Bank of America braucht 1.000 Externe für KI-gefundene Lücken

KI-Modelle finden Sicherheitslücken inzwischen schneller, als Unternehmen sie schließen können. Wie teuer das wird, zeigt jetzt Bank of America: Die Bank hat seit dem zweiten Quartal rund 1.000 externe Auftragnehmer eingestellt, die Schwachstellen beheben, die KI-Modelle wie Anthropics Mythos gefunden haben. Das sagte Vorstandschef Brian Moynihan am 14. Oktober, wie CNBC, The Next Web und The Decoder berichten.

1.000 Externe zusätzlich zu 3.000 eigenen Leuten

Die Externen arbeiten laut The Next Web als Berater und tauchen deshalb nicht in der offiziellen Personalstärke auf. Sie ergänzen rund 3.000 eigene Beschäftigte, die schon vorher mit dieser Arbeit befasst waren. Die Lücken stecken nach Moynihans Worten nicht nur im Code der Bank selbst, sondern auch in Software ihrer Dienstleister.

Zu den Kosten im dritten Quartal sagte Moynihan:

A couple hundred million dollars plus.

Gemeint sind also einige hundert Millionen Dollar oder mehr. In dieser Summe steckt allerdings auch die Nachbesserung bei den Kontrollen gegen Geldwäsche, für die US-Behörden am 13. Oktober Strafen von über 1,2 Milliarden Dollar angekündigt haben. Wie viel davon allein auf das Patchen entfällt, sagte Moynihan nicht. Er erwartet aber, dass dieser Anteil sinkt, weil die zusätzlichen Kräfte inzwischen im Einsatz sind.

Woher die Lückenflut kommt

Anthropic hat Mythos im April über das Programm Project Glasswing einer kleinen Gruppe von Unternehmen, Banken und Behörden zur Verfügung gestellt. Ziel war, Schwachstellen zu finden und zu schließen, bevor Angreifer es tun. Anthropic sprach dabei von Tausenden schweren Lücken. Einen Monat später setzten US-Aufsichtsbehörden laut The Next Web sogar einige Cyber-Prüfungen aus, damit die größten Banken die Befunde abarbeiten können.

Bank of America ist kein Einzelfall. JPMorgan-Chef Jamie Dimon sagte schon im Mai, bei seiner Bank seien dauerhaft Hunderte Mitarbeiter mit diesen Funden beschäftigt. Inzwischen hat Anthropic Mythos auch in sein Produkt Claude Security eingebaut, und auch die Hersteller selbst finden mehr: Microsoft hat im Oktober mit über 1.400 Korrekturen einen Rekord-Patchday hingelegt.

Die Aufsicht macht Druck

Auch in Europa wird das Thema zur Pflicht. Die Europäische Zentralbank erwartet laut The Next Web bis Ende Oktober von den Banken Pläne, wie sie mit KI-gestützten Bedrohungen umgehen. Aufsichtsbehörden in den USA und Europa befragen die Institute zudem zu KI-Agenten und Cyberrisiken. Wer Software an Banken liefert, sollte damit rechnen, dass diese Fragen bald im eigenen Postfach landen.

Was das für Ihr Unternehmen heißt

• Patch-Kapazität einplanen: Wenn KI-Scanner in Ihrer Software oder Ihren Abhängigkeiten suchen, kommen Funde in Wellen. Planen Sie feste Zeit dafür ein, statt Lücken nebenher zu schließen.
• Nach Risiko sortieren: Nicht jede gefundene Schwachstelle ist ausnutzbar. Zuerst kommt, was von außen erreichbar ist: Webportale, Schnittstellen, Login und Zahlungswege.
• Zulieferer einbeziehen: Moynihan nennt ausdrücklich den Code externer Dienstleister. Fragen Sie Ihre Software-Lieferanten, ob sie KI-gestützt prüfen und wie schnell sie Funde beheben, und halten Sie das im Vertrag fest.
• Abhängigkeiten aktuell halten: Ein Großteil der Funde liegt in Open-Source-Bibliotheken. Automatische Update-Hinweise und regelmäßige Builds machen spätere Patch-Wellen kleiner.
• Selbst prüfen statt warten: KI-Scanner sind kein Privileg großer Banken mehr. Ein gezielter Scan der eigenen Anwendungen kostet einen Bruchteil dessen, was ein ausgenutzter Fehler kostet.

Fazit

Die Zahlen aus der Bank of America machen sichtbar, was KI-gestützte Fehlersuche im Alltag bedeutet: Das Finden wird billig, das Beheben bleibt teuer. Unternehmen ohne Bankbudget gewinnen vor allem dadurch, dass sie ihre Software schlank, aktuell und gut wartbar halten. Wenn Sie Ihre Webanwendungen und Abhängigkeiten auf Lücken prüfen oder einen tragfähigen Patch-Prozess aufsetzen möchten, sprechen Sie mich gern an.