ArpSentry: Bank of America, Mythos si scanarea cu AI

Pe scurt.

Bank of America a adaugat 1.000 de contractori in trimestrul al doilea din 2026 ca sa repare vulnerabilitati gasite de modele AI, pe langa cei 3.000 de oameni pe care ii avea deja in zona respectiva. Directorul general a numit Mythos in conferinta cu analistii; CNBC scrie ca vulnerabilitatile au venit de la mai multe modele avansate, printre care Mythos.
Banca a dat o singura cifra, "couple hundred million plus" (cateva sute de milioane de dolari si ceva) in trimestrul al treilea, pentru doua lucruri impreuna: repararea acestor vulnerabilitati si repararea controalelor impotriva spalarii banilor. Se asteapta ca partea de software sa scada.
Unele articole spun ca o singura scanare la banca a semnalat peste 23.000 de probleme. Nu am gasit nicio declaratie a bancii cu aceasta cifra. Ea corespunde numaratorii Anthropic din mai 2026 pentru proiecte open source: 23.019 vulnerabilitati potentiale.
Chiar cifrele Anthropic arata blocajul: din 6.202 rezultate evaluate de model ca grave sau critice in cod open source, 75 fusesera reparate pana pe 22 mai 2026.
Autoritatile din SUA, Marea Britanie si UE le-au cerut bancilor sa actualizeze mai repede. La o firma mica, schimbarea vine prin furnizorii de software: mai multe actualizari si mai putin timp intre publicarea unei corecturi si folosirea vulnerabilitatii de catre atacatori.

Ce a spus Bank of America.

Bank of America si-a publicat rezultatele pe trimestrul al treilea pe 14 octombrie 2026. In conferinta cu analistii din aceeasi zi, directorul general Brian Moynihan a explicat o parte din cresterea costurilor: "a couple hundred million plus in the third quarter were two things, remediation for the AML and remediation for the Mythos implementation" (cateva sute de milioane si ceva in trimestrul al treilea au fost doua lucruri: remedierea pentru AML si remedierea pentru implementarea Mythos). AML inseamna combaterea spalarii banilor. In aceeasi saptamana, banca acceptase o intelegere de 1,21 miliarde de dolari cu FinCEN, unitatea de informatii financiare a Trezoreriei SUA, si o amenda de 750 de milioane de dolari de la OCC, autoritatea americana de supraveghere bancara, deci o parte mare din suma poate sa nu aiba legatura cu AI. Moynihan nu a impartit-o.

El a adaugat ca banca se asteapta ca aceste costuri pentru Mythos sa scada, pentru ca a adus 1.000 de oameni in plus, angajati ca consultanti, nu in schema de personal. Citatele provin dintr-o transcriere publicata a conferintei.

Intr-un interviu acordat CNBC dupa conferinta, a descris decizia: "That risk is real risk" (riscul acesta e un risc real), iar cand au aparut modelele de varf, multi s-au intrebat cum pot trece repede prin aceasta munca. Si: "We put on 1,000 contractors to help us do the patching work in the second quarter, and those people remain here today, helping us, on top of the 3,000 people we have in that area" (am adus 1.000 de contractori sa ne ajute cu actualizarile in trimestrul al doilea, iar oamenii acestia sunt inca aici si ne ajuta, pe langa cei 3.000 pe care ii avem in zona respectiva). Potrivit CNBC, munca a acoperit o gama larga de cod intern si de la furnizori.

Moynihan a prezentat costul ca temporar: "Once you patch, you don't have to patch as much" (dupa ce ai reparat, nu mai trebuie sa repari la fel de mult). A vorbit si despre furnizorii de software: "the people doing the software development are the people trying to sell us the services" (cei care dezvolta software-ul sunt aceiasi care incearca sa ne vanda serviciile).

Doar Mythos sau mai multe modele.

Presa difera in privinta a ceea ce a gasit vulnerabilitatile. CNBC, care l-a intervievat pe Moynihan, scrie ca acestea au fost expuse de "advanced artificial intelligence models including Anthropic's Mythos" (modele AI avansate, inclusiv Mythos). ITPro scrie "Anthropic's Mythos and other AI security models" (Mythos si alte modele AI de securitate). The Register atribuie totul unui singur model: contractorii ajuta la repararea "all the vulnerabilities discovered by Anthropic's Mythos model" (tuturor vulnerabilitatilor descoperite de Mythos).

