Chính quyền Alberta ứng dụng Claude Code để rà soát bảo mật hệ thống quy mô lớn

Kể từ năm 2025, Chính quyền Alberta đã sử dụng Claude Code với cả hai mô hình Opus và Sonnet để rà soát hệ thống, tìm kiếm các lỗ hổng và khắc phục chúng. Một đội ngũ thuộc Bộ Công nghệ và Đổi mới của Alberta đã quét 466 triệu dòng mã trong 20 giờ, khắc phục các lỗ hổng bảo mật trên toàn hệ thống và xây dựng các công cụ mới để giúp những hệ thống đó an toàn hơn.

Chúng tôi chia sẻ chi tiết về trải nghiệm của họ như một ví dụ về cách các cơ quan chính phủ có thể sử dụng Claude và Claude Code để bảo mật hệ thống ở quy mô lớn. Đây là một thách thức quan trọng, vì các chính phủ dựa vào những hệ thống này để cung cấp phúc lợi và duy trì các dịch vụ—tuy nhiên mã nguồn thường đã cũ, thiếu bảo mật và không được ghi chép đầy đủ. Alberta cũng đã xuất bản một bộ tài liệu kỹ thuật (white papers) ghi lại những nỗ lực của mình để các chính phủ khác có thể học hỏi; bạn có thể đọc chúng tại đây.

“Người dân Alberta tin tưởng giao phó cho chính phủ một số thông tin nhạy cảm nhất trong cuộc sống của họ, và trách nhiệm của chúng tôi là bảo vệ những thông tin đó,” Nate Glubish, Bộ trưởng Bộ Công nghệ và Đổi mới của Alberta cho biết. “Bằng cách sử dụng AI để tìm và sửa các lỗ hổng trên toàn hệ thống, chúng tôi đã hoàn thành trong vài giờ những công việc mà nếu theo cách tiếp cận truyền thống sẽ mất nhiều năm. Đây chính là hình ảnh của một chính phủ có trách nhiệm trong kỷ nguyên AI, và những điều tốt đẹp nhất vẫn còn ở phía trước.”

Cách tiếp cận của Alberta

Bộ Công nghệ và Đổi mới của Alberta quản lý hệ thống của tất cả 27 bộ ngành cấp tỉnh, từ dịch vụ xã hội, an toàn công cộng đến ứng phó cháy rừng. Điều đó bao gồm khoảng 1.280 ứng dụng và 3.400 kho lưu trữ mã nguồn (code repositories). Phần lớn trong số đó chưa từng trải qua một cuộc rà soát bảo mật hệ thống nào, và nợ kỹ thuật tích lũy—mã nguồn không an toàn, lỗi chưa được xử lý, phần mềm lỗi thời—lên tới hàng tỷ đô la.

Hệ thống của Bộ lưu trữ thông tin cực kỳ nhạy cảm, bao gồm hồ sơ thuế, dữ liệu mua sắm chính phủ và hồ sơ các vụ việc dịch vụ xã hội. Vì vậy, vào năm 2025, Bộ đã thành lập một đội ngũ nội bộ với nhiệm vụ làm cho các hệ thống này an toàn hơn và dễ bảo trì hơn theo thời gian, thông qua việc hợp tác với Claude.

Hiện tại, Bộ đã sử dụng Claude để:

Đánh giá 466 triệu dòng mã của chính phủ trong 20 giờ. Đội ngũ đã đưa Claude vào làm việc trên các cơ sở mã nguồn mà họ quản lý, sử dụng Claude Code với các mô hình Claude Opus và Sonnet. Khoảng 50 tác nhân (agents) đã làm việc tự động và song song để quét hệ thống nhằm tìm kiếm các lỗ hổng bảo mật, điểm yếu trong cơ sở hạ tầng nền tảng và quy trình triển khai, cũng như các thiếu sót trong tài liệu kỹ thuật. Claude Code đã chạy một quy trình hai giai đoạn: đầu tiên quét từng kho lưu trữ bằng một công cụ dựa trên quy tắc để gắn cờ các mẫu đã biết, sau đó xem xét các cờ đó và trích dẫn chính xác tệp và dòng mã cho mỗi phát hiện để các lập trình viên có thể xác minh. Quá trình quét bao phủ mọi kho lưu trữ mà Alberta sở hữu và xác định được các vấn đề mà các công cụ quét tự động truyền thống đã bỏ sót. Việc triển khai tại Alberta mất khoảng 20 giờ; đội ngũ ước tính rằng nếu thực hiện theo cách thông thường, quá trình rà soát này có thể mất khoảng 6,5 năm.

Khắc phục các lỗ hổng được tìm thấy. Khi quá trình quét xác định được lỗ hổng, Claude Code thường có thể tạo bản sửa lỗi, kiểm thử và xây dựng nó. Trong trường hợp hệ thống thiếu các bài kiểm thử tự động cần thiết để xác nhận bản vá là an toàn, Claude sẽ viết các bài kiểm thử trước. Khi mã nguồn quá cũ hoặc quá phức tạp để vá hiệu quả ở dạng hiện tại, Claude đã xây dựng lại nó bằng một ngôn ngữ hiện đại và dễ bảo trì hơn. Trong một số tình huống, các hệ thống này có thể được xây dựng lại chỉ trong bốn đến năm ngày, bao gồm cả cổng thông tin chương trình trợ cấp vốn được viết thủ công bằng Java khoảng 25 năm trước và mất năm tháng để xây dựng lần đầu tiên. Tất cả những việc này đều được thực hiện với sự hợp tác của các kỹ sư của Bộ: trước khi bất kỳ bản vá nào được phát hành, nó đều được đội ngũ xem xét và phê duyệt.

