Bank of America : Mythos a trouvé trop de failles

« Pas dans l'effectif, en consultants »

Le 14 octobre, Brian Moynihan présente aux analystes les résultats trimestriels de Bank of America. Le PDG détaille la hausse des dépenses ligne par ligne, puis glisse une phrase qui en dit plus long que ses chiffres. Les coûts de remédiation liés à Mythos devraient baisser, dit-il, parce que la banque a ajouté 1 000 personnes pour y travailler, « pas dans l'effectif, mais en consultants ».

Mythos, c'est le modèle d'Anthropic qui trouve des failles de sécurité en série dans les logiciels qu'on lui confie. Bank of America a réagi comme une maison dont les détecteurs de fumée sonnent dans toutes les pièces à la fois : elle a appelé du renfort. Ce qui retient l'attention, c'est l'endroit où ce renfort est rangé.

Ce que Mythos a déclenché

Rappel utile : Anthropic a annoncé Mythos le 7 avril et en a réservé l'accès à un cercle fermé d'organisations, au motif que le modèle trouvait trop de failles pour être mis entre toutes les mains (on l'a raconté ici). Début juin, ce cercle est passé à environ 200 organisations (notre article). Anthropic annonçait alors plus de 10 000 vulnérabilités classées graves ou critiques remontées par les participants. Chacune de ces alertes finit sur le bureau de quelqu'un, qui doit la vérifier, écrire le correctif, le tester et le déployer sans casser le reste.

Après le call, Moynihan a donné à CNBC la version longue. Au deuxième trimestre, la banque a fait venir 1 000 prestataires pour le travail de correctifs. Ils sont toujours là, « en plus des 3 000 personnes que nous avons dans ce domaine ». Quand les modèles les plus avancés sont arrivés, raconte-t-il, beaucoup se sont demandé comment passer ce cap vite. Le risque, selon lui, est réel.

1 000 renforts, pas 4 000 recrues

C'est là qu'un chiffre a commencé à gonfler. Le site spécialisé The Decoder a titré sur « 4 000 personnes » mobilisées contre les failles. Le calcul est simple : 1 000 consultants plus 3 000 salariés. Sauf que les 3 000 sont, dans les mots mêmes de Moynihan, les gens que la banque a déjà dans ce domaine.

Les additionner, c'est compter les pompiers de garde avec les renforts appelés pour l'incendie. Le seul ajout, ce sont 1 000 personnes extérieures. Le corps de l'article de The Decoder ne dit d'ailleurs pas qu'il y a eu 4 000 recrutements : c'est son titre qui fait l'addition.

Deux choses restent inconnues. Le nombre de failles à traiter, d'abord : la banque n'a donné aucun décompte. La part exacte de Mythos, ensuite : CNBC parle de modèles d'IA avancés « dont Mythos », alors que Moynihan, devant les analystes, ne nomme que lui.

Le montant qu'on ne peut pas lire

Reste l'argent. Devant les analystes, Moynihan explique la hausse des dépenses sur un an, environ 1,2 milliard de dollars hors pénalités. Environ 450 millions viennent des primes de la gestion de fortune, environ 300 millions des activités de marché, et il reste à peu près 400 millions. Dans ce reste, deux cents millions de dollars « et plus » sont allés au troisième trimestre à deux choses : la remédiation anti-blanchiment et la remédiation liée à Mythos. C'est sa formule, orale et approximative, pas un chiffre comptable.

Aucune ventilation. Et plus tôt dans le même call, interrogé sur les sanctions des régulateurs, Moynihan avait cité la même formule, deux cents millions et plus ce trimestre, pour la seule remédiation anti-blanchiment. Le même montant sert donc deux fois : une fois pour un dossier, une fois pour deux. C'est un ticket de caisse où deux courses sont passées sur la même ligne. Impossible d'en tirer la part de Mythos.

Les documents écrits n'aident pas davantage. Le mot Mythos n'apparaît ni dans le communiqué de résultats ni dans la présentation remise aux investisseurs. Le communiqué cite pourtant l'IA comme un atout, avec plus de 200 000 salariés qui utilisent des outils d'IA et plus de 300 cas d'usage approuvés. Le coût de Mythos n'existe qu'à l'oral, sous la forme d'une formule approximative partagée avec un autre dossier.

Il ne faut pas non plus confondre cette somme avec la pénalité. Le 13 octobre, le régulateur des banques nationales américaines (OCC) et la cellule anti-blanchiment du Trésor (FinCEN) ont annoncé des ordres visant les dispositifs de la banque contre le blanchiment et en matière de sanctions. Bank of America a passé une charge de 1,2 milliard de dollars pour les pénalités civiles, le même montant que la hausse des dépenses, sans lien entre les deux. Cette ligne n'a rien à voir avec Mythos. Elle explique en revanche pourquoi le bénéfice net du trimestre est tombé à 6,9 milliards, contre 8,3 milliards un an plus tôt.

Deux colonnes qui ne se croisent pas

Dans la même réponse, Moynihan donne un autre chiffre : l'effectif a baissé d'environ 3 000 personnes sur un an, soit 1,5 %, avec 5 % de managers en moins. L'IA, assure-t-il, rapporte déjà. La banque compte environ 130 projets en place et en attend 250 à 300 millions de dollars de bénéfices cette année, 700 millions l'an prochain. Ses équipes de développement seraient 10 % plus efficaces.

La banque ne dit pas quelle part de la baisse des postes tient à l'IA. Elle ne relie pas non plus les deux colonnes, et c'est logique : la baisse est comptée dans l'effectif, le millier de consultants ne l'est pas, par construction. Un restaurant peut réduire sa brigade et commander un traiteur pour un banquet. Sa masse salariale baisse, la facture du banquet est ailleurs.

Rien de caché : Moynihan l'a dit en clair, dans une seule réponse. Mais un lecteur pressé retient les 3 000 postes en moins d'un côté, et ne voit jamais, de l'autre, les 1 000 personnes appelées pour réparer ce que l'IA a trouvé.

Un pic, selon la banque

Moynihan parlait à CNBC le jour où l'action de la banque reculait jusqu'à 8 % en séance, selon la chaîne. Il y présente la dépense comme temporaire : une fois les correctifs passés, il y a moins à corriger, et le flux s'écoule. C'est la logique d'un arriéré qu'on rattrape : le gros du stock d'abord, le courant ensuite. Les prochains comptes diront si la courbe suit, à condition que la banque sépare un jour Mythos de l'anti-blanchiment.

En avril, Mozilla écrivait que Mythos n'avait trouvé, dans Firefox, aucune faille hors de portée d'un chercheur humain d'élite (on en parlait ici). Six mois plus tard, une des plus grandes banques américaines raconte l'autre moitié de l'histoire. La machine trouve vite. Pour réparer, il faut encore des humains, et Bank of America en a fait venir mille.