アルバータ州政府、Claudeで4億6,600万行のコードを20時間で監査

カナダ・アルバータ州政府が、AnthropicのClaudeを使って州の全システムにわたるセキュリティ監査と修正を実施した事例を、Anthropicが2026年7月6日にケーススタディとして公開しました¹。約50のAIエージェントを並列稼働させ、4億6,600万行のコードをわずか20時間でスキャンしたもので、従来の手法では約6.5年かかる作業だったとされています¹。

アルバータ州の技術・イノベーション省は、社会サービスから公共安全、山火事対応まで、州の全27省庁のシステムを管理しています。その規模はおよそ1,280のアプリケーションと3,400のコードリポジトリに及びます¹。同州は2025年からClaude Code（OpusとSonnetの両モデル）を使い、システムのレビュー・脆弱性の発見・修正に取り組んできました¹。

50のエージェントが2段階でスキャン

今回のスキャンでは、約50のエージェントが自律的かつ並列に動作しました¹。Claude Codeは2段階のルーチンで作業を進めています。まずルールエンジンで各リポジトリをスキャンして既知のパターンに該当する箇所をフラグし、次にそのフラグを1件ずつレビューして、開発者が検証できるよう該当するファイルと行を正確に示しました¹。

このスキャンは、従来の自動スキャンツールが見逃していた問題も特定したとされています¹。発見後の対応もエージェントが担い、修正の生成・テスト・ビルドまで行えるケースが多かったほか、自動テストが存在しない古いコードでは、先にテストを書いてから修正に着手しました¹。コードが古すぎて修正が現実的でない場合には、より現代的で保守しやすい言語での再構築も行っています¹。

開発プロセスに常駐する「レッドチーム」と「ブルーチーム」

一度きりのスキャンにとどまらず、州のサイバーセキュリティチームはClaude Agent SDKを使って、開発プロセス全体で動き続ける専門のレビューエージェント群を構築しました¹。攻撃側を模した「レッドチーム」エージェントは、攻撃者の視点でアプリケーションを外部から調査し、脆弱性がどのように悪用されうるかをマッピングします。防御側の「ブルーチーム」エージェントは、国際的なセキュリティ標準に照らしてアプリの防御を評価し、修正すべきファイルを具体的に示した修復計画を作成します¹。これらのエージェントは1回のパスで約95のセキュリティコントロールをチェックします¹。

こうしたAIエージェントを防御に常駐させる体制の背景には、州政府が日々さらされる攻撃の規模があります。州政府の発表によると、アルバータ州は毎日1億8,900万件以上の不審な接続試行をブロックしています²。技術・イノベーション相のNate Glubish氏は「アルバータ州民は人生で最も機微な情報を政府に託しており、それを守るのは私たちの責任だ」と述べています¹。

25年前のポータルを4〜5日で再構築、165システムを16に統合へ

監査で洗い出したレガシーシステムの刷新も進んでいます。約25年前にJavaで手書きされ、当初の構築に5か月を要した補助金プログラムのポータルは、最短4〜5日で再構築できたとされています¹。

州政府は同日のメディアリリースで、今後165の個別システムを16の新しいアプリケーションに置き換える計画を明らかにしました²。従来の手法ではおよそ20億ドルと見積もられる更新費用に対し、AIの活用で95%のコスト削減を見込むとしています²。Glubish氏は「アルバータは政府のために機能する技術の構築に数十年を費やしてきた。今はそれを州民のためにより良く機能するよう、より速く、はるかに低いコストで作り直している」とコメントしています²。

知見は白書として公開、市民向けの教育も

アルバータ州はこの取り組みで得た知見を、21本のオープンソースの技術白書「Velocity White Papers」として公開し、他の政府機関が参照できるようにしています¹²。また2025年9月には教育プラットフォーム「Alberta AI Academy」を開始し、数千人の州職員と1万人以上の一般市民が、プロンプトの書き方からエンタープライズアプリケーションの提供まで、AI活用の基礎を学んでいます¹²。

政府機関によるAI活用は、チャットボットや文書作成支援といった個人の生産性向上にとどまるケースが多い中、今回の事例は数億行規模のコード監査からレガシー刷新までをエージェントで実行し、具体的な時間とコストの数字を公表した点に特徴があります。米国ではClaude Fable 5の輸出規制が7月1日に解除されるなど、AIとサイバーセキュリティをめぐる政策環境が動く中で、防御側の実践例として参照されることになりそうです。大量のレガシーコードを抱える企業や自治体にとっても、監査・修正・再構築の各工程をどこまでAIに任せられるかを検討する際の、具体的な参考事例になると考えられます。

技術的な詳細はAnthropicのケーススタディと、アルバータ州が公開する白書で確認できます。