Chạy rà soát bảo mật liên tục. Đội ngũ an ninh mạng của Alberta cũng đã xây dựng một bộ các tác nhân rà soát chuyên dụng của Claude chạy xuyên suốt quá trình phát triển. Một tác nhân “đội đỏ” (red team) thăm dò ứng dụng từ bên ngoài, giống như cách một kẻ tấn công có thể làm, và lập bản đồ cách một lỗ hổng có thể bị khai thác. Sau đó, một tác nhân “đội xanh” (blue team) đánh giá khả năng phòng thủ của ứng dụng dựa trên tiêu chuẩn bảo mật quốc tế và viết một kế hoạch khắc phục chỉ ra chính xác các tệp cần sửa. Các tác nhân bổ sung kiểm tra chất lượng mã nguồn và sự rõ ràng của văn bản mà công chúng nhìn thấy. Mỗi ứng dụng được kiểm tra dựa trên khoảng 95 biện pháp kiểm soát bảo mật trong mỗi lần chạy. Các tác nhân này được xây dựng trên nền tảng Claude Agent SDK và thực hiện một loạt các kiểm tra và phân tích mạnh mẽ cho mọi ứng dụng.

Ngoài việc quét, bảo mật và hiện đại hóa hệ thống của riêng mình, Alberta còn đào tạo cả nhân viên chính phủ và công chúng về việc sử dụng AI thông qua Alberta AI Academy. Hàng ngàn nhân viên chính phủ và hơn 10.000 người dân đã sử dụng nền tảng này để học những kiến thức cơ bản về việc sử dụng AI hiệu quả, từ kỹ thuật đặt câu lệnh (prompting) đến triển khai ứng dụng doanh nghiệp. Thông qua Học viện, Bộ Công nghệ và Đổi mới đặt mục tiêu mở rộng cách tiếp cận của mình ra ngoài một đội ngũ hoặc dự án duy nhất đến mọi bộ ngành có nhu cầu.

Hướng tới tương lai

Ngày nay, Claude giúp Bộ viết, xem xét và triển khai mã nguồn hỗ trợ các nỗ lực hiện đại hóa. Tiếp theo, Bộ có kế hoạch mở rộng công việc đó với các tác nhân AI có khả năng xây dựng phần mềm và công cụ hoàn toàn mới cùng với các kỹ sư.

Chính quyền Alberta cũng có kế hoạch tiếp tục công việc hiện đại hóa của mình. Ví dụ, một bộ ngành hiện có 185 ứng dụng cũ đang chạy trong môi trường thực tế, vốn rất tốn kém để bảo trì và khó cập nhật. Chính quyền có kế hoạch sử dụng Claude Code để phân tích các hệ thống này, hiểu cách chúng hoạt động và hợp nhất chúng thành 16 ứng dụng có thể tái sử dụng, được xây dựng trên các ngôn ngữ và quy ước lập trình hiện đại. Mục tiêu là giảm bớt sự phức tạp, giảm chi phí bảo trì và đẩy nhanh công việc hiện đại hóa vốn sẽ mất nhiều năm để hoàn thành.

Một nghiên cứu điển hình cho các chính phủ

Nợ kỹ thuật và các lỗ hổng bảo mật mà Chính quyền Alberta đang nỗ lực giải quyết không phải là trường hợp cá biệt. Chúng tồn tại trong hệ thống của nhiều tỉnh, bang và cơ quan liên bang trên khắp thế giới. Các tài liệu kỹ thuật mà Alberta đã công bố cung cấp cho các chính phủ khác một bản thiết kế để giải quyết những vấn đề tương tự.

Ngoài các tài liệu kỹ thuật, Alberta sẽ tổ chức một ngày hội ngành tại Edmonton vào tháng 7 để chia sẻ những gì họ đã học được. Và vào mùa thu này, họ sẽ bắt đầu một chương trình để mở rộng cách tiếp cận này trên toàn bộ chính quyền tỉnh. Chúng tôi sẽ tiếp tục làm việc với Alberta khi họ mở rộng những nỗ lực này, và chúng tôi hy vọng cách tiếp cận mà họ đã ghi lại có thể giúp các chính phủ khác bảo mật hệ thống của riêng họ.

Nội dung liên quan

Thông tin chi tiết hơn về các biện pháp bảo vệ an ninh mạng của Fable 5 và khung jailbreak của chúng tôi

Đọc thêm

Giới thiệu Claude Sonnet 5

Sonnet 5 mang lại hiệu suất tiên phong trong lĩnh vực lập trình, tác nhân AI và công việc chuyên môn ở quy mô lớn.

Đọc thêm

Triển khai lại Fable 5

Fable 5 sẽ trở lại trên toàn cầu vào ngày 1 tháng 7. Chúng tôi cũng đang đề xuất một khung tiêu chuẩn toàn ngành để chấm điểm mức độ nghiêm trọng của jailbreak, cùng với Amazon, Microsoft, Google và các đối tác Glasswing khác.

Đọc thêm