Мойнихан заявил, что риски реальны. По его словам, банкам необходимо действовать на опережение угроз и одновременно оценивать безопасность продуктов своих поставщиков. Вторая задача менее комфортна: собственный код банк может исправить, а насчёт чужого — лишь вежливо поинтересоваться.
Цена вопроса
Мойнихан сообщил, что в третьем квартале банк потратил более 200 млн долларов на устранение уязвимостей и меры, связанные с соблюдением регуляторных требований. В публикации эти расходы приведены одной общей суммой, поэтому из неё нельзя узнать, как деньги распределяются между двумя направлениями.
Руководство ожидает, что со временем расходы на устранение проблем в ПО сократятся. Логика достаточно проста: когда накопившиеся проблемы будут устранены, исправлять придётся меньше. Не начнёт ли эта очередь расти снова — вопрос, который в публикации не рассматривается.
Почему здесь важна Mythos
Anthropic предоставила доступ к Mythos в апреле, но лишь ограниченному кругу банков, технологических компаний и государственных органов. После появления модели банки США начали сканировать свои программные системы.
Сообщается о заметном сокращении сроков. Уязвимости, исправление которых раньше могло ждать неделями, теперь устраняют за несколько дней. Число найденных дефектов исчислялось тысячами, хотя большинство из них имело низкую или среднюю степень серьёзности.
На последней детали стоит остановиться. Тысячи находок звучат тревожно, и работы действительно немало, но, как сказано в публикации, большинство из них не относится к тем, из-за которых руководитель службы безопасности теряет сон. Расходы связаны с объёмом, а не с чередой катастроф.
Ещё один счёт за комплаенс
Дополнительные расходы также связаны с требованиями по борьбе с отмыванием денег. Во вторник, предшествовавший публикации, Сеть по борьбе с финансовыми преступлениями США (FinCEN) объявила о штрафе в размере 1,2 млрд долларов для Bank of America за ненадлежащее информирование о подозрительных операциях.
В публикации этот штраф упоминается наряду с расходами на устранение уязвимостей как часть издержек банка на соблюдение требований. В ней не говорится, что штраф входит в сумму 200 млн долларов, и трактовать текст таким образом не следует.
Какие выводы можно сделать
Эта история помогает скорректировать представление о том, что инструменты безопасности на базе ИИ — это средство экономии. По крайней мере в первый год они создают работу. Модель, способная обнаружить тысячи уязвимостей, формирует очередь задач, а для работы с этой очередью нужны люди.
Описанная картина — волна найма во втором квартале, большие расходы в третьем и надежда на их снижение в дальнейшем — напоминает разовую расчистку, после которой рассчитывают выйти на стабильный уровень расходов. Это ожидание руководства, а не достигнутый результат.
За чем действительно стоит следить, так это за сокращением сроков исправления. Если уязвимость, которая раньше оставалась неисправленной неделями, теперь закрывают за несколько дней, окно возможностей для атакующих сужается. В публикации нет цифр, показывающих, насколько именно, — только направление изменений.
Словом, для банка появление модели, которая находит всё, — это и прекрасная новость, и счёт к оплате. Bank of America решил оплатить его силами 1 000 дополнительных пар рук.