アルバータ州はClaudeを使用して20時間で4億6600万行の政府コードをスキャンしました

アルバータ州政府は、手作業では6.5年かかったであろうセキュリティレビューを完了するために、約50の並列Claudeエージェントを使用しました。このレッスンでは、2段階のスキャン、修正ワークフロー、および彼らが構築した継続的なレビューエージェントを分解し、同じパターンを適用する方法を示します。

アルバータ州政府は、史上最大のAI支援セキュリティスキャンを完了しました。20時間で4億6600万行の政府コードがレビューされました。同じ作業を従来の方法で行った場合、約6.5年かかったでしょう。

このレッスンでは、アルバータ州が何をしたのか、なぜそれが機能したのか、そしてこのパターンが大規模な技術作業を処理するためにClaudeを使用するすべての人にとって何を意味するのかを詳しく説明します。

アルバータ州の技術革新省は、27のすべての州省庁にわたる3,400のコードリポジトリで1,280のアプリケーションを管理しています。これには、税務記録、社会サービスケースファイル、公共安全データなどのシステムが含まれます。ほとんどは体系的なセキュリティレビューを受けたことがありませんでした。

このコードベースをスキャンするために、チームは約50のClaudeエージェントを並行して使用し、2段階のプロセスを実行しました。まず、ルールエンジンが各リポジトリで既知の脆弱性パターンにフラグを立てました。次に、Claudeがこれらのフラグをレビューし、各発見について正確なファイルと行番号を引用しました。これにより、開発者は何も触れる前に検証できました。

脆弱性の発見は第一歩でした。アルバータ州のチームはその後、Claude Codeを使用してパッチを生成し、存在しない場合はテストを作成し、場合によってはレガシーシステム全体を最新の言語で再構築しました。

一例として、約25年前にJavaで手作業でコーディングされた補助金ポータルは、最初に構築するのに5か月かかりましたが、4〜5日で再構築されました。すべての修正は、出荷される前に省のエンジニアによってレビューおよび承認されました。AIが作業を加速させ、人間は意思決定ループにとどまりました。

アルバータ州はまた、Claude Agent SDKを使用して3つの専門レビューエージェントを構築しました。レッドチームエージェントは、攻撃者のように外部からアプリケーションを調査します。ブルーチームエージェントは、国際的なセキュリティ標準に対する防御をチェックし、修正すべき正確なファイルを指摘する修復計画を作成します。追加のエージェントは、コード品質と公開されている記述をチェックします。すべてのアプリケーションは、各パスで約95のセキュリティ制御を通過します。

アルバータ州の問題はユニークではありません。セキュリティギャップと文書化が不十分なレガシーシステムは、世界中の政府機関に存在します。アルバータ州は、他の機関が同じアプローチを実行するための青写真を提供する技術ホワイトペーパーを公開しており、2026年7月にエドモントンで業界デーを開催し、学んだことを共有する予定です。

それが機能したパターン：並列エージェントで大規模にスキャンし、ファイルと行の参照を含む特定の発見を引用し、強制的な人間によるレビューで修正し、その後、開発プロセス自体に継続的なセキュリティチェックを組み込むこと。

持ち帰り：アルバータ州は、約50の並列Claudeエージェントを使用して、20時間で4億6600万行のコードをスキャンしました。これは、手作業では約6.5年かかったであろう作業です。2段階のプロセス（ルールエンジンによるスキャン、その後、正確なファイル/行の引用を含むClaudeによるレビュー）は、従来の自動ツールが見逃した問題を検出しました。その後、Claudeは修正を生成し、不足しているテストを作成し、レガシーシステムを再構築しました。出荷される前には人間によるレビューが必須でした。3つの専門エージェントが現在、アプリケーションごとに約95のセキュリティ制御をカバーする継続的なチェックを実行しています。