4億6600万行のコードを20時間でスキャン：アルバータ州政府がClaudeでサイバーセキュリティを強化

カナダのアルバータ州政府は2026年7月6日、公共部門におけるAIエージェントのサイバーセキュリティ応用の先駆的なプロジェクトの結果を発表した。技術革新省はClaude Code（OpusおよびSonnetモデル）と約50台の並列AIエージェントを使用して、政府システムのセキュリティ脆弱性をスキャンし修正した——従来の手法ではいかなる予算サイクルでも実現不可能な規模でだ。

このプロジェクトの規模はどの程度だったか？

アルバータ州は27省庁にわたる約1,280のアプリケーションと3,400のリポジトリを管理している。重要な点は、それらのアプリケーションのいずれも体系的なセキュリティ審査を受けたことがなかったということだ——怠慢ではなく、コストと利用可能なリソースの単純な数学的問題だ。体系的なレビューの従来の見積もりは、継続的な作業で6.5年だった。

AIエージェントは4億6600万行のコードをわずか20時間でスキャンした。

「AIを使ってシステムの脆弱性を発見・修正することで、従来のアプローチでは年単位かかる作業を数時間で達成した」と、アルバータ州技術革新大臣のNate Glubish氏は述べた。

方法論：並列エージェントと二重チェック

プロジェクトは二段階のプロセスを採用した。最初のパスで自動化されたルールエンジン、次に手動エンジニアリングレビューだ。エージェントは脆弱性を検出するだけでなく、積極的にパッチを生成・テストし、不足している自動テストを作成し、コードベースの古くなった部分を更新した。

政府が課した重要な制約：すべてのAI作業は、本番コードベースへのマージ前にエンジニアによるレビューと明示的な承認が必要だった。ここでAIは加速のためのツールであり、専門的な監視の代替ではない。

プロジェクトはレッドチーム／ブルーチームの方法論を使用した。あるパスではエージェントが脆弱性を探してシステムを攻撃し（レッドチーム）、別のエージェントが防衛・修復した（ブルーチーム）——これにより標準的な単一フェーズのスキャンよりも包括的なレビューが実現した。各パスはアプリケーションごとに約95のセキュリティ管理項目のチェックを含んだ。

レガシーシステムの近代化

セキュリティパッチに加え、プロジェクトはレガシーシステムの刷新も含んだ——これは公共部門のインフラ保守において伝統的に最も困難で高コストな部分だ。

アルバータ州は1省庁内の185のレガシーアプリケーションを16のモダンで再利用可能なアプリケーションに統合することを計画している——標準的なペースでは年単位かかる作業だ。プロジェクトデータによると、あるレガシーシステムは4〜5日で刷新されたが、その元の構築には5ヶ月かかっていた。

この非対称性は、AIアシストによる開発の特徴となりつつあるパターンを示している。エージェントがレガシーコードを理解し、リファクタリングを提案し、テストカバレッジを同時に生成できるとき——新しいエンジニアが他人のレガシーコードを理解するのに何週間も費やす必要なく——システム近代化の限界コストは劇的に低下する。

継続的なモニタリングと広範な影響

セキュリティプロジェクトは一回限りの介入にとどまらなかった。アルバータ州は専門的なレビューエージェントを設置し、各アプリケーションパスごとに約95のセキュリティ管理項目を継続的にモニタリングしている。これにより、セキュリティは定期的な高コスト監査ではなく、常時自動化されたプロセスとなった。

州は技術的な白書を発表し、方法論を他の政府と共有するためのインダストリーデーを開催している——アルバータ州がこのアプローチを公共部門全体の複製可能なモデルとして位置付けていることを示唆している。

政府のサイバーセキュリティにおけるClaudeの実践的な関与は、より広いシステム的な問いを開く。4億6600万行のコードがもはやセキュリティレビューの越えられない壁でなくなれば、公共部門のITインフラ管理の基本的な論理が変わる。審査はもはやリソースの特権ではなく——組織と意志の問題となる。AIエージェントへのアクセスを持つ政府は、未審査のアプリケーションベースに対する技術的な言い訳がなくなる。

アルバータのモデルは公共部門の慢性的な問題への具体的な答えも提供する。チームが対処できるより速く蓄積される技術的負債だ。大規模並列スキャン・自動パッチ生成・継続的モニタリングの組み合わせが方程式を変える——セキュリティとコストの二項対立ではなく、AIが第三の選択肢を提供する。マージに必要なエンジニアリング監視という義務的な側面を犠牲にすることなく、従来のコストのほんの一部で体系的なカバレッジが実現する。