Bank of America: Mythos hat zu viele Schwachstellen gefunden

„Nicht in der Belegschaft, sondern als Berater“

Am 14. Oktober stellt Brian Moynihan den Analysten die Quartalszahlen von Bank of America vor. Der CEO geht den Anstieg der Kosten Posten für Posten durch und lässt dann einen Satz fallen, der mehr verrät als seine Zahlen. Die Kosten für die Mythos-Nachbesserung dürften sinken, sagt er, weil die Bank 1.000 zusätzliche Leute dafür geholt habe, „nicht in der Belegschaft, sondern als Berater“. So steht es im englischen Transkript des Calls.

Mythos ist das Modell von Anthropic, das in Software, die man ihm vorlegt, serienweise Sicherheitslücken findet. Bank of America reagierte wie ein Haus, in dem in jedem Zimmer gleichzeitig der Rauchmelder schrillt: Sie rief Verstärkung. Bemerkenswert ist, wo diese Verstärkung verbucht wird.

Was Mythos ausgelöst hat

Zur Erinnerung: Anthropic kündigte Mythos am 7. April an und beschränkte den Zugang auf einen geschlossenen Kreis von Organisationen, weil das Modell zu viele Lücken finde, um es jedem zu geben (wir haben darüber berichtet). Anfang Juni wuchs dieser Kreis auf rund 200 Organisationen (unser Artikel). Anthropic sprach damals von mehr als 10.000 Schwachstellen mit hoher oder kritischer Einstufung, die die Teilnehmer gemeldet hatten. Jede dieser Meldungen landet auf dem Schreibtisch von jemandem, der sie prüfen, den Fix schreiben, testen und ausrollen muss, ohne den Rest zu beschädigen.

Nach dem Call lieferte Moynihan gegenüber CNBC die ausführlichere Fassung. Im zweiten Quartal habe die Bank 1.000 externe Dienstleister für die Patch-Arbeit geholt. Sie seien weiterhin da, „zusätzlich zu den 3.000 Personen, die wir in diesem Bereich haben“. Als die modernsten Modelle erschienen, hätten sich viele gefragt, wie sie diese Hürde schnell nehmen könnten. Das Risiko sei real.

1.000 Verstärkungen, nicht 4.000 Neue

Hier begann eine Zahl zu wachsen. Das Fachportal The Decoder titelte mit „4.000 Personen“, die gegen die Schwachstellen im Einsatz seien. Die Rechnung ist simpel: 1.000 Berater plus 3.000 Beschäftigte. Nur sind diese 3.000 nach Moynihans eigenen Worten die Leute, die die Bank in diesem Bereich bereits hat.

Beides zu addieren hieße, die diensthabende Feuerwehr mit den zum Brand gerufenen Verstärkungskräften zusammenzuzählen. Neu hinzu kommen allein 1.000 Externe. Im Text des Decoder-Artikels steht übrigens nirgends, dass 4.000 Menschen angeworben wurden: Die Addition steckt nur in der Überschrift.

Zwei Dinge bleiben offen. Erstens, wie viele Schwachstellen abzuarbeiten sind: Die Bank hat keine Zahl genannt. Zweitens, welchen Anteil Mythos genau hat: CNBC schreibt von fortgeschrittenen KI-Modellen, „darunter Mythos“, während Moynihan vor den Analysten nur dieses eine nennt.

Der Betrag, den man nicht lesen kann

Bleibt das Geld. Vor den Analysten erklärt Moynihan den Kostenanstieg im Jahresvergleich: rund 1,2 Milliarden Dollar, ohne Strafzahlungen. Etwa 450 Millionen entfallen auf Boni in der Vermögensverwaltung, etwa 300 Millionen auf das Marktgeschäft, bleiben ungefähr 400 Millionen. Darin gingen im dritten Quartal zweihundert Millionen Dollar und mehr in zwei Dinge: die Nachbesserung bei der Geldwäschebekämpfung und die Nachbesserung rund um Mythos. Das ist seine mündliche, ungefähre Formulierung, keine Bilanzzahl.

