Cómo la IA Expuso Fallas de Código y Forzó a Bank of America a un

El costo oculto de la investigación en seguridad de IA

Bank of America contrató a mil externos la primavera pasada para ayudarlo a parchear vulnerabilidades en su software que modelos de IA como Mythos de Anthropic habían descubierto. El director ejecutivo del banco, Brian Moynihan, señaló que la firma ya emplea a 3.000 personas en ciberseguridad y remediación y necesitaba más manos rápidamente. También gastó unos cientos de millones de dólares solo en el tercer trimestre —además de los costos de cumplimiento contra el lavado de dinero— para ir un paso adelante de la amenaza.

Lo que hace que esta historia valga la pena monitorear va más allá del número principal. Por primera vez, una gran corporación estadounidense ha puesto una etiqueta de precio y una cifra de personal concretas sobre las consecuencias operativas de una herramienta diseñada principalmente como instrumento de investigación de seguridad. Mythos se lanzó discretamente en abril a un círculo reducido de bancos, empresas tecnológicas y agencias gubernamentales. No estaba pensada como un arma. Pero su capacidad para visibilizar defectos de décadas en código empresarial la convirtió en algo que forzó una movilización defensiva sin precedentes en el sector bancario.

Quiénes ganan y quiénes pierden

El gran perdedor inmediato es cualquiera que contara con que los costos de mantenimiento de software se mantendrían planos. Las bases de código heredadas, construidas durante treinta o cuarenta años, no se parchean solas. Cuando un modelo de IA puede identificar sistemáticamente los puntos débiles en ese código, los bancos que construyeron esos sistemas heredan una cuenta que nunca presupuestaron. Moynihan no se Anduvo con rodeos al describir la situación. Dijo que el riesgo es real y que los ejecutivos se reunieron a buscar cómo superarlo rápidamente.

Los ganadores son más difíciles de identificar. Los contratistas están ganando ahora, inundando los campus bancarios en todo el país para hacer ese trabajo tedioso y detallista de remediación que no escala. Las mil personas que BofA contrató en el segundo trimestre siguen ahí. Eso sugiere que el trabajo no ha terminado y que puede que no termine pronto.

Para Anthropic, el cálculo es más complicado. Mythos existe para hacer más seguros los sistemas de IA sometiéndolos a pruebas de estrés y encontrando debilidades antes que los actores malintencionados. El hecho de que también haya expuesto vulnerabilidades en la infraestructura bancaria de terceros no es necesariamente un fallo de la herramienta. Es ese tipo de consecuencia de segundo orden que produce una buena investigación de seguridad. Pero también significa que las empresas que financian esa investigación ahora están vigilando sus propias cadenas de suministro de software con más atención que nunca.

Por qué los bancos se están apresurando repentinamente

El problema subyacente es que la mayoría de las grandes instituciones financieras funcionan con código escrito antes de que internet existiera en alguna forma reconocible. Muchos de esos sistemas se comunican entre sí a través de interfaces que nunca fueron diseñadas para el tipo de escaneo automatizado de vulnerabilidades que las herramientas modernas de IA hacen posible. Cuando un modelo de IA puede leer millones de líneas de COBOL, Java y C++ y marcar una posible explotación en cuestión de horas, la brecha entre la infraestructura heredada y la detección moderna de amenazas se vuelve imposible de ignorar.

Moynihan reconoció la tensión directamente. Señaló que las personas que construyen el software y venden servicios al banco son a menudo las mismas cuyos códigos contienen los defectos. Eso genera un conflicto estructural. Los bancos no pueden simplemente externalizar su camino hacia fuera de esto. Necesitan personas que entiendan los sistemas heredados, los requisitos regulatorios y las nuevas capacidades de IA al mismo tiempo.

