Bank of America contrata 1.000 terceirizados para corrigir falhas de seguranca expostas pelo modelo Mythos da Anthropic
O CEO do Bank of America, Brian Moynihan, revelou que o banco mobilizou 1.000 contratados adicionais, somados aos 3.000 profissionais de seguranca ja existentes, para corrigir vulnerabilidades no codigo interno e de fornecedores que foram reveladas por modelos de IA de fronteira, incluindo o Mythos da Anthropic. O esforco de remediacao custou ao banco mais de uma centena de milhoes de dolares no terceiro trimestre. O caso ilustra um efeito colateral pouco discutido do avanco de modelos de IA em analise de codigo: eles encontram vulnerabilidades legadas mais rapido do que as equipes de seguranca humanas conseguem corrigi-las.
O relato de Moynihan, feito em entrevista apos a divulgacao de resultados do terceiro trimestre, descreve um cenario em que a chegada de modelos de IA de fronteira capazes de analisar grandes bases de codigo obrigou o banco a reagir em escala emergencial. Segundo ele, quando esses modelos passaram a ser usados para revisar o codigo interno e de fornecedores do Bank of America, surgiu um volume de vulnerabilidades identificadas grande o suficiente para justificar a contratacao as pressas de 1.000 terceirizados somente para aplicar correcoes, trabalho que se somou a estrutura de 3.000 pessoas que a area de seguranca ja mantinha.
O ponto tecnico central e que ferramentas de IA de ultima geracao, como o Mythos da Anthropic, tem capacidade de raciocinio sobre codigo superior a scanners estaticos tradicionais (SAST) e a auditorias manuais, conseguindo encontrar padroes de vulnerabilidade mais sutis — como falhas logicas, violacoes de invariantes de negocio ou combinacoes de condicoes que exigem entender o contexto de varias funcoes ao mesmo tempo. Isso significa que um banco com decadas de sistemas legados acumulados pode, de repente, descobrir uma quantidade de divida tecnica de seguranca que antes permanecia invisivel simplesmente porque nenhuma ferramenta conseguia encontra-la em escala.
Esse efeito cria uma dinamica de risco invertida em relacao ao discurso habitual sobre “IA ofensiva”: nao e necessariamente um atacante usando IA contra o banco, mas o proprio banco usando IA defensivamente e descobrindo que sua superficie de ataque real era maior do que se sabia. O problema e que essa descoberta cria uma janela de exposicao: entre o momento em que a vulnerabilidade e encontrada pela ferramenta de IA (que poderia, em tese, ser replicada por um atacante com acesso a modelos equivalentes) e o momento em que a correcao e efetivamente implantada, existe um risco real de exploracao por terceiros que tenham a mesma capacidade analitica.
O caso tem relevancia pratica para qualquer organizacao com bases de codigo grandes e antigas: a adocao de modelos de IA fronteira para auditoria de seguranca interna deve vir acompanhada de um plano de remediacao em escala, incluindo orcamento para contratacao emergencial, priorizacao de achados por explorabilidade real e, idealmente, coordenacao com a propria fabricante do modelo sobre divulgacao responsavel — pois a mesma capacidade que ajuda o defensor pode, em maos de um atacante com acesso similar, reduzir drasticamente o tempo necessario para encontrar e explorar falhas em sistemas financeiros criticos.