阿尔伯塔省政府借助Claude查找并修复网络安全漏洞

自2025年起，阿尔伯塔省政府便开始借助Claude Code推进系统安全加固工作。他们同时运用Opus与Sonnet两款模型，从代码审查、漏洞发现到漏洞修复，实现了全流程闭环。成果令人瞩目：省技术与创新部的一个小型团队，仅用20小时便扫描了4.66亿行代码，全面排查了散布在各系统中的安全隐患，并同步构建了多款新工具以强化防线。 这绝非一项轻松的任务——政府系统承担着居民福利发放、公共服务运转等关键职能，但代码往往老旧、缺乏安全审计，文档也零散不全。阿尔伯塔省的实践，为其他政府机构提供了可借鉴的范式，展示了如何利用Claude进行大规模、系统化的安全补缺。该省还发布了一套技术白皮书，详细记录了整个实施过程，供其他政府部门参考。 “阿尔伯塔的居民将自己生活中最敏感的信息托付给政府，我们有责任保护好这些信息，”省技术与创新部长Nate Glubish表示。“借助AI发现并修复系统漏洞，我们用几小时就完成了传统方法需要好几年才能做完的工作。这才是AI时代负责任的政府应有的姿态，而这还只是开始。”

阿尔伯塔省的做法

省技术与创新部管理的不仅是一个部门，而是全省27个部委的IT系统——涵盖社会服务、公共安全乃至森林火灾响应等领域。合计约1280个应用程序、3400个代码仓库。绝大多数代码从未进行过系统性的安全审计，积累了巨额技术债务——包括不安全的代码、被忽视的漏洞、过时的软件——金额高达数十亿美元。 这些系统中存储着大量高度敏感的信息，例如税务记录、政府采购数据、社会服务案件档案。因此，2025年该部门专门组建了一个内部团队，目标明确：让这些系统更安全、更易于维护。团队全程依赖Claude来推进工作。 目前，该团队已借助Claude实现了以下成果： **20小时内完成4.66亿行代码的安全评估。** 团队使用Claude Code，结合Opus与Sonnet模型审查所维护的代码库。约50个agent并行工作，自主扫描系统，排查安全漏洞、基础设施及部署流程中的薄弱环节，以及技术文档的缺口。Claude Code采用两阶段流程：先用规则引擎扫描每个仓库，标记已知模式；然后逐一复核这些标记，直接给出具体文件和行号，便于开发人员核实。此次扫描覆盖了阿尔伯塔省政府拥有的所有代码仓库，并发现了传统自动化扫描工具遗漏的问题。全部扫描耗时约20小时——按团队估算，换成传统人工方式，这样的工作量至少需要6.5年。 **发现的漏洞，顺带就给修了。** 扫描定位漏洞后，Claude Code通常能直接生成修复方案，测试、打包一气呵成。若某个系统缺少自动化测试来验证补丁安全性，Claude会先写好测试代码。部分代码过于老旧或复杂，无法在原基础上打补丁，Claude便直接使用更现代、更易维护的语言进行重建。在某些场景下，整个系统重建仅需四到五天。举例来说，一个补贴申请门户最初约25年前用Java手动编写，首次构建耗时五个月；而此次借助Claude重建，不到一周便完成。当然，所有修复均经过内部工程师审核批准，没有补丁被直接上线。 **建立持续安全审查机制。** 阿尔伯塔省的网络安全团队还构建了专用化的Claude审查agent，贯穿整个开发流程。一个“红队”agent从外部模拟攻击者视角探入应用程序，研究漏洞利用路径。随后，“蓝队”agent依据国际安全标准评估应用的实际防御能力，并生成修复方案，精确指向需要修改的文件。另有agent负责审查代码质量以及面向公众的文案是否清晰易懂。每次审查，每个应用程序都会被逐一对照约95项安全控制措施。这些agent基于Claude Agent SDK构建，能对每个应用执行一系列全面且严格的检查与深度分析。 除了扫描、加固和现代化改造自身系统，阿尔伯塔省还通过阿尔伯塔AI学院为政府雇员和公众提供AI培训。数千名政府雇员和超过1万名公众已通过该平台学习了有效使用AI的核心技能——从提示工程到企业级应用交付。借助这个学院，技术与创新部希望将这套能力从单一团队或项目扩展到所有有需求的部委。

展望未来

目前，Claude已协助该部门编写、审查和部署代码，推动系统现代化改造。下一步，团队计划扩展这项工作，引入能够与工程师并肩开发全新软件和工具的AI agent。 阿尔伯塔省政府的现代化工作将持续推进。例如，其中一个部委目前仍有185个在运行的遗留应用，维护成本高昂且更新困难。省政府计划用Claude Code彻底分析这些系统，明确其功能定位，然后将其整合为16个基于现代编码语言和规范构建的可复用应用。目标是降低复杂度、削减维护成本，将原本需要多年才能完成的现代化进程大幅提速。

对其他政府的参考价值

阿尔伯塔省政府面临的技术债务与安全漏洞，在全球范围内并不特殊。许多省级、州级和联邦机构都遭遇着类似挑战。阿尔伯塔省发布的技术白皮书，相当于为其他政府提供了一套可直接落地的行动方案。 此外，阿尔伯塔省还在埃德蒙顿举办了一场行业分享日活动，7月份对外开放，公开复盘其经验教训。今年秋季，他们还将启动一项计划，将这套安全审查模式推广到整个省政府的各个部门。可以预见，这套经过验证的方法，最终将帮助更多政府机构筑牢自身系统安全防线。