美国银行雇一千人修 AI 找出的漏洞

发现漏洞的成本在往下掉，修漏洞的成本没动。这个剪刀差，第一次被一家大银行用人数摆到了台面上。

一、发生了什么

据 Solidot 援引 CNBC 报道，美国银行（Bank of America）CEO Brian Moynihan 在分析师会议上透露：公司在第二季度聘请了 1000 名合同工，专门协助修复由 Anthropic Mythos 等 AI 工具发现的软件漏洞。除了原本负责这一领域的 3000 名员工之外，这批合同工至今仍留在公司内继续提供协助。

他同时透露，今年第三季度，美国银行在软件修补、以及反洗钱合规整改这两块的投入，是以亿美元计的量级。

报道指出，这是美国大型企业首次披露为保护软件系统免受 Mythos 影响所投入的人力和资金规模。

他是在面向分析师的场合说这番话的，而且把软件修复和反洗钱合规放在一起报账。在银行内部，这两件事本来就同属监管成本；AI 带来的漏洞修复，正在变成同一张账单上的第三个科目。

二、跟你有什么关系

普通用户：短期内你会看到银行 App 更频繁地更新，维护窗口变多，某些功能突然要求重新验证身份。这不是产品在进步，是后台在补洞。遇到登录变严、转账限额调整，先别急着投诉。

写代码的人：AI 扫描器把「可疑代码」的清单从几十条变成几千条，但每一条都要人来判断是真漏洞还是误报。这份工作不难，很枯燥，量大。未来两年，安全修复会成为一个稳定扩张的岗位。

中小企业主：你没有一千人可以雇。同样的扫描工具用在你身上，出来的一千条告警会直接压垮两三个人的技术团队。所以对你来说，重要的不是买扫描器，是先定好「哪些必须修、哪些可以放着」。判断标准可以很土：这段代码挂掉，客户会不会立刻打电话来。

三、怎么判断：四条能立刻用的规则

1. 把「发现」和「修复」分开算预算。 扫描工具的年费通常几千到几万美元，修复的人力成本可以是它的几十倍。采购前先问一句：这些告警谁来关？

1. 按可利用性排序，不要按数量排序。 优先修能从公网直接触发、能拿到凭据、能横向移动的；内部工具里没人调用的死代码，可以排到后面。一千条里真正紧急的通常不到十分之一。

1. AI 生成的补丁必须走人工复核。 补丁写得像模像样但改变业务语义，是这类工具最常见的坑。改完至少要有一个人能说清「这行为什么这样改」。

1. 把修复过程记成可查的清单。 哪条告警、谁判断、怎么改、什么时候上线。这套记录平时嫌麻烦，等审计或事故复盘时，它就是唯一能证明「我们尽力了」的东西。美国银行愿意公开这个数字，某种程度上也是在做这件事。

四、三个别信的说法

「AI 找漏洞能省钱。」 找漏洞确实便宜了，但整条链路更贵。发现量涨十倍，修复量也跟着涨，中间还要加一层人工判断。工具替你省下的是扫描的钱，真正贵的判断和收尾，目前没有工具能替你。美国银行这笔账说明的是总成本上升，不是下降。

「雇一千人说明 AI 不行。」 恰恰相反。这一千人不是去替代 AI，是去承接 AI 的产出。AI 干得好，才有这么多活要人收尾。真正的问题是组织的修复能力没跟上发现能力——反过来，如果告警里连一条能利用的都没有，那该被质疑的是这套工具。

「这是银行才有的问题。」 任何有大量历史代码、又受监管的行业都会遇到同样的事：保险、医疗、政务、运营商。区别只是它们还没被问到这个数字。代码写得越久、合规要求越细，修复的尾巴就越长。

五、一句话结论

AI 把「知道哪里有问题」变成了廉价品，接下来最贵的东西是「有人把它修完」。

信息来源

• Solidot《美国银行雇佣千名合同工修复 AI 工具发现的软件漏洞》，2026-10-16：https://www.solidot.org/story?sid=85625

功能与价格以官方公告为准。本文写于 2026 年 10 月 17 日。