Claude Mythos: 1000 persone per le vulnerabilità di Bank of America

Il 14 ottobre l’amministratore delegato di Bank of America, Brian Moynihan, ha raccontato a CNBC che la banca ha assunto circa 1000 collaboratori esterni solo per correggere le vulnerabilità software individuate dai modelli di IA, tra cui Claude Mythos di Anthropic.

Cosa è successo esattamente?

In occasione dei risultati del terzo trimestre, Moynihan ha spiegato come la banca gestisce le vulnerabilità che i nuovi modelli scovano. Secondo ITPro e The Next Web, con altri dettagli nell’intervista a CNBC:

1. 1000 collaboratori esterni si sono aggiunti nel secondo trimestre ai circa 3000 dipendenti della banca che già si occupavano dello stesso lavoro.
2. Le vulnerabilità stanno nel codice della banca e dei suoi fornitori, non solo nei sistemi interni.
3. Costo: Moynihan ha parlato di “a couple hundred million dollars plus” a trimestre, ma la cifra comprende anche gli interventi sulle procedure antiriciclaggio, quindi non è solo il conto di Mythos.

“We put on 1,000 contractors to help us do the patching work in the second quarter”, ha detto Moynihan, aggiungendo: “Once you patch, you don’t have to patch as much”. Insomma, il peggio, almeno secondo lui, la banca se l’è già lasciato alle spalle. Io però mi chiedo se non sia solo l’inizio…

Claude Mythos e le sue vulnerabilità

Claude Mythos è un modello di Anthropic a cui non si può semplicemente comprare l’accesso, nemmeno tramite API. L’azienda lo ha presentato il 7 aprile 2026 nell’ambito di Project Glasswing, un programma che punta a usarne le capacità per la difesa prima che lo facciano gli attaccanti.

Anthropic scrive senza giri di parole che Mythos “can surpass all but the most skilled humans at finding and exploiting software vulnerabilities” e che ha già trovato migliaia di vulnerabilità gravi nei principali sistemi operativi e browser. Per ora l’azienda non prevede di renderlo disponibile al pubblico.

L’accesso è andato ai partner di lancio (tra cui AWS, Apple, Google, Microsoft, NVIDIA, CrowdStrike e JPMorganChase) e a oltre 40 organizzazioni che gestiscono infrastrutture software critiche.

Perché ne parlano tutti?

Perché è un momento chiave per la nostra cybersicurezza. Quando le capacità di un modello di IA si traducono in un numero molto concreto di posti di lavoro e di soldi, possiamo parlare di una situazione davvero seria. E Bank of America non è un’eccezione:

1. Secondo The Next Web, a maggio Jamie Dimon ha detto che in JPMorgan Chase centinaia di persone lavorano a tempo pieno su questo tema.
2. Circa un mese dopo il lancio di Glasswing, le autorità di vigilanza statunitensi hanno sospeso parte dei controlli di cybersicurezza per dare alle banche più grandi il tempo di correggere ciò che il modello aveva trovato.

Curiosamente, Moynihan ha puntato il dito anche sui fornitori: “the people doing the software development are the people trying to sell us the services”. In altre parole, le vulnerabilità si trovano (ovviamente) anche nel software che la banca compra da altri (di come i regolatori europei tengono d’occhio i grandi laboratori di IA ho scritto a proposito dell’applicazione dell’AI Act).

Vale la pena ricordare un’avvertenza: The Next Web precisa di non aver verificato in modo indipendente né il numero di collaboratori né i costi, e nei resoconti non c’è alcuna informazione sulla gravità delle vulnerabilità trovate.

FAQ

Si può usare Claude Mythos?

Non nel modo consueto. Mythos Preview è disponibile solo per i partner di Project Glasswing e per organizzazioni selezionate, e Anthropic non prevede di renderlo pubblico.

Quante persone ha assunto Bank of America per correggere le vulnerabilità?

Circa 1000 collaboratori esterni nel secondo trimestre del 2026, accanto a circa 3000 dipendenti propri.

Quanto è costato?

Secondo Moynihan “a couple hundred million dollars plus” a trimestre, ma la cifra comprende anche il lavoro per la conformità alle norme antiriciclaggio.