مهر
اخبار
بانک آمریکا هزار پیمانکار گرفت تا ضعف‌های کشف‌شده توسط Mythos را وصله کند
مدیرعامل بانک آمریکا فاش کرد برای وصله‌کردن ضعف‌هایی که مدل Mythos شرکت Anthropic در کدهای این بانک پیدا کرده، حدود هزار پیمانکار اضافه به کار گرفته شده است؛ ماجرایی که نشان می‌دهد هوش مصنوعی امنیتی فقط ضعف پیدا نمی‌کند، صورت‌حساب هم می‌سازد.
لیست مطالب
۱. چه اتفاقی افتاد؟
روز چهارشنبه ۱۴ اکتبر ۲۰۲۶، بانک آمریکا نتایج مالی فصل سوم را اعلام کرد. در همین جلسه، برایان مویْنیهان توضیح داد که بانک در فصل دوم حدود هزار پیمانکار را برای وصله‌کردن آسیب‌پذیری‌های نرم‌افزاری به کار گرفته است. به گفته‌ی او، بخشی از این ضعف‌ها را مدل‌های هوش مصنوعی پیدا کرده‌اند و Mythos محصول شرکت Anthropic یکی از آن مدل‌هاست.
این اعتراف از زبان مدیرعامل یکی از بزرگ‌ترین بانک‌های جهان، اولین بار نیست که درباره‌ی Mythos شنیده می‌شود، اما شاید اولین بار باشد که رقم نیروی انسانی لازم برای پاسخ به یافته‌های آن این‌قدر روشن بیان شده است. هزار نفر، آن هم فقط به‌عنوان نیروی کمکی، یعنی حجم کار کشف‌شده با مقیاس یک پروژه‌ی معمولی امنیتی فاصله دارد.
۲. Mythos چیست و چرا بانک‌ها را نگران کرد؟
Mythos مدلی از شرکت Anthropic است که برای پیدا کردن ضعف‌های امنیتی در نرم‌افزار ساخته شده است. این شرکت در ماه آوریل ۲۰۲۶ آن را در قالب پروژه‌ای به نام Glasswing فقط در اختیار گروه کوچکی از شرکت‌ها، بانک‌ها و نهادهای دولتی گذاشت. منطق کار ساده بود: اگر مدافعان زودتر از مهاجمان ضعف‌ها را ببینند، فرصت وصله‌کردن دارند.
یک ماه بعد، نهادهای نظارتی آمریکا برخی بازرسی‌های امنیت سایبری را متوقف کردند تا بزرگ‌ترین بانک‌ها فرصت کنند مشکلات پیداشده را رفع کنند. در همان ماه، جیمی دیمون، مدیرعامل جی‌پی‌مورگان، گفت صدها نفر در بانکش به‌صورت تمام‌وقت روی همین موضوع کار می‌کنند. بنابراین ماجرای بانک آمریکا استثنا نیست، بلکه بخشی از یک موج صنعتی است.
۳. اعداد و ارقام ماجرا
بر اساس گزارش‌های منتشرشده از جلسه‌ی درآمدی، چند عدد مهم وجود دارد. نخست، حدود هزار پیمانکار تازه به حدود سه هزار نیروی فنی موجود اضافه شده‌اند. دوم، هزینه‌ی رفع این مشکلات به‌همراه ترمیم کنترل‌های ضدپولشویی «چند صد میلیون دلار به بالا» بوده و مدیرعامل این دو را از هم جدا نکرده است. سوم، او گفت انتظار دارد سهم Mythos از این هزینه‌ها کاهش پیدا کند، چون انبوه اولیه‌ی ضعف‌ها در حال پاک شدن است.
مویْنیهان همچنین گفت پیمانکاران جزو آمار رسمی نیروی انسانی بانک نیستند، چون به‌عنوان مشاور قرارداد بسته‌اند. این جزئیات حسابداری کوچک به نظر می‌رسد، اما در بحث اثر هوش مصنوعی بر اشتغال اهمیت دارد: بخشی از کار انسانی که هوش مصنوعی ایجاد می‌کند در آمار استخدام دیده نمی‌شود.