Los números detrás de la carrera

Veamos lo que sabemos. Bank of America añadió 1.000 contratistas sobre los 3.000 empleados existentes en el área de remediación de ciberseguridad. Eso representa un aumento del 25 por ciento en la plantilla dedicada a este problema específico, y ocurrió en un solo trimestre. El gasto ascendió a unos cientos de millones de dólares como mínimo, y eso antes de cualquier multa o acuerdo regulatorio relacionado con el cumplimiento contra el lavado de dinero.

Moynihan dijo a los analistas que los costos de remediación deberían disminuir con el tiempo porque una vez que parcheas algo, no tienes que seguir parcheándolo. El proceso avanza. Esa es una suposición razonable si los parches se mantienen y no surgen nuevas vulnerabilidades al mismo ritmo. También es una suposición peligrosa si las mismas herramientas de IA que encontraron la primera tanda de defectos pueden seguir encontrando más, especialmente en código que los proveedores siguen entregando sin una revisión de seguridad rigurosa.

Mientras tanto, el banco está ejecutando aproximadamente 130 proyectos internos de IA. Se proyecta que los ahorros de esas iniciativas crezcan de 300 millones de dólares este año a 700 millones en 2027. La plantilla bajó en aproximadamente 3.400 empleados durante el último año, incluyendo cerca del 5 por ciento de los gerentes. Moynihan no dijo cuánto de esa reducción es atribuible a la IA. Ese silencio es revelador.

Qué significa esto de aquí en adelante

El episodio Mythos probablemente no sea un caso aislado. Cualquier banco que dependa de proveedores de software de terceros y mantenga una base de código heredada considerable está sentado sobre una bomba similar. Los modelos de IA entrenados en bases de datos de vulnerabilidades solo pueden mejorar. La cadencia de lanzamiento de nuevas herramientas capaces de escanear código empresarial se acelerará. El costo de la inacción se volverá imposible de justificar.

Los bancos tendrán que tomar una decisión. Pueden seguir parcheando de forma reactiva, contratando trabajadores temporales por oleadas cada vez que una nueva herramienta de IA descubra un nuevo lote de vulnerabilidades. O pueden invertir en una modernización fundamental de su arquitectura de software, lo cual es mucho más costoso al principio pero potencialmente más barato a largo plazo. La mayoría de las instituciones financieras probablemente van a intentar ambas cosas al mismo tiempo, que es exactamente el tipo de estrategia dividida que conduce a confusión y desperdicio de recursos.

Los reguladores también necesitarán responder. El marco actual para la seguridad del software en la banca se construyó alrededor de auditores humanos y revisiones periódicas. No estaba diseñado para una IA que puede encontrar defectos en tiempo real y a gran escala. Si la Reserva Federal o la OCC empiezan a exigir a los bancos que certifiquen que su código ha sido escaneado por herramientas de seguridad de IA aprobadas, todo el panorama de cumplimiento podría cambiar de la noche a la mañana.

La imagen más amplia

La intersección entre la investigación de seguridad de IA y la resiliencia del sector financiero está a punto de convertirse en un campo de batalla importante. Los mismos modelos que ayudan a los investigadores a construir sistemas de IA más seguros también exponen los cimientos frágiles de la infraestructura financiera global. Los bancos están descubriendo esto a las duras, gastando cientos de millones y contratando a miles de trabajadores temporales para ponerse al día.

Moynihan calificó el riesgo como real y la respuesta como urgente. Esa es una evaluación honesta de un director ejecutivo que vio caer sus acciones un 8 por ciento el mismo día que reveló el gasto. El mercado entiende claramente que esto no es un gasto único. Es el comienzo de una nueva estructura de costos para la industria financiera.

La pregunta es si los bancos pueden cerrar la brecha antes de que la siguiente generación de herramientas de IA haga que la ronda actual de vulnerabilidades parezca amateur. Si la respuesta es no, esperen más despliegues de emergencia de contratistas, más escrutinio regulatorio y más presión sobre los presupuestos de TI ya ajustados.