Cuvintele lui Moynihan merg in ambele directii. In conferinta a vorbit despre "the Mythos implementation" (implementarea Mythos); la CNBC a vorbit despre "the frontier-type models" (modelele de varf), la plural. Nu am gasit nicio sursa care sa-l citeze spunand ca Mythos a fost unul dintre mai multe modele; acesta este rezumatul CNBC. Interpretarea noastra: Mythos este modelul pe care l-a numit, iar banca nu a spus daca alte modele au gasit o parte din vulnerabilitati si nici cate.

Si costul apare diferit: "couple hundred million plus" la CNBC si in transcriere, "a couple of hundred million plus" la The Register. TechRadar a scris ca banca a cheltuit "north of a $100 million dollars" (peste 100 de milioane de dolari) pentru vulnerabilitatile gasite de Mythos; banca nu a dat nicio cifra doar pentru Mythos. Intr-un alt raspuns din aceeasi conferinta, Moynihan a folosit expresia "a couple hundred million dollars plus" doar pentru munca privind spalarea banilor, asa ca impartirea ramane neclara.

De unde vine cifra de 23.000.

Mai multe articole despre Bank of America spun ca "one scan alone flagged more than 23,000 potential issues" (o singura scanare a semnalat peste 23.000 de probleme potentiale), majoritatea de gravitate mica sau medie. Primul pe care l-am gasit este Crypto Briefing, publicat la cateva minute dupa CNBC. Nu indica nicio sursa si nu spune ale cui sisteme au fost scanate. CNBC, The Register, ITPro si transcrierea conferintei nu contin cifra.

Cifra apare insa intr-o sursa primara, despre alt software. Pe 22 mai 2026, Anthropic a raportat ca Mythos Preview a scanat peste 1.000 de proiecte open source si a gasit, dupa estimarea modelului, 6.202 vulnerabilitati grave sau critice dintr-un total de 23.019, inclusiv cele estimate ca medii sau mici. Majoritatea erau deci medii sau mici, cum spun si articolele despre banca. Credem ca cifra atribuita bancii provine cel mai probabil dintr-o confuzie cu aceasta numaratoare, dar nu o putem dovedi, asa ca nu o atribuim Bank of America.

Numaratoarea Anthropic este utila si din alt motiv: arata ce se intampla cu rezultatele dupa o scanare.

De la descoperire la reparare.Scanarea Anthropic pe peste 1.000 de proiecte open source, asa cum a fost raportata pe 22 mai 2026. Fiecare etapa de dupa scanare cere oameni: sa reproduca problema, sa o evalueze, sa scrie un raport si sa conceapa o corectura.

Vulnerabilitati potentiale semnalate23.019
Evaluate de model ca grave sau critice6.202
Dintre acestea, verificate de firme independente1.752
Confirmate ca grave sau critice1.094
Grave sau critice, raportate dezvoltatorilor530
Reparate75

Etapele se suprapun si nu formeaza un singur lant: unele rapoarte au ajuns la dezvoltatori fara verificare independenta, iar 530 este o estimare a Anthropic.

Ce sunt Claude Mythos Preview si Project Glasswing.

Anthropic a anuntat Claude Mythos Preview pe 7 aprilie 2026, impreuna cu Project Glasswing, un grup de companii care folosesc modelul ca sa gaseasca si sa repare vulnerabilitati in software folosit pe scara larga. Anthropic l-a descris ca pe un model de uz general, nelansat public, si a scris ca modelele AI "can surpass all but the most skilled humans at finding and exploiting software vulnerabilities" (pot depasi pe toti oamenii, in afara de cei mai priceputi, la gasirea si exploatarea vulnerabilitatilor software).

Printre exemplele publicate: o vulnerabilitate veche de 27 de ani in OpenBSD, prin care un atacator putea opri un calculator doar conectandu-se la el, una veche de 16 ani in FFmpeg, intr-o linie de cod prin care instrumentele de testare automata trecusera de cinci milioane de ori, si mai multe vulnerabilitati din nucleul Linux inlantuite pentru a prelua controlul complet asupra unui calculator. Toate trei au fost reparate.

Accesul este restrans. Partenerii de lansare au fost Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA si Palo Alto Networks, plus peste 40 de alte organizatii care construiesc sau intretin infrastructura software critica. Anthropic a scris: "We do not plan to make Claude Mythos Preview generally available" (nu intentionam sa facem Claude Mythos Preview disponibil public), pana cand va avea protectii care sa detecteze si sa blocheze cele mai periculoase rezultate ale modelului. Bank of America nu este pe lista de lansare. CNBC scrie ca Mythos a fost pus in aprilie la dispozitia unui grup mic de banci, firme de tehnologie si agentii guvernamentale; nu am aflat cum a obtinut banca acces.

