Bank of America nasadila 1000 lidí navíc, aby zalepila díry, které našla AI. Pozvánka na účet pro každou firmu

Umělá inteligence dokáže ve vašem softwaru najít chyby rychleji, než je stíháte opravovat. Bank of America kvůli tomu přibrala na opravy tisíc lidí a za čtvrtletí utratila stovky milionů dolarů. Je to první velký účet za éru, kdy AI hledá zranitelnosti dřív než útočníci — a týká se i vaší firmy.

Když generální ředitel jedné z největších amerických bank na výsledkové konferenci přizná, že musel přibrat tisíc lidí navíc kvůli jednomu softwarovému nástroji, obvykle to znamená průšvih. Tentokrát jde ale o něco zásadnějšího než o jednu banku. Bank of America v úterý potvrdila, že najala zhruba 1000 externích konzultantů, aby opravili zranitelnosti v jejím softwaru — díry, které odhalila umělá inteligence. A náklad za jediné čtvrtletí? Podle šéfa banky „pár set milionů dolarů plus“.

Pro českého podnikatele to zní jako vzdálený příběh z Wall Street. Jenže podstata je univerzální a dopadne dřív nebo později na každého, kdo provozuje vlastní software, e-shop nebo aplikaci: AI dnes dokáže najít bezpečnostní chyby rychleji, levněji a ve větším množství, než jsme je kdy uměli opravovat. A ten nepoměr někdo musí zaplatit.

Co se vlastně stalo

Generální ředitel Bank of America Brian Moynihan oznámil čísla během čtvrtletní výsledkové konference 14. října. Banka podle něj přivedla zhruba tisíc kontraktorů už ve druhém čtvrtletí a ti stále pracují po boku přibližně 3000 vlastních zaměstnanců, kteří se bezpečností softwaru zabývají dlouhodobě. Konzultanti se přitom nepočítají do stavu zaměstnanců — banka je najala jako externí posily.

Spouštěčem byl AI model, který ve zdrojovém kódu banky i jejích dodavatelů našel řadu dosud neznámých slabin. Mezi modely, které se na odhalování podílely, byl podle Moynihana i Mythos od společnosti Anthropic — nástroj, jejž firma od dubna zpřístupnila úzké skupině bank, podniků a státních institucí v rámci programu Project Glasswing právě proto, aby zranitelnosti našly dřív než útočníci.

Náklady za čtvrtletí Moynihan vyčíslil na „pár set milionů dolarů plus“, přičemž do této sumy spadaly dvě věci: oprava softwaru a zároveň náprava kontrol proti praní špinavých peněz. Nejde tedy o samostatný účet jen za opravy odhalené AI. Ředitel zároveň očekává, že právě tato část nákladů začne klesat, jakmile budou posily zapracované a největší vlna oprav odezní.

Znamená to velkou změnu v objemu práce, kterou budou banky muset odvést.

Tak Moynihan popsal dopad nástupu AI do oblasti bezpečnosti už v červenci pro Bloomberg Television. A nebyla to ojedinělá reakce. Šéf konkurenční JPMorgan Jamie Dimon už na jaře uvedl, že jeho banka má na stejnou práci nasazené stovky lidí na plný úvazek. Americké regulační úřady dokonce v květnu dočasně pozastavily část kybernetických kontrol, aby největší banky stihly opravit to, co modely našly.

Čísla je přitom dobré zasadit do kontextu. Bank of America ve stejném čtvrtletí vykázala tržby kolem 30 miliard dolarů, zisk na akcii ale zaostal za očekáváním analytiků a akcie v reakci klesly zhruba o pět procent. Den předtím, 13. října, navíc americké ministerstvo financí oznámilo bance pokutu přesahující 1,21 miliardy dolarů za nedostatky v hlášení podezřelých transakcí. Pozornost k oblasti rizik a compliance je tedy u banky momentálně mimořádná — a opravy odhalené umělou inteligencí do ní zapadají jako další velká položka.

Proč je to zlom, a ne jen další zpráva o kyberbezpečnosti

Dosud platila nepsaná rovnováha: hledat chyby v cizím softwaru bylo drahé a pomalé, takže většina zranitelností zůstala roky skrytá a nikdo je prakticky nevyužil. AI tuhle rovnováhu rozbila. Modely jako Mythos dokáží projít rozsáhlé kódové báze a vygenerovat seznam slabin v řádu hodin. Problém je, že opravit je pořád musí lidé — a to trvá, stojí peníze a vyžaduje testování, aby záplata nerozbila něco jiného.

