このコード群はどれほど老朽化し、雑然としているか

アルバータ州技術革新省は州内27部門のシステムを保守している。社会福祉から公共安全、山火事対応まで、すべてこれに依存している。その裏側には約1,280のアプリケーション、3,400のコードリポジトリがある。

その大部分はこれまで体系的なセキュリティ監査を受けたことがなかった。長年蓄積された技術的負債——安全でないコード、未修正のバグ、時代遅れのソフトウェア——は、ざっと見積もっても数十億ドル規模にのぼる。しかもこれらのシステムに保存されているのは、税務記録、政府調達データ、社会福祉のケース記録といった、最も機微な情報だ。

4億6600万行のコードから、どう問題を選び出すか

約50体のエージェントが自律的に並行稼働し、手分けしてすべてのコードリポジトリをスキャンする。見つけるのはセキュリティ脆弱性だけでなく、基盤インフラやデプロイフローの弱点、技術文書の欠落も含まれる。

ここでいうルールエンジン（rules engine）とは、あらかじめ書かれた機械的なパターンマッチングのルールのことだ。コードが特定の形をしていれば拾い出されるだけで、マークを付けるだけで真偽の判断はしない。

この一連のスキャンはアルバータが保有するすべてのコードリポジトリをカバーし、従来の自動スキャンツールでは見逃されていた問題も掘り起こした。20時間で完了し、チームの試算では同規模の作業を従来の人手による監査に置き換えると約6.5年かかるという。

選び出した問題は、続けてAIが直す

問題を選び出すのは前半戦にすぎない。スキャンで脆弱性が見つかった箇所は、Claude Codeがしばしば修正パッチをそのまま書き上げてしまう——修正の生成、テストの実行、ビルドの完了までを一気に。

システムに自動テストがなく、パッチが安全かどうか確認できない場合、Claudeはまずテストを補う。コードが古すぎて複雑すぎ、その場で継ぎ当てするのが割に合わない場合は、思い切ってより現代的で保守しやすい言語で書き直してしまう。この過程はすべて各部門のエンジニアと一緒に進められ、どのパッチも本番投入前にエンジニアによる人手のレビューと承認を経る。

差が最も如実に表れたのは、ある補助金プロジェクトのポータルだ。25年前にJavaで手書きされたもので、当時ゼロから構築するのに丸5か月かかった。今回、現代的な言語で書き直したところ、最短でわずか4〜5日で済んだ。

スキャンが終わっても終わりではない——レッドチームとブルーチームが四六時中見張る

システムのスキャンとパッチ適用が終わっても、まだ終わりではない。アルバータ州のサイバーセキュリティチームは、専用のClaude審査エージェント群も構築し、開発プロセス全体を通じて常時稼働させている。これにより、セキュリティ監査を一度きりの特別調査から、日常開発の中の常態化したチェックへと変えた。

ラウンドを重ねるごとに、各アプリケーションは約95項目のセキュリティ管理策（security control）を一件ずつ点検される。この95項目は国際的なセキュリティ標準から切り出された具体的なチェック項目——たとえばパスワードが暗号化して保存されているか、ユーザー入力が検証されているか、といったもので、合わせて95項目の「セキュリティ健康診断リスト」となり、毎回最初からやり直す。

レッドチームとブルーチームのほかにも、コード品質や、一般公開される文言がわかりやすいかどうかを専門にチェックするエージェントもいる。この一連の審査エージェント群は、いずれもClaude Agent SDKをベースに構築されている。

この経験は他の政府にも展開できるか

アルバータ州はこの経験を自分たちだけで抱え込むつもりはない。すでに一連のプロセスを技術ホワイトペーパーにまとめ、他の州・準州や連邦政府の参考として公開している。技術的負債やセキュリティ脆弱性といった悩みは、世界中どの政府のシステムにもあるからだ。

次のステップとして、アルバータ州はAIエージェントにコード修正だけでなく、エンジニアと共にゼロから新しいソフトウェアやツールを構築させることも計画している。たとえばある部門には、今も本番環境で稼働している185の老朽化アプリケーションがあり、保守コストが高く更新も難しい。チームはClaude Codeを使ってこれらを洗い出し、現代的な言語をベースにした再利用可能な16のアプリケーションへ統合する計画だ。

同時にアルバータ州は「アルバータAIアカデミー」を通じて、政府職員と一般市民にAIの使い方を教育している。プロンプトの書き方からエンタープライズ級アプリケーションの構築まで幅広く扱う。

数字で語る

全編で最もインパクトのある数字をまとめて並べてみる——同じ一つの作業を、二つの時間スケールで見る。

2025年から、この省はその仕事をClaude Code（Anthropicのコーディングツール）に任せた。約50体のAIエージェント（自ら手順を計画し、実際に手を動かせるAIプログラム）が自律的に並行稼働し、20時間で4億6600万行のコードを一通りスキャンし終えた。脆弱性を見つけるだけでなく、見つけたらついでに直せる。

だが数十体のエージェントと数億行のコードで、選び出したのが本物の脆弱性であって、ただのノイズの山ではないとどう保証するのか。答えは下の図にある。

カギとなるのは二段階のパイプラインだ。まず機械が粗く選別し、次にClaudeが精密に選ぶ。見つかった問題はAIがそのまま修正し、そのあともレッドチームとブルーチームが毎日ループで見張る。

ここでいうルールエンジンとは、「コードが特定の形をしていればマークを付ける」機械的なパターンマッチングのルールで、拾い出すだけで真偽は判断しない——空港の金属探知機のように、鳴ったらまず止め、真偽の判断は後段の精密チェックに委ねる。レッドチーム／ブルーチームは攻守一対のAIで、一方はハッカーを演じて脆弱性を探し、もう一方は国際的なセキュリティ標準に照らして防御を補強し、どのファイルを直すべきか書き出す。毎回各アプリケーションは約95項目のセキュリティ管理策（95項目からなるセキュリティ健康診断リスト）をクリアする必要がある。

「約2,800倍速い」と言われてもピンとこないが、時間に換算すれば実感が湧く。同じ4億6600万行のコードのセキュリティ監査を、二つのやり方でそれぞれどれだけかかるか。