**摘要：**美國銀行（Bank of America）執行長 Brian Moynihan 於 2026 年 10 月 14 日公布第三季財報後，向《CNBC》證實銀行第二季加派了 1,000 名外部承包商，與原有 3,000 名內部人員一起修補 Anthropic Mythos 等先進 AI 模型揭露的軟體漏洞。對 builder 的意義在於：當 AI 把「發現漏洞」的速度推到極限，真正的瓶頸變成你有多少人力把修補、測試與部署跟上。
事件本身：一個少見的具體數字
根據 TechOrange 的報導，Mythos 是 Anthropic 今年 4 月推出、僅開放給少數銀行、科技公司與政府機構使用的模型。Moynihan 在接受《CNBC》記者 Leslie Picker 專訪時說，銀行今年稍早動用數千名員工與外部人員，緊急強化內部程式碼與供應商程式碼；第二季投入的 1,000 名承包商「到今天都還在」。
這 1,000 人以顧問身分加入，不計入員工編制。Moynihan 另在財報電話會議上表示，第三季在軟體修補與反洗錢合規相關的監管問題上，合計花費「兩億多美元」，但兩項支出各占多少並未拆分。同日財報顯示，受反洗錢相關和解金拖累，當季獲利下滑 17%。他強調支出增加是暫時的，預期修補成本會隨時間下降。
瓶頸位移：從發現到修補
《CNBC》分析指出這凸顯了 AI 的兩面性：提升生產力的同時，Mythos 這類模型也能找出、甚至利用存在數十年的舊漏洞。據《Reuters》5 月報導，Mythos 可一次找出數百到數千個風險等級為低到中的漏洞，過去可能等幾週才修的，現在要在幾天內完成。Incedo 執行長 Nitin Seth 的說法很直白：資安風險以機器的速度發展，銀行的防禦卻仍以人類的速度運作。
資安業者 Suzu Labs 資深總監 Jacob Krell 在提供給《The IT Nerd》的評論中說得更直接：「瓶頸已經從找出漏洞，移到了修補漏洞。」Black Hills Information Security 的 John Strand 也指出，找到更多漏洞，就會替負責修補的人帶來更多工作。
這和之前 Cloudflare 聯手 OpenAI Daybreak 用網路脈絡解決漏洞優先順序 的方向是同一條線：當發現端被 AI 加速後，產業的答案都在問「接下來怎麼排序、怎麼補」。
不只一家銀行在動
據《Bloomberg》5 月報導，取得 Mythos 使用權的摩根大通、摩根士丹利與高盛都組成了保密團隊專門處理，部分銀行也直接與美國聯邦情報機關合作。摩根大通執行長 Jamie Dimon 在《Bloomberg TV》上表示「現在有數百人全職在處理這件事」。監管端也有動作：《Bloomberg》報導，美國聯準會與 OCC 暫緩了部分針對最大型銀行的資安檢查，讓銀行有時間強化系統——知情人士強調，時程延後不等於監管放鬆。
外包修補量能本身的風險
向外找人手不是免費的。Krell 點出一個很實際的問題：一家銀行的漏洞清單，「實際上就是一份攻擊目標清單」。他估算 1,000 名承包商約等於每 3 名既有資安人員搭配 1 名外包，把清單交給他們，等於把最敏感的營運情資交給員工等級監督機制之外的人。他建議至少釐清三件事：承包商會待多久、離職程序怎麼做、由誰稽核他們對即時漏洞資料的存取。
Strand 則提醒修補不是一次性工程：「我們不可能找出所有問題、修好所有問題，然後一切就沒事了。這是持續性的工作。」這與 Moynihan 預期修補需求會逐步減少的說法，是兩種不同的觀察角度——值得 builder 留意的是，沒有人真的知道積壓會不會收斂。
給 builder 的實際啟示
同一間銀行，一邊靠約 130 個內部 AI 專案省錢（Moynihan 說節省金額預計從今年的 3 億美元增至 2027 年的 7 億美元），一邊投入上千人補 AI 揭露的洞。對正在用 AI 做程式碼掃描、安全審查的團隊，該先想清楚的問題是：如果掃描結果明天從數十筆變成數千筆，你的修補 pipeline、人力配置與外部人員管理，跟得上嗎？