Bank of America : 1 000 prestataires pour corriger ce que Mythos a trouvé

Le 14 octobre 2026, le jour de la publication des résultats trimestriels de Bank of America, son CEO Brian Moynihan a confirmé à Leslie Picker (CNBC) que la banque avait fait entrer environ 1 000 prestataires externes au deuxième trimestre. Leur mission : corriger les vulnérabilités logicielles mises au jour par des modèles d'IA avancés, dont Claude Mythos d'Anthropic. Ils renforcent les quelque 3 000 salariés que la banque affectait déjà à ce travail, sur son code interne comme sur les logiciels de ses fournisseurs. Mi-octobre, ils étaient toujours en poste¹⁷.

Ce que Mythos a déclenché

Anthropic a ouvert Claude Mythos Preview le 7 avril 2026 à un cercle restreint de partenaires, dans le cadre de Project Glasswing : laisser des organisations de confiance chercher les failles de leurs logiciels critiques avant les attaquants. L'éditeur déclare que le modèle en a trouvé des milliers de haute sévérité². CNBC rappelle que le modèle a été confié en avril à un petit groupe de banques, d'entreprises technologiques et d'agences gouvernementales¹.

Bank of America a répondu en ajoutant des bras. « That risk is real risk », a dit Moynihan : à la sortie des modèles de frontière, la direction s'est demandé comment traverser l'épreuve vite¹. Sur le coût, il a donné aux analystes un ordre de grandeur : un peu plus de deux cents millions de dollars au troisième trimestre. Ce montant regroupe la remédiation logicielle et la mise en conformité anti-blanchiment, sans ventilation entre les deux¹³. La veille, le Trésor américain avait annoncé plus de 1,21 milliard de dollars de pénalités contre la banque, pour des manquements à la lutte anti-blanchiment (dont plus de 5 milliards de dollars de transactions suspectes non déclarées) et des violations de sanctions³⁴. Moynihan prévoit une décrue des coûts de remédiation : une fois le stock corrigé, il restera moins à corriger¹.

En face, la banque mène environ 130 projets d'IA internes, dont elle attend des économies qui passent d'environ 300 millions de dollars cette année à 700 millions en 2027. Ses effectifs ont baissé d'environ 3 400 personnes en un an, avec une réduction d'environ 5 % des managers ; CNBC note qu'on ignore quelle part de cette baisse tient à l'IA. Les prestataires, recrutés comme consultants, n'entrent pas dans ce décompte¹⁴. The Decoder fait l'addition : 4 000 personnes travaillent chez Bank of America à corriger des failles trouvées par des modèles d'IA⁵.

Le coût est dans la correction

L'épisode rappelle le passage à l'an 2000. En 1999, tout le monde savait où se trouvait le bug : il était dans les dates codées sur deux chiffres. La correction a coûté environ 100 milliards de dollars aux États-Unis entre 1995 et 2000, selon John Koskinen, qui pilotait le dossier pour la Maison-Blanche⁶. Avec Mythos, la découverte s'accélère d'un coup, et une banque ne peut pas laisser ouverte une faille qu'elle connaît. Chaque vulnérabilité remontée devient un ticket, puis des heures d'ingénieur, puis un test de non-régression.

Bank of America est l'une des premières grandes entreprises américaines à chiffrer en effectifs et en dollars sa défense contre Mythos¹. The Register relève qu'en mettant remédiation et lutte anti-blanchiment dans la même ligne, Moynihan laisse inconnue la part propre à Mythos³.

Pourquoi la décrue n'est pas garantie

Le raisonnement de Moynihan suppose un stock fini de failles. Deux mécanismes peuvent le remplir à nouveau.

Le premier : les modèles progressent. Chaque nouvelle génération relira le même code et trouvera ce que la précédente avait manqué. La taille du stock dépend du meilleur chercheur de failles disponible, et ce chercheur change à chaque sortie de modèle.

Le second : le code continue d'arriver, et des agents en écrivent une part croissante. Si ce code neuf entre en production avec le même taux de défauts que l'ancien, les équipes de remédiation videront une baignoire dont le robinet reste ouvert.

