Claude Mythos: 1.000 Leute stopfen Sicherheitslücken bei der BofA

Am 14. Oktober sagte Bank-of-America-Chef Brian Moynihan im Gespräch mit CNBC, die Bank habe rund 1.000 externe Auftragnehmer eingestellt, nur um Sicherheitslücken in Software zu schließen, die KI-Modelle gefunden haben – darunter Claude Mythos von Anthropic.

Was ist eigentlich passiert?

Bei der Vorstellung der Zahlen für das dritte Quartal erzählte Moynihan, wie die Bank mit den Lücken umgeht, die neue Modelle aufspüren. Laut ITPro und The Next Web, mehr im Interview mit CNBC:

1. 1.000 Auftragnehmer kamen im zweiten Quartal zu den rund 3.000 Bankmitarbeitern hinzu, die bereits genau diese Arbeit erledigten.
2. Die Lücken stecken im Code der Bank und ihrer Zulieferer, nicht nur in internen Systemen.
3. Kosten: Moynihan sprach von „a couple hundred million dollars plus“ pro Quartal. Die Summe umfasst allerdings auch Nachbesserungen bei den Verfahren gegen Geldwäsche, ist also nicht allein die Rechnung für Mythos.

„We put on 1,000 contractors to help us do the patching work in the second quarter“, sagte Moynihan und fügte hinzu: „Once you patch, you don’t have to patch as much“. Das Schlimmste hat die Bank also, zumindest nach seiner Darstellung, schon hinter sich. Ich frage mich allerdings, ob das nicht erst der Anfang ist…

Claude Mythos und seine Sicherheitslücken-Jagd

Claude Mythos ist ein Modell von Anthropic, zu dem man sich nicht einfach Zugang kaufen kann, nicht einmal über die API. Das Unternehmen stellte es am 7. April 2026 vor, im Rahmen von Project Glasswing – einem Programm, das seine Fähigkeiten für die Verteidigung nutzen soll, bevor Angreifer es tun.

Anthropic schreibt ganz offen, dass Mythos „can surpass all but the most skilled humans at finding and exploiting software vulnerabilities“ und bereits Tausende schwerwiegender Lücken in großen Betriebssystemen und Browsern gefunden hat. Eine öffentliche Freigabe plant das Unternehmen derzeit nicht.

Zugang erhielten die Startpartner (u. a. AWS, Apple, Google, Microsoft, NVIDIA, CrowdStrike und JPMorganChase) sowie mehr als 40 Organisationen, die kritische Software-Infrastruktur betreuen.

Warum reden alle darüber?

Weil das ein Schlüsselmoment für unsere Cybersicherheit ist. Wenn sich die Fähigkeiten eines KI-Modells in eine sehr konkrete Zahl von Stellen und Dollar übersetzen, können wir von echtem Ernst der Lage sprechen. Und die Bank of America ist keine Ausnahme:

1. Laut The Next Web sagte Jamie Dimon im Mai, dass bei JPMorgan Chase Hunderte Menschen in Vollzeit an dem Thema arbeiten.
2. Etwa einen Monat nach dem Start von Glasswing setzten US-Aufsichtsbehörden einen Teil der Cybersicherheitsprüfungen aus, um den größten Banken Zeit zu geben, das zu beheben, was das Modell gefunden hatte.

Interessanterweise wies Moynihan auch auf die Zulieferer hin: „the people doing the software development are the people trying to sell us the services“. Mit anderen Worten: Die Lücken stecken (natürlich) auch in Software, die die Bank von anderen kauft (wie Regulierer in Europa die großen KI-Labore ins Visier nehmen, habe ich beim Thema Durchsetzung des AI Act beschrieben).

Ein Vorbehalt gehört dazu: The Next Web betont, die Zahl der Auftragnehmer und die Kosten nicht unabhängig überprüft zu haben, und in den Berichten steht nichts darüber, wie schwerwiegend die gefundenen Lücken waren.

FAQ

Kann man Claude Mythos nutzen?

Nicht auf dem üblichen Weg. Mythos Preview steht nur Partnern von Project Glasswing und ausgewählten Organisationen zur Verfügung, und Anthropic plant keine öffentliche Freigabe.

Wie viele Leute hat die Bank of America zum Patchen eingestellt?

Rund 1.000 externe Auftragnehmer im zweiten Quartal 2026, neben etwa 3.000 eigenen Mitarbeitern.

Was hat das gekostet?

Laut Moynihan „a couple hundred million dollars plus“ pro Quartal, wobei die Summe auch Arbeiten an der Einhaltung der Geldwäschevorschriften umfasst.