Anthropic, 앨버타 정부 Claude Code 보안 점검 사례 공개

Anthropic 공식 사례 발표에 따르면 캐나다 앨버타 주정부는 2025년부터 Claude Code와 Claude Opus·Sonnet 계열 모델을 활용해 정부 시스템의 보안 취약점을 찾고 수정하는 작업을 진행하고 있다. 앤트로픽은 앨버타 기술혁신부 내부 팀이 약 20시간 동안 4억6600만 줄의 코드를 검토했으며, 보안 격차를 보완하고 시스템을 더 안전하게 운영하기 위한 도구를 구축했다고 밝혔다.

이번 사례는 생성형 AI가 단순한 코드 작성 보조를 넘어 공공 부문 레거시 시스템의 보안 점검과 현대화에 투입되고 있다는 점에서 주목된다. 앤트로픽에 따르면 앨버타 기술혁신부는 27개 주정부 부처의 시스템을 관리하고 있으며, 대상에는 약 1280개 애플리케이션과 3400개 코드 저장소가 포함된다. 이들 시스템에는 세금 기록, 정부 조달 자료, 사회서비스 사건 파일 등 민감한 정보가 포함될 수 있어 보안 검토의 중요성이 크다.

앤트로픽은 Claude Code가 두 단계 방식으로 저장소를 검토했다고 설명했다. 먼저 규칙 기반 엔진으로 알려진 취약 패턴을 표시하고, 이어 모델이 해당 결과를 다시 검토해 개발자가 확인할 수 있도록 파일과 줄 단위 근거를 제시하는 방식이다. 회사는 이 과정에서 기존 자동화 보안 도구가 놓친 문제도 발견됐다고 밝혔다. 다만 이러한 수치는 앤트로픽과 앨버타 측이 공개한 사례 설명에 근거한 것이며, 독립 검증 자료는 기사 작성 시점에 확인되지 않았다.

수정 과정에서도 사람의 검토가 전제됐다. 앤트로픽은 Claude Code가 취약점이 확인된 경우 수정안을 만들고 테스트를 작성하거나 실행할 수 있었지만, 실제 반영 전에는 앨버타 기술혁신부 엔지니어가 검토하고 승인했다고 설명했다. 이는 공공기관의 AI 활용에서 자동화 속도와 책임 있는 변경 관리가 함께 요구된다는 점을 보여준다.

앨버타 주정부는 보안 점검을 일회성 작업에 그치지 않고 개발 과정 전반의 지속적 검토로 확장하려는 계획도 밝혔다. 앤트로픽 발표에는 외부 공격자 관점에서 취약점을 탐색하는 에이전트와 방어 기준에 따라 대응 계획을 작성하는 에이전트가 언급됐다. 회사는 각 애플리케이션이 약 95개 보안 통제 항목을 기준으로 점검된다고 설명했다.

이번 발표는 AI 코딩 도구 경쟁이 개발 생산성에서 보안과 공공 시스템 현대화 영역으로 넓어지고 있음을 보여준다. 특히 정부 시스템은 오래된 코드와 문서 부족, 복잡한 운영 환경이 함께 존재하는 경우가 많다. AI 에이전트가 이러한 환경에서 의미 있는 역할을 하려면 탐지 결과의 근거 제시, 사람의 승인 절차, 민감정보 보호, 오탐 관리가 함께 갖춰져야 한다.

출처: Anthropic 공식 사례 발표 https://www.anthropic.com/news/alberta-government-claude-cybersecurity