Ce que les DSI peuvent en tirer

Mesurer la capacité de correction. Combien de vulnérabilités votre organisation corrige-t-elle par semaine, sur son propre code et sur celui de ses fournisseurs ? Le jour où un modèle de la classe de Mythos analysera votre parc, ce chiffre fixera la taille du renfort à recruter.

Fermer le robinet dans le SDLC. Les failles les moins chères n'atteignent jamais la branche principale. Règles de sécurité appliquées au moment de la génération, revue outillée avant merge, tests de sécurité dans la CI : le code produit par IA passe les mêmes contrôles que le code humain, au rythme où il est produit.

Relire le legacy avant qu'un autre le fasse. Les modèles qui ont servi Bank of America, ou leurs équivalents, finiront entre les mains d'attaquants. Faire passer votre code existant au crible avec ces outils, à votre rythme, coûte moins cher qu'un sprint de remédiation imposé par un incident. Google a fait de cette chaîne un produit avec CodeMender : prouver la faille par un exploit, écrire le correctif, le faire relire par un humain.

Revoir les contrats fournisseurs. Une partie des failles corrigées par Bank of America se trouvait dans des logiciels tiers. Délais de correction, droit d'audit du code, obligations de notification : ces clauses deviennent votre principal levier sur la part du risque que vous ne codez pas vous-même.

Confiner les agents qui patchent. Corriger des milliers de failles avec 4 000 personnes ne passe pas à l'échelle, et les équipes vont confier une partie du travail à des agents de code. Ces agents auront accès à des dépôts sensibles, parfois à des environnements de test proches de la production : enfermez-les dans un périmètre où ils ne touchent que ce qu'on leur a confié (voir pourquoi un agent d'analyse n'est pas un bac à sable).

Moynihan a donné le premier ordre de grandeur public : pour une grande banque américaine, la réponse à Mythos s'est comptée en milliers de personnes et en centaines de millions de dollars sur un trimestre. Les organisations qui n'ont pas encore reçu leur liste de failles ont quelques mois pour mesurer ce qu'elles savent corriger par semaine.

Sources

1. Hugh Son, « Bank of America hired 1,000 contractors to patch software flaws exposed by Anthropic's Mythos » (interview de Brian Moynihan par Leslie Picker après les résultats du 14 octobre ; 1 000 prestataires au deuxième trimestre, toujours en poste, 3 000 salariés ; « That risk is real risk » ; « couple hundred million plus » pour la remédiation logicielle et les sujets réglementaires anti-blanchiment ; « Once you patch, you don't have to patch as much » ; 130 projets d'IA, économies de 300 puis 700 millions de dollars ; effectifs en baisse d'environ 3 400) — cnbc.com, 14 octobre 2026.
2. Anthropic, « Project Glasswing » (accès restreint à Claude Mythos Preview, milliers de vulnérabilités de haute sévérité déclarées par l'éditeur) — anthropic.com, 7 avril 2026.
3. Connor Jones, « Bank of America had to bring in 1,000 contractors to patch all the bugs Mythos identified » (coûts Mythos et anti-blanchiment non ventilés ; règlements FinCEN, OCC et OFAC) — theregister.com, 15 octobre 2026.
4. Alina Maria Stan, « Bank of America CEO says 1,000 contractors are fixing AI-exposed flaws » (prestataires hors effectifs ; pénalités du Trésor de plus de 1,21 milliard de dollars annoncées le 13 octobre) — thenextweb.com, 15 octobre 2026.
5. Maximilian Schreiner, « Bank of America puts 4,000 people on fixing vulnerabilities uncovered by Anthropic's Mythos and other AI models » — the-decoder.com, 15 octobre 2026.
6. Nextgov, « World spent $200 billion on Y2K fixes, U.S. says » (John Koskinen : 100 milliards de dollars dépensés aux États-Unis depuis 1995) — nextgov.com, décembre 1999 (conférence de presse du 1er janvier 2000).
7. Nicole Kobie, « Bank of America hired 1,000 security consultants to address Mythos-spotted flaws » — itpro.com, 15 octobre 2026.