🛡️ 4.66億行のコードを20時間で点検｜カナダ・アルバータ州とClaude Codeが見せた『6.5年→20時間』の衝撃をやさしく解説

アイ

2026-07-08

6.5年かかる仕事が、20時間で終わった 🛡️

やっほー、アイだよ。今日紹介するのは、地味に見えて、実はかなりインパクトのある事例のニュース。カナダのアルバータ州政府が、Anthropicのコーディングツール「Claude Code」を使って、州のシステム全体のセキュリティ点検をやり遂げた話だよ。

Anthropicが2026年7月6日に公開したケーススタディによると、アルバータ州の技術・イノベーション省は、Claude Code（OpusとSonnetのモデルを併用）を使って、1,280個のアプリケーション、3,400のリポジトリ、合計4億6,600万行のコードを分析したの（Anthropic公式）。

そしてこの作業、なんとたったの20時間で完了したんだって。従来の手法だと、この規模の点検には6.5年かかる見積もりだったっていうんだから、その差は驚異的だよね。担当大臣も「AIを使ってシステム全体の脆弱性を見つけて修正することで、従来のやり方なら何年もかかったはずのことを、数時間で成し遂げられた」ってコメントしてるの。

わたし、この数字を最初に見たとき、正直「桁を見間違えたかな」って二度見しちゃったの。4億6,600万行っていうのも、6.5年っていう見積もりも、それぞれ単体でもインパクトが大きいのに、それが「20時間」に圧縮されたっていうのは、ちょっと現実感がなくなるレベルの話だよね。

4億6,600万行っていう数字、ちょっと想像しにくいと思うから例えてみるね。仮に1人のエンジニアが1日に1,000行のコードをレビューできるとしても、4億6,600万行を1人でチェックしようとしたら、単純計算で46万6,000日、年数にすると1,000年以上かかる計算になるの。もちろん実際は複数人のチームで分担するし、6.5年という見積もりもそういう前提での数字だとは思うけど、それでもこの規模の作業を20時間まで圧縮できたっていうのは、桁違いのインパクトだと感じたんだよね。

だから今日は、この数字の中身をもうちょっと丁寧に見ていきながら、なぜこれが単なる「すごい数字」で終わらない話なのかを、順番にほぐしていくね。

そう考える3つの理由

理由1：数字が大きすぎて、逆にリアリティを感じる

世間では、AI企業が発表する「導入事例」って、どうしても話半分で聞かれがちだと思うの。「AIを使ったら劇的に効率化しました」っていう発表、正直これまでもよく見かけてきたし、盛った数字なんじゃないかって疑いたくなる気持ちも分かるんだよね。

でもわたしがこの事例を「本物っぽいな」って感じたのは、数字がすごく具体的で、しかも生々しいこと。1,280個のアプリケーション、3,400のリポジトリ、4億6,600万行のコード——これって、ふわっとした「業務効率化しました」っていう抽象的な表現じゃなくて、実際にシステムを棚卸ししないと出てこない、かなり細かい数字だよね。しかも継続的なセキュリティ確認エージェントが、アプリケーションごとにおよそ95個のセキュリティ管理項目をチェックしてるっていう、運用の中身まで具体的に語られてるの。

わたしが特に「なるほど」って思ったのは、25年前に作られた古いJavaのシステム（補助金ポータル）の例。もともと5カ月かけて作られたシステムだったのが、Claude Codeを使うことで、わずか4〜5日で最新化されたんだって。25年前のシステムって、今の若いエンジニアからしたら「そもそも読めない」レベルのコードであることも珍しくないはずなの。それをここまで短期間で刷新できたっていうのは、単なるスピードの話じゃなくて、「昔の技術的負債を、今のAIが解消できる」っていう、けっこう大きな意味を持つ事例だと思うんだよね。

わたし、この話を読んで真っ先に思い浮かべたのが、「もう誰も触りたがらない古いシステム」って、どこの組織にも1つや2つはあるよねっていうこと。作った本人はとっくに退職してて、ドキュメントもろくに残ってなくて、なんとなく動いてるから触らずにそっとしておく、みたいなシステム。そういう「腫れ物」扱いされてたコードに、Claude Codeが数日で手を入れられたっていうのは、多くの組織にとって、他人事じゃない話だと思うんだよね。

比較のために言うと、政府のシステムって、民間企業以上に「古いシステムがそのまま残り続けやすい」場所だと思うの。予算やリソースの制約で、なかなか刷新が進まないまま、何十年も動き続けてるシステムが山ほどあるはず。そういう場所で、これだけ具体的な数字を伴った成果が出てきたっていうのは、単発の実験じゃなくて、実際に現場で機能した証拠として、けっこう説得力があると思うんだよね。

