25년 전 자바로 손수 짠 보조금 지급 포털이 있습니다. 처음 만드는 데 다섯 달이 걸렸죠. 이 시스템을 다시 만드는 데는 나흘에서 닷새면 충분했습니다. 사람이 아니라 에이전트가 짠 결과입니다.

캐나다 앨버타주 기술혁신부는 2025년부터 Claude Code로 정부 시스템의 취약점을 찾고 고치는 작업을 진행해왔습니다. 27개 부처, 약 1,280개 애플리케이션과 3,400개 코드 저장소를 관리하는 팀이 이 작업의 주체죠.

출처: Government of Alberta uses Claude to find and fix cybersecurity vulnerabilities – Anthropic

4억 6천만 줄을 20시간 만에

이 팀이 관리하는 코드는 대부분 체계적인 보안 검토를 받아본 적이 없었습니다. 오래되고, 취약하고, 문서화도 부실한 코드가 쌓여 있었죠. 이걸 정리하기 위해 팀은 Claude Opus와 Sonnet 모델로 구동되는 에이전트 약 50개를 동시에 풀었습니다.

이 에이전트들은 정부가 보유한 모든 저장소를 훑으며 보안 취약점, 인프라·배포 과정의 약점, 문서화 공백을 찾아냈습니다. 방식은 두 단계입니다. 먼저 규칙 엔진으로 알려진 패턴을 걸러냅니다. 그다음 그 결과를 다시 검토해 정확히 어느 파일 몇 번째 줄에 문제가 있는지 짚어내죠. 개발자가 나중에 눈으로 바로 검증할 수 있도록 설계된 구조입니다.

이 과정으로 4억 6,600만 줄의 코드를 20시간 만에 훑었습니다. 팀은 같은 작업을 전통적인 방식으로 했다면 약 6.5년이 걸렸을 것으로 추산하더군요.

찾는 데서 끝나지 않고 고치기까지

스캔으로 취약점을 찾아낸 뒤에는 Claude Code가 직접 수정안을 만들고, 테스트하고, 빌드까지 했습니다. 패치가 안전한지 확인할 자동 테스트가 없는 시스템에서는 테스트 코드부터 새로 짰죠. 기존 코드가 너무 낡아서 그 자리에서 손보기 어려운 경우에는 아예 더 현대적인 언어로 다시 만들었습니다. 앞서 언급한 25년 된 보조금 포털이 그런 경우였습니다. 물론 모든 수정 사항은 배포되기 전에 정부 엔지니어들의 검토와 승인을 거쳤습니다.

작업은 일회성으로 끝나지 않았습니다. 팀은 개발 과정 내내 상시로 돌아가는 전담 검토 에이전트들도 구축했습니다. “레드팀” 에이전트는 공격자처럼 애플리케이션 외부에서 침투 지점을 찾고, “블루팀” 에이전트는 국제 보안 표준에 맞춰 방어 수준을 평가한 뒤 어느 파일을 고쳐야 하는지까지 짚어주는 개선안을 씁니다. 애플리케이션마다 약 95개 보안 통제 항목을 매번 점검하는 구조죠.

에이전트를 몇 개 동시에 풀 수 있는가의 문제

이 사례가 보여주는 건 결국 규모의 문제입니다. 에이전트 한두 개로 코드를 봐주는 것과, 50개를 동시에 풀어 수억 줄을 훑는 것은 완전히 다른 얘기죠. 사람이 몇 년에 걸쳐 순차적으로 검토했을 작업을 여러 에이전트가 동시에 나눠 맡으면서 시간을 극단적으로 줄일 수 있다는 걸, 이 사례가 숫자로 보여줍니다.

물론 이건 정부 기관 하나가 자체 시스템 전체에 투입한 대규모 작업입니다. 하지만 원리 자체는 개인이 다루는 작업에도 그대로 적용되죠. 큰 작업 하나를 통째로 에이전트에 맡기는 대신, 여러 조각으로 쪼개 병렬로 돌릴 수 있는지가 처리 속도를 가르는 지점이라는 걸 이 사례가 확인시켜줍니다.