Sase luni, in ordine.

7 aprilie 2026Mythos Preview si Project GlasswingAnthropic anunta modelul si limiteaza accesul la 12 parteneri de lansare si peste 40 de alte organizatii.
Aceeasi saptamanaSefii bancilor se intalnesc cu Powell si BessentPresedintele Fed si secretarul Trezoreriei SUA discuta riscurile cibernetice ale Mythos cu directorii marilor banci, printre ei Moynihan.
Aprilie - iunie 20261.000 de contractori la Bank of AmericaBanca ii aduce in trimestrul al doilea ca sa repare vulnerabilitati gasite de modele AI.
22 mai 2026Primul raport AnthropicPartenerii au gasit peste zece mii de vulnerabilitati grave sau critice. In open source: 23.019 semnalate, 75 grave reparate.
7 iulie 2026Scrisoarea BCE catre banciBancile din zona euro trebuie sa trimita pana pe 31 octombrie un plan de actiune pentru amenintarile cibernetice bazate pe AI.
14 octombrie 2026Rezultatele pe trimestrul al treileaMoynihan descrie contractorii si costul total al remedierilor.

Ce este o scanare de vulnerabilitati facuta de un model AI.

O vulnerabilitate este o greseala in software care permite cuiva sa faca ceva ce nu ar trebui: sa citeasca date, sa preia un cont, sa ruleze propriul cod. Scanerele clasice cauta tipare cunoscute sau trimit unui program cantitati uriase de date aleatoare ca sa vada ce se strica. Sunt rapide, dar rateaza greselile care devin evidente doar cand intelegi ce ar trebui sa faca acel cod.

Un model AI scaneaza mai degraba ca un om care citeste codul. Formuleaza o ipoteza despre locul unde ceva poate merge prost, o testeaza si descrie ce a gasit. Anthropic spune ca Mythos Preview a gasit aproape toate vulnerabilitatile publicate complet autonom, fara indrumare umana, construind de multe ori si un atac functional care dovedeste ca problema este reala. Ce ii lua unui expert zile pentru fiecare problema poate rula acum in paralel pe mii de fisiere.

Rezultatul este o lista de constatari, iar o constatare nu este inca o vulnerabilitate confirmata. Unele sunt alarme false, altele dubluri, altele reale dar fara efect in practica.

Trierea si gravitatea.

Trierea este sortarea de dupa scanare: este reala constatarea, cat de grava este, cine raspunde de cod si ce se repara mai intai. Gravitatea este partea cu "cat de grava". Scara folosita cel mai des, CVSS, da un scor de la 0 la 10 si il transforma in cinci niveluri: None/niciuna (0,0), Low/mica (0,1 - 3,9), Medium/medie (4,0 - 6,9), High/mare (7,0 - 8,9) si Critical/critica (9,0 - 10,0).

Gravitatea nu este acelasi lucru cu urgenta. O vulnerabilitate critica intr-un sistem la care nu se poate ajunge de pe internet poate astepta mai mult decat una mare in pagina de autentificare a unui site public. De aceea trierea cere oameni care cunosc sistemele si de aceea dureaza.

Si aici modelele ajuta. In 198 de rapoarte verificate manual de Anthropic, expertii externi au fost de acord exact cu nivelul de gravitate dat de model in 89% din cazuri si la cel mult un nivel distanta in 98%. Chiar si asa, Anthropic trimite cele mai grave constatari unor oameni care le verifica inainte de a anunta dezvoltatorul software-ului.

De ce gasirea este ieftina, iar repararea nu.

Anthropic a rezumat schimbarea in mai: "Progress on software security used to be limited by how quickly we could find new vulnerabilities. Now it's limited by how quickly we can verify, disclose, and patch the large numbers of vulnerabilities found by AI." (Progresul in securitatea software era limitat de cat de repede puteam gasi vulnerabilitati noi. Acum este limitat de cat de repede putem verifica, raporta si repara numarul mare de vulnerabilitati gasite de AI.)