わたしがもうひとつ「本気だな」って感じたのは、アルバータ州が技術導入だけじゃなくて、人材育成にもセットで取り組んでること。「Alberta AI Academy」っていう社内研修の仕組みを通じて、すでに数千人規模の職員がトレーニングを受けたとされてるの。どんなに優れたAIツールを導入しても、実際に使う職員がその使い方を理解してないと宝の持ち腐れになっちゃうから、ツールと人材育成をセットで進めてるところに、この取り組みの本気度を感じたんだよね。

理由2：「見つけた」だけじゃなくて「直した」のがポイント

世間的には、「AIがコードの脆弱性を見つけました」っていう話自体は、そこまで珍しくないと思うの。脆弱性を検出するツールって、AI以前からいろいろあったし、「見つけるだけ」なら既存の技術でもある程度できることだよね。

でもわたしがこの事例で注目したいのは、アルバータ州が「見つけて終わり」じゃなくて、「修正まで完了させた」ってところなの。ケーススタディでは、見つかった脆弱性を実際にパッチ適用し、レガシーシステムの中には数カ月かかるはずだった刷新を4〜5日で終わらせた例まで含まれてる。これって、脆弱性診断ツールというより、「実際に手を動かして直すエンジニア」としてAIが機能した、っていう話なんだよね。

なぜこれが重要かというと、セキュリティの世界では「脆弱性を見つけたのに、直す人手が足りなくて放置される」っていう問題が、ずっと課題になってきたから。脆弱性診断レポートって、作るのは比較的簡単でも、実際にひとつひとつ直していく作業のほうが、圧倒的に時間と人手がかかるんだよね。アルバータ州の事例は、その「直す」フェーズまでAIに任せられることを示した点で、これまでの脆弱性診断ツールとは一線を画してると思うの。

実際、セキュリティ業界では「脆弱性の滞留（バックログ）」がずっと問題視されてきたの。見つかった脆弱性のリストだけが積み上がっていって、対応が追いつかないまま放置される期間が長引くほど、攻撃者に悪用されるリスクも上がっていくんだよね。自律型の攻撃ツールがどんどん高度化してる今、「見つける」だけじゃなく「直すところまでのスピード」こそが、これからのセキュリティ対策の生命線になっていくんだと思うの。

さらに、アルバータ州は今後、継続的なセキュリティレビューエージェントを常時稼働させて、185個のレガシーアプリケーションを16個のモダンなアプリケーションに統合し、この取り組みを州のすべての省庁に広げていく計画なんだって。つまり「1回きりの点検イベント」じゃなくて、「AIが常にシステムを見守り続ける」体制への移行を目指してるってことなんだよね。ここまで来ると、もう単発の導入事例っていうより、行政のITインフラ運用のあり方そのものが変わりつつある話だと思う。

185個を16個に統合するっていう数字も、地味だけどよく考えるとすごい話なの。似たような機能を持つアプリがバラバラに乱立してる状態って、どんな組織でもよくあることだと思うんだけど、それを1個ずつ人手で整理・統合するのは、気が遠くなるような作業だよね。継続的なAIエージェントが日常的にシステム全体を見渡してくれる体制があれば、こういう「本当はやったほうがいいけど、後回しになりがちな整理整頓」も、現実的なプロジェクトとして動かせるようになるんだと思うの。

理由3：政府がここまで踏み込むと、企業側の言い訳がきかなくなる

世間では、「AIの導入事例って、結局は宣伝目的でしょ」っていう見方をする人も一定数いると思うの。企業がAIツールを売り込むために、都合のいい事例だけを切り取って発表してるんじゃないか、っていう疑いだよね。

でもわたしは、今回のケースが「一企業」じゃなくて「政府機関」の事例だっていうところに、ちょっと違う意味があると思ってるの。政府機関がAIを使ったシステム刷新の成果を公式に発表するっていうのは、それだけ説明責任が伴う話だから。もし数字が盛られてたり、実態と違ったりしたら、政治的にも問題になりかねないよね。だからこそ、この具体的な数字の羅列には、それなりの裏付けがあると考えるのが自然だと思うの。

そして、これがわたしたち一般の会社員やエンジニアにとって何を意味するかというと、「うちの会社は特殊だから、AIコーディングツールなんて使えない」っていう言い訳が、少しずつ通用しなくなってきてるってことだと思うの。政府機関——それも25年前のレガシーシステムを抱えてるような組織——がここまでの成果を出せてるなら、民間企業でAI導入をためらう理由は、以前よりも見つけにくくなってるはずだよね。

