Alberta đã quét 466 triệu dòng mã chính phủ trong 20 giờ bằng cách sử dụng Claude

Chính phủ Alberta đã sử dụng khoảng 50 tác nhân Claude song song để hoàn thành một đánh giá bảo mật mà theo cách thủ công sẽ mất 6,5 năm. Bài học này phân tích quy trình quét hai giai đoạn, quy trình khắc phục và các tác nhân đánh giá liên tục mà họ đã xây dựng – và chỉ cho bạn cách áp dụng cùng một mô hình.

Chính phủ Alberta vừa hoàn thành đợt quét bảo mật được hỗ trợ bởi AI lớn nhất từ trước đến nay: 466 triệu dòng mã chính phủ được xem xét trong 20 giờ. Công việc tương tự, nếu được thực hiện theo cách truyền thống, sẽ mất khoảng 6,5 năm.

Bài học này phân tích những gì Alberta đã làm, tại sao nó hiệu quả và ý nghĩa của mô hình này đối với bất kỳ ai sử dụng Claude để xử lý công việc kỹ thuật quy mô lớn.

Bộ Công nghệ và Đổi mới của Alberta duy trì 1.280 ứng dụng trên 3.400 kho mã cho tất cả 27 bộ cấp tỉnh – các hệ thống lưu giữ hồ sơ thuế, hồ sơ vụ việc dịch vụ xã hội và dữ liệu an toàn công cộng. Hầu hết chưa bao giờ trải qua một đánh giá bảo mật có hệ thống.

Để quét cơ sở mã này, nhóm đã chạy khoảng 50 tác nhân Claude song song bằng cách sử dụng quy trình hai giai đoạn. Đầu tiên, một công cụ quy tắc đã gắn cờ các mẫu lỗ hổng đã biết trên mỗi kho lưu trữ. Thứ hai, Claude đã xem xét các cờ đó và trích dẫn chính xác tệp và số dòng cho mỗi phát hiện – để các nhà phát triển có thể xác minh trước khi chạm vào bất cứ điều gì.

Tìm kiếm lỗ hổng là bước đầu tiên. Nhóm của Alberta sau đó đã sử dụng Claude Code để tạo các bản vá, viết các bài kiểm tra khi không có bài kiểm tra nào tồn tại và trong một số trường hợp đã xây dựng lại toàn bộ hệ thống cũ bằng các ngôn ngữ hiện đại.

Một ví dụ: một cổng thông tin trợ cấp ban đầu được mã hóa thủ công bằng Java khoảng 25 năm trước – mất năm tháng để xây dựng lần đầu tiên – đã được xây dựng lại trong bốn đến năm ngày. Mọi bản sửa lỗi đều được các kỹ sư của Bộ xem xét và phê duyệt trước khi được triển khai. AI đã tăng tốc công việc; con người vẫn ở trong vòng lặp quyết định.

Alberta cũng đã xây dựng ba tác nhân đánh giá chuyên biệt bằng cách sử dụng Claude Agent SDK. Một tác nhân nhóm đỏ thăm dò các ứng dụng từ bên ngoài, theo cách mà một kẻ tấn công sẽ làm. Một tác nhân nhóm xanh kiểm tra các biện pháp phòng thủ chống lại một tiêu chuẩn bảo mật quốc tế và viết một kế hoạch khắc phục chỉ ra các tệp chính xác cần sửa. Các tác nhân bổ sung kiểm tra chất lượng mã và văn bản hướng tới công chúng. Mỗi ứng dụng trải qua khoảng 95 kiểm soát bảo mật trên mỗi lần chạy.

Vấn đề của Alberta không phải là duy nhất. Các lỗ hổng bảo mật và hệ thống cũ được tài liệu hóa kém tồn tại trong các cơ quan chính phủ trên toàn thế giới. Alberta đã xuất bản các báo cáo kỹ thuật cung cấp cho các cơ quan khác một bản thiết kế để chạy cùng một phương pháp, và đang tổ chức một ngày công nghiệp ở Edmonton vào tháng 7 năm 2026 để chia sẻ những gì đã học được.

Mô hình đã làm cho nó hoạt động: quét ở quy mô lớn với các tác nhân song song, trích dẫn các phát hiện cụ thể với các tham chiếu tệp và dòng, sửa lỗi với đánh giá bắt buộc của con người, sau đó xây dựng các kiểm tra bảo mật liên tục vào chính quy trình phát triển.

Những điều cần rút ra: Alberta đã quét 466 triệu dòng mã trong 20 giờ bằng cách sử dụng khoảng 50 tác nhân Claude song song – công việc mà theo cách thủ công sẽ mất khoảng 6,5 năm. Quy trình hai giai đoạn (quét bằng công cụ quy tắc, sau đó Claude xem xét với các trích dẫn tệp/dòng chính xác) đã phát hiện ra các vấn đề mà các công cụ tự động truyền thống đã bỏ lỡ. Claude sau đó đã tạo các bản sửa lỗi, viết các bài kiểm tra còn thiếu và xây dựng lại các hệ thống cũ – với yêu cầu xem xét của con người trước khi bất cứ điều gì được triển khai. Ba tác nhân chuyên biệt hiện đang chạy các kiểm tra liên tục bao gồm khoảng 95 kiểm soát bảo mật cho mỗi ứng dụng trên mỗi lần chạy.