캐나다 앨버타주 정부가 인공지능 모델 클로드(Claude)를 활용해 자체 시스템의 사이버보안 취약점을 찾아내고 고쳤다. 앨버타 기술혁신부(Ministry of Technology and Innovation) 소속 팀은 클로드 코드(Claude Code)와 오푸스(Opus), 소넷(Sonnet) 모델을 동원해 4억 6,600만 줄에 달하는 정부 코드를 20시간 만에 점검했다. 이 과정에서 시스템 곳곳의 보안 취약점을 찾아 개선했고, 시스템을 더 안전하게 만드는 새로운 도구도 함께 만들었다. 앨버타 정부는 이 경험을 담은 기술 백서를 공개해 다른 정부기관들이 참고할 수 있도록 했다. 클로드 개발사 앤트로픽(Anthropic)은 이를 정부기관이 대규모로 시스템 보안을 강화할 수 있는 사례로 소개했다.

27개 부처, 3,400개 저장소...쌓여온 기술부채

앨버타 기술혁신부는 사회복지부터 공공안전, 산불 대응까지 주정부 27개 부처의 시스템을 총괄 관리한다. 관리 대상은 약 1,280개 애플리케이션과 3,400개 코드 저장소(repository)에 이른다. 이 가운데 대부분은 체계적인 보안 검토를 받아본 적이 없었고, 오래된 코드와 방치된 버그, 낡은 소프트웨어 등 누적된 기술부채(technical debt) 규모는 수십억 달러에 달하는 것으로 파악됐다.

문제는 이 시스템들이 다루는 정보의 민감도다. 기술혁신부 시스템에는 세금 기록, 정부 조달 데이터, 사회복지 사례 파일 등 민감한 개인정보가 담겨 있다. 이에 기술혁신부는 2025년 내부 전담팀을 꾸려 클로드와 함께 시스템을 더 안전하고 유지관리하기 쉽게 만드는 작업에 착수했다.

에이전트 50개가 동시에 훑은 4억 6,600만 줄

앨버타 팀은 자신들이 관리하는 코드베이스에 클로드 코드를 투입했다. 오푸스와 소넷 모델을 함께 활용해 약 50개의 에이전트(agent)가 자율적으로, 동시에 작업했다. 이 에이전트들은 시스템 전반의 보안 취약점은 물론 기반 인프라와 배포 프로세스의 약점, 기술 문서의 공백까지 함께 스캔했다. 그 결과 4억 6,600만 줄에 이르는 정부 코드를 20시간 만에 훑어볼 수 있었다.

전통적인 방식이었다면 훨씬 오랜 시간이 걸렸을 작업이 하루도 되지 않는 시간에 끝난 셈이다. 앨버타 정부는 이번 스캔 결과를 바탕으로 실제 보안 결함을 고치는 작업까지 이어갔다고 밝혔다.

"며칠이면 될 일, 이것이 AI 시대의 책임 있는 정부"

네이트 글루비시(Nate Glubish) 앨버타주 기술혁신부 장관은 "앨버타 주민들은 삶에서 가장 민감한 정보를 정부에 맡기고 있으며, 이를 보호하는 것은 우리의 책임"이라고 말했다. 그는 "시스템 전반의 취약점을 찾고 고치는 데 AI를 활용해 전통적인 방식으로는 수년이 걸릴 일을 몇 시간 안에 해냈다"며 "이것이 AI 시대의 책임 있는 정부의 모습이며, 앞으로 더 나아질 일이 많다"고 덧붙였다.

앨버타 정부는 이번 작업 경험을 정리한 기술 백서 모음을 공개해 다른 정부기관들이 참고할 수 있도록 했다. 정부 시스템은 오래되고 문서화가 부실한 경우가 많아 보안 점검이 까다로운 대표적 영역으로 꼽힌다. 이번 사례처럼 AI 에이전트를 대규모로 동시에 투입해 코드 전체를 훑는 방식이 다른 지역 정부나 공공기관에도 참고 모델이 될 수 있을지 주목된다.

공공부문 보안, AI 활용 사례로 주목

앨버타의 시도는 공공부문이 AI를 활용해 보안과 효율성을 동시에 확보하려는 움직임의 한 사례로 소개되고 있다. 정부 시스템은 규모가 크고 오래된 코드가 뒤섞여 있어 사람이 일일이 점검하기 어렵다는 한계가 있었다. 앨버타 기술혁신부가 클로드 코드와 다수의 에이전트를 동원해 4억 6,600만 줄을 20시간에 점검한 사례는, 이런 한계를 AI로 어느 정도 극복할 수 있음을 보여준 사례로 평가된다.

다만 이번에 공개된 내용은 앨버타 정부와 앤트로픽이 직접 밝힌 성과 위주로 구성돼 있다. 실제 취약점 수정 이후의 장기적 효과나 다른 정부기관으로의 확산 여부는 앞으로 공개될 백서와 후속 사례를 통해 더 확인해볼 필요가 있다.