Bank of America mette 4.000 persone a sistemare i buchi trovati dall'AI

La banca ha assunto mille collaboratori esterni e ne ha affiancati tremila interni per correggere le falle segnalate da modelli AI come Mythos di Anthropic: un conto da centinaia di milioni di dollari.

Perché conta

Mostra due cose insieme: un'AI può davvero aiutare a trovare falle di sicurezza vecchie di decenni, ma le cifre più eclatanti restano difficili da verificare dall'esterno, e anche quando l'AI trova il problema restano necessarie migliaia di persone per risolverlo.

In pratica

Per chi lavora in un'azienda, specie in settori regolamentati come quello bancario, è un segnale concreto: adottare un'AI per la sicurezza informatica non riduce subito il personale necessario, anzi può richiederne di più nella fase di correzione.

Bank of America ha messo al lavoro circa 4.000 persone — mille collaboratori esterni appena assunti e tremila dipendenti interni — per correggere le vulnerabilità di sicurezza che modelli di intelligenza artificiale, tra cui Mythos di Anthropic, hanno individuato nei suoi sistemi. Lo ha raccontato il CEO Brian Moynihan, riportato da CNBC: il lavoro va avanti dal secondo trimestre dell'anno e solo nel terzo la banca ha speso alcune centinaia di milioni di dollari, sommando la correzione del software e gli obblighi antiriciclaggio. Secondo Moynihan i costi di questa fase dovrebbero scendere nel tempo.

Mythos è il modello che Anthropic non ha mai reso pubblico, disponibile solo a partner selezionati dentro un programma chiamato Project Glasswing, partito ad aprile 2026 con aziende come Microsoft, Google, Cisco, AWS, JPMorgan Chase e Palo Alto Networks. Anthropic lo tiene chiuso perché, dice, è troppo efficace nel trovare falle di sicurezza per rilasciarlo liberamente. L'azienda sostiene che Mythos abbia individuato migliaia di vulnerabilità gravi, alcune vecchie di decenni: una falla in OpenBSD rimasta nascosta per 27 anni, un difetto di 16 anni nel codec video di FFmpeg.

Qui vale la pena rallentare, perché è proprio il punto su cui SIGNAL vuole essere prudente. A metà aprile l'azienda di sicurezza VulnCheck ha provato a contare quante di queste scoperte fossero verificabili pubblicamente, cercando i codici CVE (gli identificativi ufficiali con cui si registra una vulnerabilità nota). Risultato: un solo CVE risultava attribuito esplicitamente a Project Glasswing, su un totale di 40 legati in generale a ricercatori Anthropic. Anthropic aveva promesso un bilancio completo per luglio 2026: alla data di oggi non risulta pubblicato un conteggio aggiornato e verificabile delle vulnerabilità realmente trovate da Mythos.

Questo non significa che Mythos non funzioni, né che il lavoro di Bank of America sia inutile: le vulnerabilità possono restare riservate finché non vengono corrette, proprio per non dare indicazioni a chi vorrebbe sfruttarle, e la banca ha tutto l'interesse a sistemarle prima che diventino un problema reale. Significa però che la distanza tra quello che un'azienda dichiara («migliaia di falle trovate») e quello che si può controllare da fuori resta enorme, e che un'AI capace di scovare problemi di sicurezza non elimina il bisogno di migliaia di persone che li risolvano davvero: semmai, in questo caso, lo aumenta.