Fiecare vulnerabilitate confirmata are nevoie in continuare de cineva care sa inteleaga codul, sa scrie corectura, sa testeze ca nu se strica altceva si sa o instaleze. Software-ul cumparat de la un furnizor poate fi reparat doar de furnizor. Anthropic raporteaza ca o vulnerabilitate grava sau critica gasita de Mythos Preview are nevoie in medie de doua saptamani pana la reparare si ca unii dezvoltatori open source i-au cerut sa trimita rapoartele mai rar, pentru ca aveau nevoie de mai mult timp sa conceapa corecturile.

O banca mare poate adauga oameni. Bank of America a facut-o si se asteapta ca lista de asteptare sa scada dupa primul val.

O scanare, aceeasi echipa.O scanare adauga dintr-odata mii de constatari; repararea lor depinde de oameni. Bank of America a adus 1.000 de contractori pe langa cei 3.000 de oameni care lucrau deja in zona respectiva.

Forma listei de asteptare este o ilustratie, nu datele bancii.

Ce se schimba pentru atacatori si aparatori.

Aceeasi capacitate le serveste ambelor tabere, iar deocamdata aparatorii o au primii: accesul la Mythos Preview este limitat la organizatii selectate. Anthropic se asteapta insa ca modele la fel de capabile sa fie dezvoltate in curand de multe companii de AI.

Schimbarea mai mare este timpul de dupa publicarea unei corecturi. O actualizare de securitate arata unde era vulnerabilitatea, asa ca atacatorii o pot studia si ii pot tinti pe toti cei care nu au instalat-o. Anthropic le numeste N-days si scrie ca "the patch itself is a roadmap to the bug" (corectura insasi este o harta catre vulnerabilitate). Raporteaza ca Mythos Preview a scris atacuri functionale pentru vulnerabilitati deja reparate pornind doar de la un identificator public si de la modificarea de cod, munca pentru care un cercetator priceput avea nevoie in mod obisnuit de zile sau saptamani.

Ritmul crestea si inainte de Mythos. Mandiant, de la Google, masoara timpul pana la exploatare: timpul mediu in care o vulnerabilitate este exploatata, inainte sau dupa aparitia corecturii. A scazut de la 63 de zile in 2018 si 2019 la cinci zile in 2023 (47 de zile daca se pastreaza valorile extreme). In raportul din 2026, Mandiant estimeaza minus sapte zile: exploatarea incepe frecvent inainte sa existe o corectura. Raportul Verizon din 2026 arata ca exploatarea vulnerabilitatilor este acum cea mai frecventa cale de intrare in incidentele cu date compromise, cu 31%.

Nu toata lumea vede un tip nou de amenintare. Mozilla, care a reparat 271 de vulnerabilitati in Firefox 150 in timp ce testa Mythos Preview, a spus, potrivit The Register, ca nu a vazut probleme "that couldn't have been found by an elite human researcher" (pe care nu le-ar fi putut gasi un cercetator uman de top). Se schimba amploarea si costul.

Cum au reactionat autoritatile si alte banci.

In saptamana in care a fost anuntat Mythos, presedintele Rezervei Federale, Jerome Powell, si secretarul Trezoreriei, Scott Bessent, s-au intalnit cu directorii marilor banci americane ca sa discute riscurile cibernetice, a confirmat CNBC. Bloomberg a relatat ca Moynihan a fost printre ei.

Autoritatile europene si britanice au scris despre aceasta clasa de modele, fara sa numeasca Mythos. Centrul National de Securitate Cibernetica al Marii Britanii (NCSC) le-a cerut organizatiilor pe 1 mai sa se pregateasca pentru un "vulnerability patch wave" (val de corecturi pentru vulnerabilitati) si sa adopte regula "update by default" (actualizare implicita), sfat dat tuturor organizatiilor, indiferent de marime. Pe 15 mai, Bank of England, FCA si Trezoreria britanica au scris ca firmele care au investit prea putin in elementele de baza ale securitatii cibernetice vor fi tot mai expuse.

Comitetul European pentru Risc Sistemic a avertizat pe 25 iunie ca scrierea unui atac functional, care le lua expertilor zile sau saptamani, poate fi facuta acum de modele in minute sau ore, ceea ce numeste "collapse of defensive time buffers" (prabusirea rezervelor de timp ale aparatorilor). Pe 7 iulie, BCE le-a cerut marilor banci din zona euro pe care le supravegheaza direct un plan de actiune pana pe 31 octombrie 2026, descriind situatia ca pe o schimbare de durata, nu ca pe un fenomen temporar sau un risc legat de un singur instrument. Prima prioritate: accelerarea gestionarii vulnerabilitatilor si a corecturilor la scara mare.

