バンク・オブ・アメリカ、AIモデル「Mythos」暴露脆弱性の修正に千人契約者を投入
30秒でわかる内容解説
2026年4月に公開されたアントロピックのAIモデル「Mythos」が内部・ベンダーコードの脆弱性を相次いで発見した。バンク・オブ・アメリカは修正作業を加速させるため、第2四半期に1,000人の外部契約者を追加採用した。主要金融機関がAIの攻防で多大なコストと人員を投じている実態が明らかになり、技術者にとってソフトウェア保守のあり方が変わる兆候である。同社の内部AIプロジェクト130件による節約額も2027年に7億ドル（約1,110億円）へ拡大する見込みだ。
円換算は1ドル＝157.98円（2026年10月15日、欧州中央銀行の参考レート）による概算で、日本での販売価格とは異なる。
内部コードの脆弱性暴露と千人契約者の緊急投入
第3四半期決算発表後のインタビューで、CEOのBrian MoynihanはAIモデルの登場が実際のリスクを浮き彫りにしたと語った。2026年4月に小規模な金融・技術・政府機関グループに公開されたMythosは、数十年積もった内部およびベンダーコードの欠陥を高速で特定した。
We put on 1,000 contractors to help us do the patching work in the second quarter,
第2四半期に修正作業を手伝うため1,000人の契約者を投入し、
修正作業は現在も継続中で、第3四半期のソフトウェア修正およびコンプライアンス関連費用は数億ドル以上となった。Moynihanは投資家に一時的な支出増だと説明し、パッチ適用後は修正頻度が低下すると見込んでいる。
Once you patch, you don't have to patch as much. … The pipeline moves through,
パッチを当てれば、それほど頻繁に修正する必要はない。パイプラインは流れていく、
開発担当者がサービス販売側と常に競い合う必要があるとし、技術的負債の早期解決が優先事項となっている。同社の内部AIプロジェクトは130件に上り、効率化による節約額は2026年で3億ドル（約474億円）、2027年には7億ドル（約1,110億円）へ拡大する見込みだ。
同社株は決算発表後、最大で8%下落した。次の画像はMoynihanのインタビュー時の様子を示している。これは米国の大企業では初めて、AI防御に投じた人員と費用を具体的に開示した事例である。
金融機関が直面するAI脆弱性との攻防構造
金融業界では取引処理系や顧客管理システムが長年かけて構築されており、その多くは現代的なAIモデルが解析しやすい構造になっている。Mythosのようなフロンティア型モデルは、従来のテスト手法では発見されにくい論理の抜け穴やセキュリティホールを効率的に抽出できる。
remediation（ソフトウェアの修正・修復）では、内部エンジニアと外部契約者が連携してコードの書き換えを行う。compliance（法令・規制への適合）は、特に不正送金対策の適合要件を満たすために追加の検証が必要となった。
Moynihanは、ソフトウェア開発を担当するチームが外部サービスを提供するベンダーと常に対峙している点を指摘した。これにより、単なるバグ修正だけでなく、依存ライブラリの更新やAPIの互換性維持など、保守範囲が広範囲に及んでいる。
金融機関はAIの攻撃速度に追いつくため、人的リソースを集中的に投入する戦略を選んだ。この攻防は金融から技術、政府機関へと波及しており、業界全体のセキュリティ基準を押し上げる要因となっている。
AIは生産性向上で節約をもたらす一方、Mythosのようなモデルが数十年分の欠陥を暴いたことで、企業は高額な防御戦を余儀なくされている。
トークン節約か無限パッチか、技術者間の見解分岐
技術コミュニティでは、AI導入の本来の目的であるトークン購入によるコスト削減と、AIが発見したバグを修正するための追加契約者採用の間に矛盾があるとの指摘が上がっている。契約者で新たなパッチを当てると、そのコード中にさらに脆弱性が潜んでいる可能性があり、修正の無限ループに陥る懸念だ。
スパゲッティコード化が進むことで、システムの可読性が低下する恐れも示されている。一方で、ジェボンのパラドックスがAI開発分野でも適用されるとする見方もある。
AIの効率化により業務範囲が拡大し、従来とは異なる開発需要が継続して発生する可能性がある。コスト削減が主目的であるという見方と、開発需要の拡大を予測する見方で意見が分れている。
技術者はAIが単なる自動化ツールではなく、コード生成と修正の双方向のサイクルを駆動していることを認識しつつある。このパラドックスは当面のAI開発を牽引し、既存業務の単純削減とは異なる成長曲線を描くだろう。
人員削減との連動性と修正コストの推移
同社は過去1年で約3,400人の人員削減を実施し、管理職の約5％を整理した。AIの導入がどの程度人員削減に寄与しているかは現時点で不明だ。内部AIプロジェクト130件の節約額が2027年に7億ドル（約1,110億円）へ増える見込みである一方、修正コストが時間とともに実際にどの程度減少するかは未確定である。
Moynihanはパッチ適用後の修正頻度低下を強調したが、新モデルの公開や既存コードの改修が続く限り、防御的な修正作業は継続する可能性がある。2026年第4四半期以降の決算発表で、追加契約者の比率と純利益への影響が具体化すると見られる。
技術陣は年内に契約者の一部を整理する方針だが、Mythos以降のモデル更新ペース次第で体制は変動しうる。年内の修正パイプライン完了状況を指標に、来年の予算配分が決定される予定だ。契約者の残留状況と節約額の推移が、来年のAI投資効率を測る主要な基準となる。
用語の注釈
- remediation
- 損なわれた状態を修復し、元の正常な状態に戻すこと。（参考：「Remediation」の意味や使い方 わかりやすく解説 Weblio辞書）
- compliance
- 組織のアプリやデバイスが、定められたセキュリティポリシーを満たす状態。（参考：コンプライアンス ポリシーの構成 - Microsoft Intune | Microsoft Learn）