BofA mantiene 1.000 contratistas para parchear lo que Mythos encontró en Q2
Andrés Valcárcel · Empresas y Resultados ·
Bank of America contrató 1.000 consultores externos y movilizó 3.000 empleados internos para tapar vulnerabilidades que el modelo de IA de Anthropic expuso en código propio y de proveedores. El CEO Brian Moynihan cuantificó el costo defensivo por primera vez: cientos de millones en Q3.
Bank of America contrató 1.000 consultores externos en el segundo trimestre de 2026 y sigue pagándolos hoy para parchear <abbr title="fallos de seguridad en software que pueden ser explotados">vulnerabilidades</abbr> de software expuestas por Mythos, el modelo de inteligencia artificial de Anthropic. A ellos se suman 3.000 empleados internos trabajando en código propio y de proveedores. El CEO Brian Moynihan lo reveló este miércoles 14 de octubre en la entrevista con CNBC tras presentar resultados trimestrales, y cifró el costo en una «pareja de cientos de millones» en Q3 —una cifra que agrupa remediación de software y cumplimiento AML, aunque Mythos representa «gran parte».
Qué es Mythos y por qué solo los megabancos pueden usarlo
Anthropic lanzó Claude Mythos en abril de 2026, pero no lo abrió al público. Una versión preview llegó a un grupo restringido de socios mediante Project Glasswing, el programa de acceso controlado para trabajo defensivo de ciberseguridad. JPMorgan Chase es el único banco nombrado como socio fundador del programa. Goldman Sachs, Citigroup, Bank of America y Morgan Stanley recibieron un briefing regulatorio del Tesoro y la Fed, pero no son miembros de Glasswing ni tienen acceso formal al modelo. El modelo está construido para descubrimiento autónomo y explotación de vulnerabilidades en código; en pruebas controladas superó a todos excepto los humanos más expertos, identificando defectos que llevaban décadas sin ser detectados —como un bug de 27 años en OpenBSD.
El cronograma de remediación se comprimió de semanas a días tras los hallazgos. Moynihan explicó que la rapidez con que Mythos expone defectos obliga a los equipos de seguridad a priorizar de forma distinta: «Tenemos que estar adelante de ellos, y ser conscientes de que quienes hacen desarrollo de software son quienes intentan vendernos los servicios». La advertencia señala un conflicto potencial entre proveedores y clientes bancarios.
El costo defensivo visible frente al ahorro prometido
Bank of America proyecta que sus 130 proyectos de IA internos generarán $700 millones en ahorros el próximo año. Pero la factura defensiva pesa hoy: si los «cientos de millones» en Q3 se anualizan a un rango conservador de $800 millones a $1.200 millones, el costo de parchear lo que Mythos encontró podría superar el ahorro esperado en 2027. Moynihan espera que estos costos declinen con el tiempo, pero no dio plazo concreto. El banco reportó este miércoles $1.08 por acción en Q3, aunque $0.17 correspondieron a una multa regulatoria.
- 1.000 contratistas externos incorporados en Q2 (abril-junio 2026) y activos hoy.
- 3.000 empleados internos trabajando en paralelo en parches de código propio y de terceros.
- 23.000+ vulnerabilidades reportadas en una sola exploración; mayoría baja-moderada, pero también críticas.
- Cronograma comprimido de semanas a días para remediar defectos expuestos por Mythos.
- «Pareja de cientos de millones» en costos combinados de remediación de software y cumplimiento AML en Q3.
La brecha entre los que tienen acceso y los que no
El acceso a Mythos dibuja una línea entre quienes lo tienen y el resto. JPMorgan, como socio fundador de Glasswing, puede identificar y parchear vulnerabilidades en días; los bancos sin acceso al modelo, incluidos Goldman, Citi, BofA y Morgan Stanley, quedan expuestos a esos mismos defectos sin herramientas equivalentes para detectarlos. Jamie Dimon, CEO de JPMorgan, señaló que Mythos multiplicó por diez la amenaza cibernética de su banco. El Tesoro de EE.UU. y la Reserva Federal celebraron briefings con CEOs bancarios en abril para caminar a través de los riesgos elevados asociados al modelo.
Moynihan advirtió sobre otro riesgo estructural: los proveedores de software que venden servicios a los bancos son los mismos que deben apresurarse a parchear sus productos tras hallazgos de Mythos. Esa dinámica crea presión sobre roadmaps de desarrollo y abre la puerta a posible litigio si un proveedor tarda en remediar un defecto crítico que ya ha sido expuesto.
El modelo sigue confinado a un círculo reducido. Dario Amodei, CEO de Anthropic, lo describió como un «momento de peligro» porque el sistema puede exponer vulnerabilidades antes de que sean corregidas. Bank of America es el primer banco que pone cifras públicas a la defensa; el resto de la élite de Project Glasswing aún no ha publicado su factura.