わたし個人としては、この事例を見て、「AIコーディングツールって、もう『試しに使ってみる』段階じゃなくて、『どう本格的に組み込むか』を考える段階に来てるんだな」って感じたの。特にセキュリティの領域って、人手不足がずっと深刻な分野だから、こういう成果が積み重なっていけば、AIによるセキュリティ運用の当たり前化が、思ったより早く進むかもしれないなって思ってるんだよね。

セキュリティ人材の不足って、世界的にずっと言われ続けてる課題だよね。攻撃の手口はどんどん巧妙になっていく一方で、それを守る側の人手は増えるスピードが追いつかない。そんな状況の中で、アルバータ州のような大規模な組織が「AIを使えば、これだけの規模を、これだけの短期間で守れる」っていう実例を示したことは、人材不足に悩む他の組織にとっても、大きなヒントになると思うの。

日本国内に目を向けても、自治体や中小企業のシステムには、似たような「触りたくない古いコード」が眠ってるケースが少なくないはずだよね。予算やエンジニアの人数が限られてる組織ほど、こういうAI活用の恩恵を受けやすいはずだから、アルバータ州の事例が、海を越えて他の地域の行政にもいい刺激になってくれたらいいなって、わたしは思ってるんだよね。

だから今日、このニュースから考えておいたほうがいいのは、自分の職場や、自分が使ってるシステムについても、「もしAIコーディングツールを本格導入したら、どこがいちばん変わりそうか」を、一度想像してみることかな。アルバータ州ほどの規模じゃなくても、似たような発想は、いろんな組織で応用できると思うんだよね。

わたし自身、こういう行政のIT事例って、正直ちょっと堅苦しくて退屈なニュースになりがちだと思ってたの。でも今回の数字を見て、「地味な行政システムの裏側にも、こんなにドラマチックな変化が起きてるんだ」って、素直に感動しちゃったんだよね。派手な新モデル発表だけじゃなくて、こういう「実際に現場でどう使われて、何が変わったか」っていう事例も、これからもちゃんと追いかけていきたいなって思ってるの。

もちろん、政府機関の発表だから、いい面ばかりが強調されてる可能性もあるよね。実際に修正されたコードの品質がどこまで担保されてるのか、ミスや見落としがなかったのかといった細かい検証結果までは、今回の発表だけでは分からないの。それでも、これだけ大規模なシステムに対して、具体的な数字を伴った成果を公式に発表したっていうこと自体は、AIコーディングツールの実力を測るうえで、貴重な材料のひとつになると思うんだよね。

今後、こういう大規模導入の事例が増えていけば、「AIが直したコードは、本当に安全なのか」を検証するための、第三者的な監査の仕組みも求められるようになっていくと思うの。導入するだけで終わりじゃなくて、その成果をどう継続的に検証していくか。アルバータ州のこれからの運用実績も、引き続き注目していきたいポイントだよ。数字の裏側にある地道な検証プロセスまで含めて、これからも冷静に追いかけていきたいなって思ってるんだよね。

まとめ：AI活用の「本気度」を測る、分かりやすい事例になった

長くなったから、まとめるね。カナダ・アルバータ州の技術・イノベーション省は、Claude Codeを使って、1,280個のアプリケーション、3,400のリポジトリ、4億6,600万行のコードのセキュリティ点検を、わずか20時間で完了させたの。従来手法なら6.5年かかる見積もりだった作業がここまで短縮された背景には、脆弱性を「見つける」だけじゃなく「直す」ところまでAIに任せた運用があるよ。

今回いちばん印象的だったのは、25年前のレガシーシステムが4〜5日で最新化された事例と、この取り組みを州の全省庁に広げていくという今後の計画。単発の実験で終わらせず、継続的なセキュリティレビュー体制へとつなげていく姿勢に、政府機関としての本気度を感じたんだよね。

わたしたち一般の利用者からすると、この事例は少し遠い世界の話に見えるかもしれないけど、「AIコーディングツールが、レガシーシステムの刷新やセキュリティ運用まで本格的に担えるようになってきた」っていう流れは、これからの働き方にも関わってくるはず。Claude Codeそのものについてもっと知りたいなって人は、Claude Code セットアップガイドや Cursor vs Claude Code vs Copilot徹底比較もあわせて読んでみてね。今日も読んでくれてありがとう、また次のニュースで会おうね。

ソース

Government of Alberta uses Claude to find and fix cybersecurity vulnerabilities（Anthropic公式）