캐나다 앨버타주 정부, Claude로 4억 6천만 줄 코드 보안 취약점 20시간 만에 청소

캐나다 앨버타주 정부가 Claude Code를 활용해 4억 6천만 줄의 정부 코드를 단 20시간 만에 보안 스캔했습니다. 전통적인 방식이었다면 6.5년이 걸릴 작업이었죠.

한마디로 요약

앨버타주 기술혁신부가 Claude Opus와 Sonnet 모델을 활용해 27개 부처의 1,280개 애플리케이션을 보안 점검하고, 취약점을 자동 패치하며, 레거시 시스템을 현대화하는 작업을 진행했습니다. 정부 기관이 AI를 대규모 사이버보안에 활용한 대표 사례입니다.

466M 줄, 50개 에이전트, 20시간

앨버타주는 약 3,400개의 코드 리포지토리를 관리합니다. 대부분은 체계적인 보안 검토를 한 번도 받지 않은 코드였고, 누적된 기술 부채는 수십억 달러 규모였습니다.

팀은 Claude Code에 약 50개의 에이전트를 병렬로 돌렸습니다. 2단계 루틴으로 동작했어요. 먼저 룰즈 엔진으로 알려진 취약점 패턴을 스캔하고, 이어 Claude가 각 플래그를 검토하며 정확한 파일과 줄 번호를 명시했습니다. 개발자가 바로 확인할 수 있도록요. 기존 자동화 도구가 놓친 문제들까지 잡아냈다고 합니다.

취약점 패치부터 레거시 재빌드까지

스캔이 끝나면 Claude Code가 패치를 생성하고, 테스트하고, 빌드까지 수행합니다. 자동화 테스트가 없는 시스템에는 Claude가 테스트 코드를 먼저 작성한 뒤 패치를 적용했습니다.

가장 인상적인 건 레거시 재빌드 속도입니다. 25년 전 Java로 손코딩된 보조금 포털은 원래 5개월 걸려 만들었는데, Claude로 4~5일 만에 현대적인 언어로 재구축했습니다. 모든 패치는 물론 부처 엔지니어의 검토와 승인을 거쳤습니다.

레드팀·블루팀 에이전트로 지속 보안

앨버타주는 Claude Agent SDK 위에 전문 보안 에이전트를 구축했습니다.

• 레드팀 에이전트 — 공격자 관점에서 애플리케이션을 탐색하고 익스플로잇 경로를 매핑
• 블루팀 에이전트 — 국제 보안 표준 대비 방어력을 평가하고, 수정할 파일을 정확히 지정
• 추가 에이전트 — 코드 품질과 사용자 대면 문구까지 검토

매 패스마다 약 95개 보안 컨트롤을 검사합니다. 개발 프로세스 전반에 걸쳐 지속적으로 돌아가니, CI/CD에 보안 게이트를 내장하는 효과입니다.

마무리

Nate Glubish 기술혁신 장관의 말이 딱 요약이네요. "AI로 우리 시스템 전체의 취약점을 찾고 수정했습니다. 기존 방식이면 수년이 걸릴 작업을 몇 시간 만에 끝냈죠." 앨버타주는 기술 백서를 공개하고 7월 에드먼턴에서 산업 데 이를 개최합니다. 다른 정부 기관에도 좋은 청사진이 될 것 같습니다.

출처: https://www.anthropic.com/news/alberta-government-claude-cybersecurity