Encontrar fallos es barato: los 1.000 contratados de Bank of America muestran quién paga

¿Y si lo más caro de un avance de la IA en ciberseguridad no fuera la IA? La respuesta de Bank of America, dada de la forma menos glamurosa posible, son 1.000 personas más con ordenadores portátiles.

La factura de Mythos de un banco se paga en personas, no en licencias

El consejero delegado, Brian Moynihan, dijo a CNBC que el banco contrató a 1.000 externos para corregir fallos de software destapados por Mythos, de Anthropic. Según Finextra, trabajan junto a 3.000 empleados internos. El resumen del titular de TechRadar dice que el esfuerzo alcanzó los cientos de millones, aunque nosotros tomaríamos esa cifra con cautela hasta que el banco la desglose.

Es una de las pocas ocasiones en que vemos lo que cuesta la era Mythos a una institución real, y no es la tarifa de licencia de un modelo.

Descubrir se abarató; reparar, no

Anthropic afirma que Mythos encontró miles de vulnerabilidades desconocidas hasta entonces y, según el resumen de ArmorCode, generó exploits funcionales a la primera en más del 83 % de los casos. Impresionante. Pero un informe de fallo no es una solución. Alguien tiene que entender el código, modificarlo, probarlo, programarlo y evitar que se rompa un sistema de pagos un martes.

Esa es la parte que nadie puede escalar con una nota de prensa. Nuestra opinión: el cuello de botella ha pasado del descubrimiento a la mano de obra de corrección, y la plantilla extra de Bank of America es la primera etiqueta de precio real de ese cambio. El sector de la seguridad lleva tiempo con más hallazgos que arreglos. Mythos no creó ese atasco; como dice Mitiga, dejó al descubierto lo insostenible que ya era. Creemos que tiene razón.

Hay además un matiz más discreto. Según informó CNBC, los investigadores sostienen que buena parte de lo que halló Mythos se puede reproducir con modelos públicos ya existentes, orquestados con astucia. Si es así, la oferta de hallazgos no depende de un único modelo de acceso restringido. Seguirá llegando, desde muchas herramientas, a cualquier empresa con código.

Los bancos lo notan primero porque no pueden saltarse la cola

Los bancos manejan sistemas centrales antiguos, integraciones con terceros y un control de cambios estricto, justo donde las correcciones son más lentas. Un comentarista bancario defendía que los proveedores de sistemas centrales suelen ser la mayor superficie de ataque de un banco. Es una opinión, pero encaja con la forma del problema: no se puede corregir el código de un proveedor contratando a un externo.

Los reguladores tampoco evalúan las intenciones. El mismo comentario señala que, tras un incidente, el escrutinio recae en si la entidad tenía el control a la velocidad que exigía la amenaza. Así, un banco con trabajo acumulado tiene un problema de gobernanza, no solo informático. Poner a 1.000 personas es la respuesta racional de una entidad que no puede permitirse ser la lenta.

Fijaos en quién gana. No los defensores, al menos por ahora. Apostaríamos a que los ganadores hasta ahora son las empresas que venden corrección: contratistas, proveedores de automatización y herramientas de controles compensatorios. Proveedores como Moderne ofrecen justo esto y afirman que corregir una vulnerabilidad en 2.000 repositorios no debería costar 2.000 veces más. Es márketing, y aquí no está probado, pero señala hacia dónde puede ir el dinero.

Ampliar plantilla es un parche, no una estrategia

Contratar externos escala de forma lineal; los hallazgos, quizá no. Si, como estima según se cuenta el equipo de Anthropic, capacidades comparables llegan a otros laboratorios en un plazo de entre seis y dieciocho meses, muchas grandes empresas apuntarán pronto esas herramientas a su propio código privado. Según ArmorCode, el trabajo acumulado podría crecer en órdenes de magnitud. De eso nadie sale contratando.

Entonces, ¿qué debería hacer el lector, o el CISO? Tres cosas, en nuestra opinión. Priorizar sin contemplaciones según la exposición real, no la gravedad en bruto. Preautorizar mitigaciones como el aislamiento para que no esperen a la próxima ventana de cambios. Y presupuestar para corregir, no para encontrar: si la partida de escaneo con IA es mayor que la de corrección, probablemente has entendido mal el problema.

El veredicto

Para los clientes de a pie que se preguntan si su dinero está a salvo: nada de lo que hemos leído indica que Bank of America haya sido hackeado. Es la historia de un banco que gasta mucho para adelantarse a los fallos, lo cual es mejor que ignorarlos. La lección no es que la IA haya roto la banca. Es que la factura del descubrimiento a velocidad de IA recae sobre una reparación a velocidad humana, y 1.000 externos son simplemente la primera factura que vemos.