۴. ضعف‌ها در کد خود بانک و کد فروشندگان
نکته‌ی مهم دیگر این است که به گفته‌ی مدیرعامل، ضعف‌ها فقط در کد خود بانک نبوده و کدهای فروشندگان و شرکای فناوری آن را هم شامل می‌شده است. در دنیای واقعی، یک بانک بزرگ دهها و صدها نرم‌افزار بیرونی دارد که به هم وصل‌اند. وقتی مدلی مثل Mythos نقطه‌ضعفی در یک کتابخانه‌ی مشترک پیدا می‌کند، مشکل به همه‌ی مشتریان آن کتابخانه منتقل می‌شود.
نمونه‌ی دیگری از همین روند، انتشار ۱٬۴۴۹ وصله‌ی امنیتی توسط شرکت Oracle است که گزارش‌ها آن را نشانه‌ی فشار تازه‌ی کشف خودکار ضعف‌ها می‌دانند. وقتی ابزارها سریع‌تر از تیم‌ها ضعف پیدا می‌کنند، گلوگاه از «کشف» به «تعمیر» منتقل می‌شود.
۵. اما آیا Mythos واقعاً از انسان‌ها باهوش‌تر است؟
همه موافق نیستند که این مدل کار انقلابی کرده باشد. باب هولی، مدیر فنی Mozilla، در ماه آوریل گفت Mythos در نسخه‌ی ۱۵۰ فایرفاکس ۲۷۱ ضعف پیدا کرده، اما به گفته‌ی او هیچ دسته‌ای از ضعف‌ها یا سطحی از پیچیدگی پیدا نشده که انسان‌ها نتوانند ببینند و هیچ باگی نبوده که یک پژوهشگر زبده نتواند کشف کند.
این نگاه نکته‌ی ظریفی دارد: مزیت Mythos شاید «هوشمندی برتر» نباشد، بلکه «مقیاس و سرعت» باشد. کاری که یک تیم انسانی در ماه‌ها انجام می‌داد، حالا در چند روز روی کل کد اجرا می‌شود و خروجی‌اش یک‌باره روی میز مهندسان می‌ریزد.
۶. بافت مالی و نظارتی؛ تصویر بزرگ‌تر
خبر بانک آمریکا در روزی منتشر شد که این بانک با فشار نظارتی سنگینی هم روبه‌رو بود. گزارش‌ها از جریمه‌ها و تسویه‌حساب‌های جداگانه برای ضعف در گزارش‌دهی تراکنش‌های مشکوک خبر داده‌اند و سود فصل نیز کاهش یافته و سهام بانک افت قابل‌توجهی را تجربه کرده است. به همین دلیل، سهم دقیق هزینه‌ی Mythos در این زیان‌ها روشن نیست و نباید آن را بیش از اندازه بزرگ کرد.
در عین حال، نهادهای نظارتی آمریکا و اروپا از بانک‌ها درباره‌ی ریسک عامل‌های هوش مصنوعی و حملات سایبری سؤال می‌کنند و بانک مرکزی اروپا از بانک‌ها خواسته تا پایان اکتبر برنامه‌ی مقابله با تهدیدهای مبتنی بر هوش مصنوعی را ارائه دهند. یعنی موضوع از یک بحث فنی به یک الزام مدیریتی تبدیل شده است.
۷. روی دیگر سکه؛ صرفه‌جویی با هوش مصنوعی
مویْنیهان در همین جلسه از سمت مثبت هم گفت. به گفته‌ی او بانک حدود ۱۳۰ پروژه‌ی مرتبط با هوش مصنوعی دارد که هرکدام قرار است در بلندمدت دو تا سه برابر هزینه بازدهی داشته باشند. او سود حاصل از این پروژه‌ها را برای سال ۲۰۲۶ بین ۲۵۰ تا ۳۰۰ میلیون دلار و تا پایان ۲۰۲۷ حدود ۷۰۰ میلیون دلار پیش‌بینی کرد و گفت بهره‌وری مهندسان فناوری حدود ده درصد بالا رفته است.
بانک همچنین حدود سه هزار شغل را کاهش داده که شامل پنج درصد از مدیران بوده، ولی مدیرعامل سهم هوش مصنوعی در این کاهش را مشخص نکرد. تصویر کلی این است که هوش مصنوعی هم در سمت هزینه و هم در سمت صرفه‌جویی ظاهر می‌شود و هنوز خالص آن روشن نیست.
