Anthropic、アルバータ州政府がClaude Codeで4.66億行のコードを20時間で脆弱性スキャンした事例を公開

Government of Alberta uses Claude to find and fix cybersecurity vulnerabilities across government systems

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

Anthropicは2026年7月6日、カナダ・アルバータ州政府がClaude CodeとOpus/Sonnetモデルを使い、州が保有する4.66億行のコードを20時間でスキャンした事例を公開した。

約50体のエージェントが並列で稼働し、既存の自動スキャンツールが見逃していた脆弱性やドキュメント不備も検出、従来手法なら約6.5年かかる作業だったとしている。

見つかった脆弱性の修正、テストの自動生成、老朽化したコードのモダンな言語への書き換えまで一貫して行った点が特徴で、政府機関のセキュリティ担当者やレガシーシステムを抱える組織に関係する。

老朽化した公共システムを抱える自治体や大企業のセキュリティ部門にとって、人手不足で手つかずだったコード資産への対処法を示す事例といえる。

公開された作業時間や検出数はアルバータ州政府とAnthropicの共同発表に基づく数字であり、他組織で同じ効果が再現できるとは限らない。

規模感を数字で見る

アルバータ州政府が対象としたのは1,280本のアプリケーションと3,400のコードリポジトリ、行数にして4.66億行。これをClaude CodeとOpus/Sonnetモデルを組み合わせた約50体のエージェントが並列でスキャンし、要した時間はわずか20時間だった。

人手なら6.5年、AIなら20時間

Anthropicの説明によれば、同じ範囲を従来の手法で洗い出そうとすると約6.5年かかる計算になるという。単純計算で2,800倍以上の短縮であり、既存の自動スキャンツールが見逃していた脆弱性やドキュメント不備まで拾い上げた点も見逃せない。

スキャンで終わらせない設計

今回の取り組みが単なる脆弱性検出ツールと違うのは、その先まで自動化した点だ。見つかった問題には自動でテストを書いた上で修正を適用し、パッチ適用が難しいほど古いコードはより新しい言語へ書き直す。さらに「レッドチーム」役と「ブルーチーム」役のエージェントを組ませ、約95項目のセキュリティ基準に沿った継続レビュー体制も構築している。

手放しでは喜べない理由

95項目のチェックを通過したことが、そのまま「安全」を保証するわけではない。政府機関のような巨大なレガシー資産では、チェックリストの網羅性そのものが常に問われ続ける。修正案を最終的に人間のエンジニアが承認する体制は残されているというが、その運用がどこまで機能し続けるかは今後の追跡調査を待ちたいところだ(手法の詳細はAnthropicの発表 https://www.anthropic.com/news/alberta-government-claude-cybersecurity )。