案例拆解：美银开出第一张公开的「AI 漏洞修补账单」——1000 名外包 + 2 亿美元
Anthropic Mythos 扫出几十年老代码的漏洞后，美国银行把「AI 发现的缺陷谁来修、花多少钱」第一次说成了明码标价
这笔账单的真正信号不是「银行又花钱了」，而是安全成本的定价方式变了：过去漏洞预算跟着渗透测试和合规检查走，现在跟着前沿模型的扫描能力走——AI 发现了多少你修不动的存量缺陷，就是你的风险敞口。美银给出了可复制的账本结构：一次性扩张外包突击修补（1000 人级）、存量团队承接（3000 人级）、成本预期随修补管道推进递减。中小企业的量级会小一到两个数量级，但「AI 审计 → 人工修补」这笔钱会出现在每一家有存量 IT 资产的公司的预算里，只是早晚问题。（编辑观点）
事件还原：一张被 CEO 亲口说出来的账单
2026 年 10 月 14 日，三季度财报发布后，美国银行 CEO Brian Moynihan 接受 CNBC 采访，第一次由大型上市公司高管亲口披露企业为「前沿 AI 模型扫出的软件漏洞」付出的人力与资金规模：二季度上线 1000 名合同工程师专职修补，至今仍在岗，叠加原有 3000 人的相关团队；三季度在软件修复与反洗钱合规监管事项上的支出为「两亿美元以上」。
背景是 Anthropic 的 Mythos 模型——今年 4 月起定向释放给少数银行、科技公司和政府机构。与传统渗透测试不同，这类前沿模型能在几天内扫出几十年老代码中人类审计员几年都翻不完的边缘缺陷。4 月时美联储就曾因 Mythos 在政府保密系统中发现漏洞而拉响警报；到 10 月，压力传导成了银行的财报脚注。
成本结构：为什么这是「一次性扩张」而不是「永久开销」
Moynihan 特意安抚投资者：「修完一轮就不需要修那么多了，管道会走完」——即存量漏洞是有限集合，突击修补后边际成本递减。这与传统安全运营「永远补不完」不同：AI 扫描把隐藏几十年的存量缺陷一次性挖出来，反而让修补工作第一次有了「完工日」的预期。
但要注意这笔账的两面性。同一场财报会上，美银披露约 130 个内部 AI 项目预计节省从 2026 年 3 亿美元升至 2027 年 7 亿美元；过去一年员工减少约 3400 人、裁减约 5% 管理者。也就是说：AI 一边省人力成本，一边制造新的修补成本——两者在同一个损益表里对冲。对企业经营者，真正的管理动作是把「AI 收益」与「AI 引发的安全支出」放进同一张表算净账，而不是让安全团队和数字化团队各报各的。（编辑观点）
行业差异：这张账单在哪些行业会先落地
- 金融：首个公开账单出自美国第二大银行，因为监管（美联储、OCC）会直接质询 AI 风险敞口，且核心系统多为 20 年以上老代码——存量漏洞密度最高、披露压力最大
- 制造与能源：OT/工控系统代码更老、供应商锁定严重，AI 扫出的漏洞可能「知道但修不动」（要原厂固件），账单形态会从「雇人修补」变成「向设备商付补丁费+停产损失」
- 互联网/软件：代码相对新、CI/CD 管道完善，修补速度快，账单主要体现在安全团队扩编而非外包突击；但开源供应链漏洞会放大成全行业连带成本
- 政企信息化：Mythos 类模型已在政府保密系统中发现漏洞，国内关键信息基础设施运营者应预期类似的「存量漏洞大清查」会在监管推动下变成合规动作
决策清单：现在应该做什么
- 盘存量：核心系统里有多少 10 年以上未重构的代码？这是 AI 扫描的「矿藏」，也是你的风险敞口——先量化再谈预算
- 定顺序：前沿模型一晚上能报出几千个漏洞，修补资源永远稀缺。按「可被外部触达 × 数据敏感度 × 利用难度」排优先级，而不是按发现顺序修
- 备预算：把「AI 安全审计 + 漏洞修补」立项为独立预算科目（量级参考：大企业一次性突击投入可达年收入千分之几；中小企业从一次外部 AI 审计服务起步）
✓ 建议做
- 先于对手使用 AI 审计自己的资产：Mythos 能扫到你，攻击者将来也能扫到——自己先扫先修是唯一便宜的选项
- 用合同工/外包做突击、正式团队做承接：学习美银「1000 外包 + 3000 在编」的弹性结构，避免永久扩编
- 把 AI 节省与 AI 风险支出放进同一张损益表，向董事会报净账
- 对供应商代码（外包项目、SaaS 集成）提出同等修补要求——美银修补的「内部与供应商代码」是一起算的
✕ 暂时不要做
- 不要因为恐慌把全部老系统推倒重构：美银的口径是「修补管道会走完」，重构的成本和风险远高于按优先级打补丁
- 不要采购「AI 扫描工具」后无人接单：扫描出的漏洞没有明确 Owner 和 SLA，账单只会变成报表里红色的存量数字
- 不要对外（客户/监管）零准备地宣布正在用前沿模型自查——先和法务对齐披露口径，漏洞信息本身就是敏感资产
一句话总结本案：AI 时代的安全预算逻辑，从「按威胁情报拨备」变成了「按 AI 扫描能力拨备」。美银第一次把这行字翻译成了具体数字——1000 人、2 亿美元。下一个出账单的，可能是任何有老系统的行业头部企业。（编辑观点）
参考来源（1）
1. CNBC：美银雇佣 1000 名合同工程师修补 Anthropic Mythos 暴露的软件漏洞（2026-10-14）可信媒体
发布主体：CNBC使用政策：可摘要美国银行 CEO Brian Moynihan 在三季度财报后对 CNBC 表示：今年二季度起雇佣 1000 名外部合同工修补被 Anthropic Mythos 等前沿模型暴露的软件漏洞，这些人员至今仍在岗，叠加原有 3000 人的安全团队规模；三季度在软件修复与反洗钱合规相关监管事项上花费「两亿美元以上」。Mythos 于 4 月定向释放给少数银行、科技公司与政府机构。Moynihan 强调该支出是阶段性的：「补完一轮就不需要补那么多了」，预计修复成本随时间下降。同期美银约 130 个内部 AI 项目带来的节省预计从今年 3 亿美元增至 2027 年 7 亿美元；过去一年员工数减少约 3400 人、裁减约 5% 管理者。https://www.cnbc.com/2026-10-14/anthropic-mythos-bank-of-america-hiring-cost.html