Achar falhas é barato: os 1.000 terceirizados do Bank of America mostram quem paga

E se a parte mais cara de um avanço da IA em cibersegurança não for a IA? A resposta do Bank of America, dada da forma menos glamorosa possível, é 1.000 pessoas a mais com notebooks.

A conta do Mythos de um banco é paga em gente, não em licenças

O CEO Brian Moynihan disse à CNBC que o banco contratou 1.000 terceirizados para corrigir falhas de software expostas pelo Mythos, da Anthropic. Segundo a Finextra, eles trabalham ao lado de 3.000 funcionários internos. O resumo da manchete da TechRadar diz que o esforço chegou a centenas de milhões, mas trataríamos esse número com cautela até o banco detalhá-lo.

É uma rara oportunidade de ver o que a era Mythos custa a uma instituição real, e não se trata de uma taxa de licença de modelo.

Descobrir ficou barato; consertar, não

A Anthropic afirma que o Mythos encontrou milhares de vulnerabilidades até então desconhecidas e, segundo o resumo da ArmorCode, gerou exploits funcionais de primeira em mais de 83% dos casos. Impressionante. Mas um relatório de bug não é uma correção. Alguém precisa entender o código, alterá-lo, testá-lo, agendá-lo e evitar derrubar um sistema de pagamentos numa terça-feira.

Essa é a parte que ninguém consegue escalar com um comunicado de imprensa. Nossa opinião: o gargalo saiu da descoberta e foi para a mão de obra de correção, e o quadro extra do Bank of America é a primeira etiqueta de preço concreta dessa mudança. O setor de segurança há muito tempo tem mais achados do que correções. O Mythos não criou esse acúmulo; como diz a Mitiga, ele expôs o quanto o acúmulo já era insustentável. Achamos que está certo.

Há também um ponto mais discreto. Como informou a CNBC, pesquisadores dizem que boa parte do que o Mythos encontrou pode ser reproduzida com modelos públicos já existentes, orquestrados com inteligência. Se for assim, a oferta de achados não depende de um único modelo de acesso restrito. Ela vai continuar chegando, de várias ferramentas, a toda empresa que tenha código.

Os bancos sentem primeiro porque não podem furar a fila

Os bancos operam sistemas centrais antigos, integrações com terceiros e um controle de mudanças pesado, justamente onde as correções são mais lentas. Um comentarista do setor bancário argumentou que os provedores de sistemas centrais costumam representar a maior superfície de ataque de um banco. É uma opinião, mas combina com o formato do problema: não dá para corrigir o código de um fornecedor contratando um terceirizado.

Os reguladores também não avaliam intenções. O mesmo comentário observa que, após um incidente, o escrutínio recai sobre se a instituição tinha controle na velocidade que a ameaça exigia. Portanto, um banco com acúmulo de pendências tem um problema de governança, não só de TI. Colocar 1.000 pessoas nisso é a resposta racional de uma instituição que não pode ser a lenta.

Reparem em quem ganha. Não os defensores, ao menos por enquanto. Apostaríamos que os vencedores até agora são as empresas que vendem correção: terceirizados, fornecedores de automação e ferramentas de controles compensatórios. Fornecedores como a Moderne vendem exatamente isso, alegando que corrigir uma vulnerabilidade em 2.000 repositórios não deveria custar 2.000 vezes mais. É marketing, e não comprovado aqui, mas aponta para onde o dinheiro pode estar indo.

Contratar gente é um paliativo, não uma estratégia

Contratar terceirizados escala de forma linear; os achados talvez não. Se, como a equipe da Anthropic estima, segundo relatos, capacidades comparáveis chegarem a outros laboratórios em seis a dezoito meses, muitas grandes empresas logo apontarão essas ferramentas para o próprio código proprietário. Segundo a ArmorCode, os acúmulos poderiam crescer em ordens de magnitude. Ninguém sai disso contratando.

Então o que o leitor, ou o CISO, deve fazer? Três coisas, na nossa opinião. Priorizar sem dó pela exposição real, não pela gravidade bruta. Pré-autorizar mitigações como o isolamento, para que não esperem a próxima janela de mudanças. E orçar para corrigir, não para encontrar: se a linha do orçamento de varredura com IA for maior que a de correção, você provavelmente entendeu mal o problema.

O veredicto

Para os clientes comuns que perguntam se o dinheiro deles está seguro: nada do que vimos nas reportagens diz que o Bank of America foi hackeado. É a história de um banco que gasta muito para se antecipar a falhas, o que é melhor do que ignorá-las. A lição não é que a IA quebrou o sistema bancário. É que a conta da descoberta em velocidade de IA cai sobre o reparo em velocidade humana, e 1.000 terceirizados são apenas a primeira fatura que vemos.