בנק אוף אמריקה מעסיק 4,000 איש בתיקון פגיעויות שחשפו Mythos של אנתרופיק ומודלי AI אחרים

בנק אוף אמריקה שכר 1,000 קבלני חוץ כדי לתקן פגיעויות תוכנה שאיתרו מודלי AI, ובהם Mythos של אנתרופיק. כך דיווחה CNBC, כפי שסוכם ב-The Decoder. לדברי מנכ"ל הבנק, בריאן מויניהן, הקבלנים עובדים מאז הרבעון השני לצד 3,000 עובדים של הבנק עצמו. בסך הכול מדובר בכ-4,000 איש שעוסקים בסגירת פרצות שמכונות מצאו.

כמה זה עולה

לפי מויניהן, ברבעון השלישי הוציא הבנק "כמה מאות מיליוני דולרים" על עבודת התוכנה הזו ועל עמידה בדרישות לאיסור הלבנת הון, יחד. הוא לא פירט כמה מתוכם הלך לתיקון הפגיעויות בלבד, ולכן אי אפשר לדעת כמה עולה רכיב האבטחה לבדו. עוד אמר מויניהן שהוא מצפה שעלויות התיקון (patching) יירדו עם הזמן.

על פי הדיווח, בנק אוף אמריקה הוא מהחברות האמריקאיות הגדולות הראשונות שמפרסמות כמה אנשים הן מקצות לתיקון פגיעויות שה-AI מצא.

מ-Glasswing ועד Daybreak

הרקע הוא מרוץ שהתחיל באביב. באפריל אנתרופיק השיקה את Mythos, אבל העמידה אותו רק לרשות שותפים נבחרים, במסגרת תוכנית בשם Project Glasswing. לדברי החברה, המודל מצא אלפי פגיעויות אבטחה חמורות. במאי הגיבה OpenAI עם תוכנית סייבר משלה בשם Daybreak.

בהתחלה מבקרים רבים טענו שהאזהרות של מעבדות ה-AI, והצעדים שהן נקטו, הם בעיקר יחסי ציבור. לפי The Decoder, הוויכוח השתנה מאז. בין הסיבות: אירועי אבטחה כמו הפריצה ל-Hugging Face, והערכות בלתי תלויות שאישרו שהמודלים החדשים אכן חזקים יותר ביכולות הסייבר.

הצוואר הצר: התיקון, לא הגילוי

הנתונים של בנק אוף אמריקה מאירים צד שפחות מדברים עליו. כלי AI שסורקים קוד יכולים לייצר במהירות רשימה ארוכה של בעיות. אבל כל פגיעות כזו צריך עדיין לאמת, לתעדף, לתקן ולבדוק מחדש, ובארגון גדול זו עבודה של אנשים. בבנק שמחזיק מערכות ותיקות ומורכבות, ושפועל תחת רגולציה כבדה, כל שינוי בקוד עובר בדיקות קפדניות לפני שהוא עולה לייצור.

ככל הנראה, המשמעות היא שהיתרון ההתקפי וההגנתי של מודלים כמו Mythos עובר בשלב הזה דרך צוואר בקבוק אנושי. מי שמוצא פרצות מהר יותר צריך גם להיות מסוגל לסגור אותן מהר יותר. ייתכן שזה יכריח ארגונים גדולים נוספים להגדיל צוותים, או להשקיע בכלים שמבצעים גם את התיקון עצמו באופן אוטומטי. הציפייה של מויניהן שהעלויות ירדו מרמזת שהבנק רואה בגל הנוכחי השלמת פיגור שהצטבר, ולא מצב קבוע. אפשר להעריך שהבנק מתכוון לפרצות ישנות שעכשיו נחשפות בבת אחת.

לשוק הישראלי, שבו פועלות חברות סייבר רבות, יש כאן איתות ברור. ההערכה היא שהביקוש עשוי לזוז מכלים שמזהים פגיעויות אל כלים ושירותים שמנהלים את התיקון שלהן ומאיצים אותו. ארגון שמגלה פתאום אלפי פרצות צריך עזרה בעיקר בסגירתן, לא במציאת פרצות נוספות.