Eine Aufschlüsselung gibt es nicht. Und früher im selben Call, auf die Maßnahmen der Aufseher angesprochen, hatte Moynihan dieselbe Formel verwendet, zweihundert Millionen und mehr in diesem Quartal, nur für die Nachbesserung bei der Geldwäschebekämpfung. Derselbe Betrag dient also zweimal: einmal für ein Thema, einmal für zwei. Es ist ein Kassenbon, auf dem zwei Einkäufe in einer Zeile stehen. Den Anteil von Mythos kann man daraus nicht herauslesen.

Die schriftlichen Unterlagen helfen nicht weiter. Das Wort Mythos steht weder in der Ergebnismitteilung noch in der Präsentation für Investoren. Die Mitteilung führt KI dennoch als Pluspunkt an: mehr als 200.000 Beschäftigte nutzen KI-Werkzeuge, mehr als 300 Anwendungsfälle sind freigegeben. Die Kosten von Mythos existieren nur mündlich, als ungefähre Formel, die sie sich mit einem anderen Thema teilen.

Auch mit der Sanktion darf man den Betrag nicht verwechseln. Am 13. Oktober kündigten die Aufsicht über die nationalen US-Banken (OCC) und die Geldwäschestelle des Finanzministeriums (FinCEN) Anordnungen gegen die Systeme der Bank zur Geldwäschebekämpfung und zur Einhaltung von Sanktionen an. Bank of America verbuchte dafür eine Belastung von 1,2 Milliarden Dollar für zivilrechtliche Strafzahlungen, dieselbe Summe wie der Kostenanstieg, ohne dass beides zusammenhinge. Diese Zeile hat mit Mythos nichts zu tun. Sie erklärt aber, warum der Nettogewinn des Quartals auf 6,9 Milliarden fiel, nach 8,3 Milliarden ein Jahr zuvor.

Zwei Spalten, die sich nicht kreuzen

In derselben Antwort nennt Moynihan eine weitere Zahl: Die Belegschaft sei binnen eines Jahres um etwa 3.000 Personen geschrumpft, also 1,5 Prozent, bei rund 5 Prozent weniger Managern. KI zahle sich schon aus, versichert er. Die Bank hat rund 130 Projekte im Einsatz und erwartet daraus in diesem Jahr 250 bis 300 Millionen Dollar Nutzen, im nächsten 700 Millionen. Die Entwicklungsteams seien 10 Prozent effizienter.

Welchen Anteil der Stellenabbau an der KI hat, sagt die Bank nicht. Sie verknüpft auch die beiden Spalten nicht, und das ist logisch: Der Abbau steht in der Belegschaft, die tausend Berater stehen konstruktionsbedingt nicht darin. Ein Restaurant kann seine Küchenbrigade verkleinern und für ein Bankett einen Caterer bestellen. Die Lohnsumme sinkt, die Rechnung fürs Bankett steht woanders.

Verheimlicht wurde nichts: Moynihan hat es klar gesagt, in einer einzigen Antwort. Doch wer schnell liest, behält auf der einen Seite die 3.000 gestrichenen Stellen und sieht auf der anderen nie die 1.000 Leute, die geholt wurden, um zu reparieren, was die KI gefunden hat.

Ein Gipfel, sagt die Bank

Moynihan sprach mit CNBC an dem Tag, an dem die Aktie der Bank laut dem Sender zeitweise bis zu 8 Prozent nachgab. Er stellt die Ausgabe als vorübergehend dar: Sobald die Patches eingespielt sind, gebe es weniger zu beheben, und der Strom laufe ab. Das ist die Logik eines Rückstaus, der abgearbeitet wird: erst der große Bestand, dann der laufende Zugang. Die nächsten Zahlen werden zeigen, ob die Kurve mitspielt, vorausgesetzt, die Bank trennt eines Tages Mythos von der Geldwäschebekämpfung.

Im April schrieb Mozilla, Mythos habe in Firefox keine Lücke gefunden, die für einen menschlichen Spitzenforscher unerreichbar gewesen wäre (wir haben es hier eingeordnet). Sechs Monate später erzählt eine der größten US-Banken die andere Hälfte der Geschichte. Die Maschine findet schnell. Zum Reparieren braucht es weiterhin Menschen, und Bank of America hat tausend davon geholt.