Trovare bug costa poco: i 1.000 collaboratori esterni di Bank of America mostrano chi paga

E se la parte più costosa di una svolta dell'IA nella sicurezza informatica non fosse l'IA? La risposta di Bank of America, data nel modo meno glamour possibile, è 1.000 persone in più con un portatile.

Il conto di Mythos per una banca si paga in persone, non in licenze

L'amministratore delegato Brian Moynihan ha detto alla CNBC che la banca ha assunto 1.000 collaboratori esterni per correggere falle software scoperte da Mythos di Anthropic. Secondo Finextra, lavorano accanto a 3.000 dipendenti interni. Il riassunto nel titolo di TechRadar parla di centinaia di milioni, ma noi tratteremmo quella cifra con cautela finché la banca non la dettaglia.

È un raro sguardo su quanto costi l'era Mythos a un'istituzione reale, e non si tratta del canone di licenza di un modello.

Scoprire è diventato economico; riparare no

Anthropic sostiene che Mythos abbia trovato migliaia di vulnerabilità prima sconosciute e, secondo il riepilogo di ArmorCode, abbia prodotto exploit funzionanti al primo tentativo in oltre l'83% dei casi. Impressionante. Ma una segnalazione di bug non è una correzione. Qualcuno deve capire il codice, modificarlo, testarlo, pianificarlo ed evitare di bloccare un sistema di pagamenti di martedì.

Questa è la parte che nessuno può scalare con un comunicato stampa. Il nostro parere: il collo di bottiglia si è spostato dalla scoperta alla manodopera per la correzione, e il personale in più di Bank of America è il primo cartellino del prezzo concreto di questo spostamento. Il settore della sicurezza ha da tempo più scoperte che correzioni. Mythos non ha creato questo arretrato; come dice Mitiga, ha messo in luce quanto fosse già insostenibile. Crediamo abbia ragione.

C'è anche un punto più discreto. Come ha riferito la CNBC, i ricercatori affermano che gran parte di ciò che Mythos ha trovato si può riprodurre con modelli pubblici già esistenti, orchestrati con ingegno. Se è così, l'offerta di scoperte non dipende da un unico modello ad accesso limitato. Continuerà ad arrivare, da molti strumenti, a ogni azienda che ha del codice.

Le banche lo sentono per prime perché non possono saltare la coda

Le banche gestiscono vecchi sistemi centrali, integrazioni con terze parti e un controllo dei cambiamenti rigido, cioè esattamente dove le correzioni sono più lente. Un commentatore del settore bancario sosteneva che i fornitori dei sistemi centrali rappresentano spesso la maggiore superficie di attacco di una banca. È un'opinione, ma combacia con la forma del problema: non si corregge il codice di un fornitore assumendo un collaboratore esterno.

Nemmeno i regolatori valutano le intenzioni. Lo stesso commento osserva che, dopo un incidente, l'attenzione cade su se l'istituto avesse il controllo alla velocità richiesta dalla minaccia. Quindi una banca con un arretrato ha un problema di governance, non solo informatico. Metterci 1.000 persone è la risposta razionale di un'istituzione che non può permettersi di essere la più lenta.

Notate chi vince. Non i difensori, almeno per ora. Scommetteremmo che finora i vincitori siano le aziende che vendono rimedi: collaboratori esterni, fornitori di automazione e strumenti di controlli compensativi. Fornitori come Moderne propongono proprio questo, sostenendo che correggere una vulnerabilità in 2.000 repository non dovrebbe costare 2.000 volte di più. È marketing, e qui non è provato, ma indica dove potrebbe andare il denaro.

Assumere è un ripiego, non una strategia

Assumere collaboratori esterni scala in modo lineare; le scoperte forse no. Se, come il team di Anthropic avrebbe stimato, capacità comparabili si diffonderanno ad altri laboratori entro sei-diciotto mesi, molte grandi aziende punteranno presto questi strumenti sul proprio codice proprietario. Secondo ArmorCode, gli arretrati potrebbero crescere di ordini di grandezza. Nessuno ne esce assumendo.

Cosa dovrebbe fare allora il lettore, o il CISO? Tre cose, a nostro avviso. Dare priorità senza pietà in base all'esposizione reale, non alla gravità grezza. Preautorizzare mitigazioni come l'isolamento, così non aspettano la prossima finestra di modifica. E stanziare il budget per correggere, non per trovare: se la voce di scansione con IA è più grande di quella di correzione, probabilmente hai frainteso il problema.

Il verdetto

Per i clienti comuni che si chiedono se i loro soldi siano al sicuro: nulla di ciò che abbiamo letto dice che Bank of America sia stata violata. È la storia di una banca che spende molto per anticipare le falle, il che è meglio che ignorarle. La lezione non è che l'IA abbia rotto il sistema bancario. È che il conto della scoperta a velocità IA ricade su una riparazione a velocità umana, e 1.000 collaboratori esterni sono semplicemente la prima fattura che vediamo.