۸. این خبر برای کسب‌وکارهای کوچک و متوسط چه معنایی دارد؟
شاید فکر کنید این ماجرا فقط به غول‌های مالی مربوط است، اما درس آن عمومی است. هر شرکتی که نرم‌افزار قدیمی، افزونه‌های متعدد یا وابستگی به سرویس‌های بیرونی دارد، در معرض همین تحلیل خودکار قرار می‌گیرد. مهاجمان هم به ابزارهای مشابه دسترسی پیدا می‌کنند و رقابت بر سر زودتر دیدن ضعف‌هاست.
راهکارهای عملی ساده‌اند: فهرست وابستگی‌های نرم‌افزاری خود را داشته باشید، به‌روزرسانی‌ها را عقب نیندازید، دسترسی‌ها را حداقلی کنید و برای رفع ضعف‌ها زمان و بودجه کنار بگذارید. اگر تازه با دنیای این ابزارها آشنا می‌شوید، آشنایی با OpenAI و توانایی‌ها و محدودیت‌های واقعی هوش مصنوعی نقطه‌ی شروع خوبی هستند.
۹. نگاه به آینده
اگر روند فعلی ادامه پیدا کند، «مهندس وصله» یکی از پرتقاضاترین نقش‌های سال‌های آینده خواهد بود. ابزارها ضعف را پیدا می‌کنند، اما تصمیم درباره‌ی اولویت، آزمون و استقرار هنوز به انسان نیاز دارد. این همان نکته‌ای است که در مقاله‌ی توهم برنامه‌نویس تنها در برابر مهندس واقعی هم به آن اشاره کرده‌ایم.
از نظر اقتصادی هم این ماجرا مهم است. اگر هزینه‌ی تعمیر از هزینه‌ی کشف پیشی بگیرد، شرکت‌هایی که زودتر سرمایه‌گذاری کنند مزیت امنیتی پیدا می‌کنند. برای مرور اینکه چرا این موضوع در تجارت اهمیت دارد، اهمیت هوش مصنوعی در کسب‌وکار را بخوانید.
۱۰. پرسش‌های متداول
آیا Mythos برای عموم در دسترس است؟
بر اساس اطلاعات منتشرشده، این مدل ابتدا در اختیار گروه محدودی از شرکت‌ها و نهادها قرار گرفت و برای استفاده‌ی عمومی عرضه نشده است. برای وضعیت دقیق فعلی باید به اطلاعیه‌های رسمی Anthropic مراجعه کنید.
آیا عدد هزار پیمانکار تأیید مستقل شده است؟
این رقم از زبان مدیرعامل بانک آمریکا در جلسه‌ی درآمدی نقل شده و برخی رسانه‌ها تصریح کرده‌اند که خودشان آن را مستقل راستی‌آزمایی نکرده‌اند. بنابراین آن را ادعای رسمی بانک بدانید.
هزینه‌ی این کار دقیقاً چقدر بوده است؟
مدیرعامل از «چند صد میلیون دلار به بالا» برای مجموع رفع ضعف‌های Mythos و اصلاح کنترل‌های ضدپولشویی سخن گفت و سهم هرکدام را جدا نکرد.
آیا این یعنی هوش مصنوعی از متخصصان امنیت بهتر است؟
نه لزوماً. برخی کاربران اولیه گفته‌اند مدل بهتر از پژوهشگران زبده نبوده است. مزیت اصلی آن سرعت و مقیاس تحلیل است، نه کشف نوع تازه‌ای از ضعف.
کسب‌وکار کوچک چه باید بکند؟
وابستگی‌ها را فهرست کنید، سامانه‌ها را به‌روز نگه دارید و دسترسی‌ها را محدود کنید. برای مطالب بیشتر درباره‌ی کاربرد ابزارها، به آموزش‌های ChatGPT و راهنمای نوشتن پرامپت برای مبتدیان سر بزنید.
۱۱. جمع‌بندی
ماجرای بانک آمریکا نشان می‌دهد هزینه‌ی واقعی هوش مصنوعی امنیتی فقط قیمت مجوز مدل نیست؛ هزاران ساعت کار انسانی برای تعمیر چیزی است که مدل پیدا می‌کند. تا وقتی کشف سریع‌تر از تعمیر باشد، بانک‌ها و هر سازمان دیگری باید برای صف طولانی وصله‌ها آماده باشند. آخرین اخبار این حوزه را در بخش اخبار دنبال کنید.
نسخهٔ فوری این مطلب در تلگرام: اینجا بخوانید
