仕事への影響
情シス担当者の仕事、BofAはAI発見の脆弱性修正に4000人体制
AIが脆弱性を見つけるスピードは、人間が直すスピードをはるかに上回り始めています。バンク・オブ・アメリカが明らかにした人員体制は、セキュリティ担当者の仕事そのものが変わりつつある現実を示す数字です。
何が起きたか
バンク・オブ・アメリカは、Anthropicの「Mythos」などAIモデルが見つけたソフトウエアの脆弱性を修正するため、外部の契約社員1,000人を新たに起用しました。CNBCの報道によると、この契約社員は社内の既存スタッフ3,000人と合わせて第2四半期から修正作業にあたっているといいます。CEOのブライアン・モイニハン氏は、この修正作業と資金洗浄対策の合計で、第3四半期に数億ドルを投じたと説明しました。修正作業のみにかかった費用は明らかにしていません。同社は、AIが発見した脆弱性に対応する人員数を公表した米大手企業の一つになります。モイニハン氏は、修正にかかる費用は時間とともに下がるとの見方を示しました。
背景・解説
Mythosとは、Anthropicが2026年4月に「Project Glasswing」という枠組みを通じて一部パートナー企業にのみ提供したAIモデルで、同社は公開時に、このモデルが数千件の深刻なセキュリティ脆弱性を発見したと説明しました。OpenAIも5月に、サイバーセキュリティ関連のプログラム「Daybreak」を追って発表しています。脆弱性診断とは通常、人手による監査やテストを通じてソフトウエアの欠陥を洗い出す作業を指しますが、AIモデルの登場によって、この「探す」作業の規模とスピードが大きく変わりつつあります。当初、専門家の一部はこうした発表をPR目的と見ていましたが、Hugging Faceを狙ったハッキング事件や、第三者による性能評価でAIモデルの能力の高さが裏付けられたことから、議論の前提が変わってきました。
仕事や業務への影響 — AI Topicaの見方
セキュリティ担当者の仕事は、「脆弱性を探す」から「AIが見つけた大量の脆弱性を捌く」という作業に重心が移ります。バンク・オブ・アメリカの事例では、契約社員1,000人と社内社員3,000人を合わせた4,000人が、AIが出した発見結果の確認・優先順位付け・修正にあたっています。この規模感は、脆弱性診断の自動化が「見つける手間」を減らす一方で、「直す手間」を一気に増やすことを示しています。
例えば、従業員500人規模の国内製造業で、情報システム部門が5人体制だったとします。これまで四半期ごとに外部委託で脆弱性診断を実施し、数十件の指摘を受けて順次対応していたとすれば、AIモデルを使った診断に切り替えた途端、指摘件数が数百件規模に跳ね上がる事態が起こり得ます。5人のままでは捌ききれず、修正の優先順位をつける仕組みと、外部リソースを一時的に増やす予算枠が必要になります。
情シス部門の責任者は、脆弱性の「発見数」ではなく「修正の処理能力」を管理指標に据え直すべきです。具体的には、重大度ごとの対応期限を決め、月あたり何件を修正できるかを可視化する運用に切り替える必要があります。バンク・オブ・アメリカが人員を4倍規模に積み増した事実は、AIによる発見が従来の体制では処理しきれないほどの量を生み出すことを物語っています。修正コストは当面増える前提で予算を組み、将来的な低下は「期待」にとどめておくのが堅実な判断です。
不確かな点・注意
バンク・オブ・アメリカは、修正作業だけにかかった費用を公表しておらず、資金洗浄対策との合算額しか明らかにしていません。契約社員1,000人と社内社員3,000人という人数は判明していますが、AIが発見した脆弱性の総数や、そのうち何件が修正済みかという情報は示されていないのが実情です。モイニハン氏が述べた「費用は時間とともに下がる」という見通しも、現時点では経営陣の期待にとどまり、実績として裏付けられたわけではありません。他の米大手企業が同様の体制や人数を公表した例は、報道の時点で見当たりません。