• Hledání zranitelností je díky AI náhle levné a rychlé — na straně útočníků i obránců.
• Oprava zůstává pomalá a drahá, protože ji zvládnou jen kvalifikovaní vývojáři.
• Vzniká tak nebezpečná mezera: chyb se najde víc, než se stihne opravit.
• Kdo nástroj nemá, je ve dvojí nevýhodě — slabiny v jeho kódu najdou útočníci jako první.
• Regulátoři už po firmách v citlivých oborech žádají plán, jak na AI hrozby reagovat.

Pro Bank of America to znamenalo tisíc nových lidí a stovky milionů dolarů. Pro menší firmu to může znamenat jediné: v okamžiku, kdy někdo (ať už bezpečnostní výzkumník, nebo útočník) pustí podobný nástroj na váš software, může se objevit seznam desítek chyb, na jejichž opravu nemáte ani lidi, ani rozpočet. A mlčet už nejde — v Evropě chce Evropská centrální banka od bank do konce října plány, jak se proti hrozbám poháněným AI bránit. Tlak regulace se bude šířit do dalších odvětví.

Stojí za povšimnutí i to, že banky do oprav nenasadily další AI, ale lidi. To hodně vypovídá o současném stavu technologie: umělá inteligence je výborná v tom, že rozsvítí reflektor na problém, ale samotné bezpečné přepsání kódu v produkčním bankovním systému je pořád práce, kterou firmy svěřují zkušeným inženýrům. Kdo čekal, že AI nahradí vývojáře, dostává paradoxně opačný signál — poptávka po lidech, kteří umějí po AI uklízet, roste.

Druhá rovina je konkurenční. Nástroje jako Mythos dostaly zatím jen vybrané organizace v rámci uzavřených programů. Vzniká tím dočasná nerovnováha: velcí hráči v regulovaných odvětvích mají přístup k silným defenzivním modelům, zatímco běžné firmy spoléhají na to, co je volně dostupné. Jenže schopnosti těchto nástrojů se šíří rychle a laciněji dostupné verze přicházejí každým měsícem. Je rozumné počítat s tím, že co dnes umí jen banka s miliardovým rozpočtem, bude za pár měsíců v dosahu kohokoli — včetně útočníků, kteří stejnou technologii obrátí proti vám.

Co s tím může udělat česká firma

Příběh Bank of America vypadá jako problém velkých hráčů, ale logika je stejná pro e-shop s dvaceti zaměstnanci i pro softwarový startup. Rozdíl je jen v měřítku. Dobrá zpráva je, že stejné AI nástroje, které dnes nahánějí banky, jsou dostupné i vám — a používat je defenzivně je mnohem levnější než řešit následky úniku dat.

První krok je vědět, co vlastně provozujete. Překvapivě mnoho firem nemá přehled o tom, jaké knihovny a komponenty třetích stran jim běží v aplikacích — a právě ty bývají největším zdrojem zranitelností. Druhý krok je pustit na vlastní kód některý z dostupných AI nástrojů pro bezpečnostní audit dřív, než to udělá někdo zvenčí. Třetí krok, na který Bank of America doplatila nejvíc, je mít připravenou kapacitu na opravy. Najít chybu je dnes snadné; mít po ruce vývojáře, který ji rychle zalepí, je ta vzácná a drahá část.

Zároveň platí jedno uklidnění: ne každá nalezená zranitelnost je kritická. Zkušenost bank ukazuje, že největší chybou je buď panika a plošné hašení všeho najednou, nebo opačný extrém — ignorování seznamu, dokud se něco nestane. Rozumná cesta vede přes prioritizaci podle rizika: nejdřív to, co je dostupné z internetu a pracuje s citlivými daty, zbytek postupně.

Praktický takeaway

Éra, kdy se bezpečnostní chyby daly ignorovat, protože je stejně nikdo nehledal, skončila. AI udělala z hledání zranitelností komoditu — a to mění ekonomiku rizika pro každou firmu, která vlastní jakýkoli software. Bank of America zaplatila stovkami milionů a tisícem lidí za to, že se dostala do stavu, kdy chyb bylo víc než rukou na opravy. Vaše firma se do stejné situace dostat nemusí, pokud začnete dřív: udělejte si inventuru software, nechte AI prověřit vlastní kód jako první a mějte předem jasno, kdo a jak rychle umí opravy nasadit. Náklad na prevenci je dnes zlomkem toho, co stojí být zaskočen.