AI揭露美银代码漏洞，迫使紧急投入数亿美元修复

AI安全研究的隐性成本

去年春天，美国银行聘请了约1,000名外部承包商，帮助修复Anthropic等公司的AI模型（如Mythos）发现的软件漏洞。该行CEO布莱恩·莫尼汉表示，银行已在网络安全和修复领域雇佣了3,000人，但仍需迅速扩充人手。仅在第三季度，该行就投入了数亿美元——尚不包括反洗钱合规成本——以抢占应对这一威胁的先机。

这则新闻的价值远不止 headlines 上的数字。这是美国大型企业首次为一项主要作为安全研究工具的运作后果，给出具体成本标签和人员配置。Mythos于四月悄然向一小批银行、科技公司和政府机构发布。它并非武器，但其发现企业代码中数十年陈旧漏洞的能力，却迫使整个银行业展开了前所未见的防御动员。

谁在赢，谁在输

眼下的输家是那些指望软件维护成本保持稳定的任何人。那些历经三四十年来构建的传统代码库不会自己打补丁。当AI模型能够系统性识别这些代码中的薄弱点时，构建这些系统的银行便 inherit 了一笔从未纳入预算的账单。莫尼汉对此直言不讳，称风险真实存在，高管们已坐下来想办法尽快渡过难关。

赢家则更难界定。承包商眼下正在获利——他们涌入全美各地的银行办公园区，从事那种难以规模化、枯燥繁琐且需要细致打磨的修复工作。莫尼汉二季度引入的那1,000人至今仍在岗，这说明工作远未完成，短期内也难以完工。

对Anthropic而言，情况更为复杂。Mythos的存在是为了在恶意行为者之前，通过压力测试AI系统、发现其弱点来让AI更安全。它还暴露了第三方银行基础设施中的漏洞，这并不一定是工具的失败，而是良好安全研究带来的次生后果。但也意味着，资助这类研究的公司的软件供应链正以前所未有的严格程度接受审视。

银行为何突然仓促应对

根本问题在于，大多数大型金融机构运行着早于互联网以可识别形态存在之前就编写好的代码。其中许多系统通过从未为现代AI工具所实现的自动化漏洞扫描而设计的接口相互通信。当AI模型能在数小时内逐行阅读数百万行COBOL、Java和C++代码并标记出潜在利用点时，遗留基础设施与现代威胁检测之间的鸿沟便再也无法视而不见。

莫尼汉直接承认了这一张力。他指出，为银行构建软件并提供服务的人，往往正是其代码中藏有缺陷的人。这就造成了结构性冲突。银行无法简单地将此外包出去解决问题。他们既需要理解传统系统的人，也需要懂监管要求和新兴AI能力的人——三者缺一不可。

紧急应对背后的数字

我们来看已知的数据：美国银行在网络安全修复领域原有3,000名员工基础上，新增了1,000名承包商。这代表专门应对这一问题的岗位人数增长了25%，且发生在单一季度内。支出至少达数亿美元，这还不包括与反洗钱合规相关的任何罚款或监管和解费用。

莫尼汉告诉分析师，修复成本有望随时间下降，因为一旦修补某处，就不必反复修补，管道会逐步畅通。若补丁稳固且无新漏洞以相同速度涌现，这是一个合理假设。但若同样能发现首波漏洞的AI工具仍能持续找到新问题——尤其在供应商继续未经严格安全审查便交付的代码中——这个假设就极为危险。

与此同时，该行正运行约130个内部AI项目。这些举措带来的节省预计将从今年的3亿美元增至2027年的7亿美元。过去一年，员工总数减少了约3,400人，其中包括约5%的管理层。莫尼汉拒绝说明削减中有多少归因于AI。这种沉默耐人寻味。

展望未来

Mythos事件可能并非孤例。任何依赖第三方软件供应商并维护庞大传统代码库的银行，都坐在类似的定时炸弹上。基于漏洞数据库训练的AI模型只会越来越强，能够扫描企业代码的新工具发布节奏将持续加速。不作为的成本将越来越无法合理化。

银行将面临抉择：是继续被动打补丁，每当新AI工具浮出新漏洞便一波波雇佣承包商；还是投资软件架构的根本性现代化——前者前期成本高昂，但长期来看或许更经济。大多数金融机构大概会两者同时尝试，而这恰恰是最容易导致混乱和资源浪费的分裂策略。

监管机构也需做出回应。当前银行业软件安全框架建立在人工审计师和定期审查之上，并未为能实时、大规模发现漏洞的AI设计。若美联储或货币监理署开始要求银行认证其代码已通过获批的AI安全工具扫描，整个合规格局可能在一夜之间改变。

更大的图景

AI安全研究与金融行业韧性的交汇，即将成为一大主战场。那些帮助研究者构建更安全AI系统的模型，同时也暴露了全球金融基础设施的脆弱根基。银行正以惨痛方式发现这一点——花费数亿美元、雇佣数千名承包商来追赶进度。

莫尼汉称风险真实、响应紧迫。这是股价在披露相关支出同日下跌8%后，一位CEO的坦诚评估。市场显然明白，这不是笔一次性开支，而是金融业全新成本结构的开端。

问题是，在下一代AI工具让本轮漏洞显得业余化之前，银行能否弥合差距。若答案是否定的，那么更多紧急承包商部署、更多监管审查和更大压力，将落在已然紧绷的IT预算上。