Dintre alte banci, Jamie Dimon de la JPMorganChase a numit Mythos un "very heightened risk" (risc foarte crescut) in mai, potrivit American Banker, si a spus ca banca sa poate rezolva vulnerabilitatile propriilor aplicatii probabil in "a year or so" (un an sau cam asa ceva). A adaugat: "the banks in total are rather well protected. That doesn't mean everything that banks rely on is that well protected." (bancile, in ansamblu, sunt destul de bine protejate. Asta nu inseamna ca tot ce folosesc bancile este la fel de bine protejat.)

Ce inseamna pentru o firma de pana la 100 de oameni.

O firma de 30 de oameni nu va rula Mythos si nici nu are nevoie. Expunerea ei vine prin software-ul pe care il cumpara si prin echipamentele conectate la internet: programul de contabilitate si facturare, site-ul si modulele lui, firewall-ul sau echipamentul VPN, suita de email, programul de acces la distanta folosit de furnizorul IT.

Din povestea bancii rezulta trei lucruri. Primul: vor veni mai multe actualizari de securitate de la acesti furnizori; Microsoft, citat de Anthropic, se asteapta ca numarul corecturilor sale sa "continue trending larger for some time" (sa continue sa creasca o vreme). Al doilea: nu mai conteaza doar daca actualizezi, ci cate zile trec intre publicarea unei corecturi si instalarea ei. Acest interval este decalajul de actualizare (patch gap). Al treilea: software-ul pentru care furnizorul nu mai publica actualizari este mai riscant decat inainte, pentru ca vulnerabilitatile din el vor fi gasite si nu vor fi reparate.

Decalajul de actualizare.Expunerea incepe cand furnizorul publica o corectura, pentru ca ea le arata si atacatorilor unde este vulnerabilitatea, si se termina cand corectura este instalata. Bara galbena este acest interval.

43 de zile este mediana Verizon pentru 2025 pentru repararea completa a vulnerabilitatilor de pe lista CISA a celor exploatate cunoscute. Celelalte doua valori sunt exemple.

Verizon a constatat ca doar 26% din aceste vulnerabilitati exploatate cunoscute au fost reparate complet de organizatii in 2025. Fata de atacatori care au nevoie de zile, un decalaj de saptamani este bresa.

Directia generala rezonabila pentru majoritatea firmelor mici este cea data de NCSC: actualizare implicita. Activati actualizarile automate oriunde le permite software-ul, aflati care dintre echipamentele si serviciile voastre pot fi accesate de pe internet si actualizati-le pe acestea intai, si inlocuiti software-ul si echipamentele care nu mai primesc corecturi de securitate.

Ce sa-i intrebati pe furnizorii de software.

Observatia lui Moynihan despre furnizori si cea a lui Dimon despre tot ce folosesc bancile se aplica la orice marime: o mare parte din codul de care depindeti este scris de altcineva. Intrebarile de mai jos va ajuta sa vedeti cum va face fata un furnizor unui numar mai mare de constatari.

Cum cautati vulnerabilitati in produsul vostru si s-a schimbat anul acesta numarul de corecturi?
Cat de repede publicati o corectura pentru o vulnerabilitate critica si cum ii anuntati pe clienti?
Actualizarile de securitate se instaleaza automat sau trebuie sa intervina cineva de la noi?
Pana cand va primi actualizari de securitate versiunea pe care o folosim?
Daca gazduiti voi produsul, cine instaleaza corecturile si cum aflam ca s-a facut?

Ce nu am putut verifica.

Cifra de 23.000 pentru Bank of America. Nu am gasit nicio declaratie a bancii care sa o contina; singura sursa primara care corespunde este numaratoarea Anthropic pentru proiecte open source.
Daca alte modele decat Mythos au gasit o parte din vulnerabilitatile bancii si cum a obtinut banca acces la Mythos.
Cum se imparte suma "couple hundred million plus" intre munca pentru Mythos si cea privind spalarea banilor.
O repartizare pe niveluri de gravitate a vulnerabilitatilor de la Bank of America. Banca nu a publicat-o.
Citatul Mozilla, pe care l-am citit asa cum l-a redat The Register, nu in textul Mozilla.

Surse.

Intreaba-ne despre sistemele tale.

Putem verifica ce expune firma ta pe internet si cat de repede ajung la ea actualizarile de securitate.

Contacteaza-ne