［ビジネスマン向け］アルバータ州政府がClaude Codeで4.6億行のコードを審査——政府システムのセキュリティ改革はどう進んだか

2026-07-07

はじめに

　Anthropicは2026年7月6日、カナダ・アルバータ州政府がClaude Codeを活用し、政府システム全体の脆弱性発見と修正を進めてきた事例を公開しました。本稿では、この発表内容をもとに、州政府規模でのAI活用によるセキュリティ改革の実際について解説します。

参考記事

タイトル: Government of Alberta uses Claude to find and fix cybersecurity vulnerabilities across government systems
発行元: Anthropic
発行日: 2026年7月6日
URL: https://www.anthropic.com/news/alberta-government-claude-cybersecurity

要点

アルバータ州政府の技術・イノベーション省は2025年からClaude CodeをOpusおよびSonnetモデルとともに導入し、約50体のエージェントを並列稼働させて4.6億行のコードを20時間で審査した
発見した脆弱性に対しては、Claude Codeが修正コードの生成・テスト・ビルドまでを担い、テストが存在しない場合はテストコードの作成から着手する仕組みである
老朽化したシステムの刷新にも活用されており、約25年前にJavaで開発され当初5か月を要した給付金ポータルを、4〜5日で再構築した事例がある
「レッドチーム」「ブルーチーム」など役割の異なる複数のエージェントが継続的にアプリケーションを審査し、国際的なセキュリティ基準に基づき約95項目の統制を毎回確認している
アルバータAIアカデミーを通じて、政府職員に加え1万人超の一般市民にもAI活用を教育しており、取り組みを全省庁へ広げる方針である

詳細解説

20時間で4.6億行を審査した仕組み

　アルバータ州は27の州省庁のシステムを一元的に管理しており、その規模は約1,280のアプリケーション、3,400のコードリポジトリに及びます。Anthropicによれば、その多くはこれまで体系的なセキュリティレビューを受けたことがなく、蓄積された技術的負債は数十億ドル規模に上るとのことです。

　この課題に対応するため、同省は2025年に内部チームを立ち上げ、Claude Codeの導入を進めました。約50体のエージェントが自律的かつ並行して稼働し、まずルールエンジンで既知のパターンを持つ脆弱性にフラグを立て、続いてそのフラグを審査したうえで、開発者が検証できるよう該当するファイルと行番号を具体的に示す、という2段階の仕組みで審査を行いました。その結果、Anthropicの発表では、所有するすべてのリポジトリを網羅した審査にかかった時間は約 20時間 で、従来型の手法であれば6.5年程度を要したと見積もられています。

　ルールベースの検出とAIによる検証を組み合わせる二段階構成は、誤検知(false positive)を減らしながら大量のコードを高速に処理するための一般的なアプローチと考えられます。大規模な政府システムでは、既存の自動スキャンツールで見逃されていた問題も少なくなかったとされており、その意味でも今回の取り組みは注目に値すると思います。

脆弱性の修正とレガシーシステムの刷新

　スキャンで脆弱性が見つかった箇所については、Claude Codeが修正コードの生成・テスト・ビルドまでを担うことが多く、自動テストが整っていない場合はテストの作成から着手したとされています。また、パッチとして対応するには古すぎる、あるいは複雑すぎるコードについては、より新しく保守しやすい言語で書き直す形が取られました。

　象徴的な事例として、約25年前にJavaで手作業により開発され、当初の構築に5か月を要した給付金プログラムのポータルが、今回はわずか 4〜5日 で再構築されたケースが挙げられています。なお、こうした修正はすべて省の技術者との連携のもとで進められ、パッチが本番環境に反映される前には必ずレビューと承認を経ているとのことです。

　開発期間が数か月から数日へ短縮された背景には、コードの理解・書き換え・テスト生成といった一連の作業をAIエージェントが並行して担えるようになったことがあると考えられます。ただし、最終的な承認プロセスに人間の技術者が関わり続けている点は、公共サービスというミッションクリティカルな領域での導入において重要な設計だと思います。

継続的なセキュリティレビュー体制

　アルバータ州のサイバーセキュリティチームは、開発プロセス全体を通じて稼働する専門のClaudeレビューエージェント群も構築しています。「レッドチーム」エージェントは攻撃者の視点からアプリケーションの外部を調査し、脆弱性がどのように悪用され得るかを洗い出します。一方で、「ブルーチーム」エージェントは国際的なセキュリティ基準に照らしてアプリケーションの防御力を評価し、修正すべきファイルを具体的に示した是正計画を作成します。さらに、コード品質や一般利用者向けの文章の分かりやすさを確認する追加のエージェントも用意されており、各アプリケーションは1回の審査ごとに約95項目のセキュリティ統制と照合されています。

　これらのエージェントはClaude Agent SDK上に構築されているとのことです。Claude Agent SDKは、複数の専門化されたエージェントを組み合わせて特定の業務フローを自動化する際に使われる開発基盤であり、今回のように「攻撃側」「防御側」といった役割分担をエージェント単位で設計できる点が特徴と言えます。継続的なレビュー体制を仕組み化することで、一度のスキャンで終わらせず、開発の各段階でセキュリティ品質を保ち続けられる点が実務上の利点だと考えられます。

人材育成と今後の展開

　技術面の取り組みと並行して、アルバータ州はAlberta AI Academyを通じ、政府職員だけでなく1万人を超える一般市民にもプロンプトの基本からエンタープライズアプリケーション開発までのAI活用を教育しています。技術・イノベーション省は、こうした人材育成の取り組みを一つのチームやプロジェクトにとどめず、必要とするすべての省庁へ広げることを目指しているとのことです。

　今後は、コードの記述・レビュー・デプロイの支援にとどまらず、エンジニアとともに新しいソフトウェアやツールをゼロから構築できるAIエージェントへと活用範囲を広げる計画です。一例として、ある省庁では185の老朽化したアプリケーションが本番稼働しており、Claude Codeを用いてこれらを分析したうえで、最新の言語・設計に基づく16の再利用可能なアプリケーションへ統合する計画があるとされています。

　185本を16本に集約するという規模の変化は、保守コストの削減だけでなく、今後の更新作業そのものを速める効果も期待できると考えられます。アルバータ州は今回の取り組みをまとめた技術白書を公開しており、7月にはエドモントンで業界向けのイベントも予定されているとのことです。同様の技術的負債やセキュリティ課題を抱える他の自治体・政府機関にとっても、参考になる事例だと考えられます。

まとめ

　アルバータ州政府の事例は、Claude Codeが大規模かつ機微な情報を扱う公共システムの脆弱性発見から修正、継続的な監視までを支援した取り組みです。政府によるAI活用のセキュリティ面については、Project Glasswingの拡大に関する記事でも整理していますので、あわせてご覧いただければと思います。