Comment l’Alberta a scanné
466 millions de lignes de code en 20 heures
Le gouvernement canadien utilise Claude Code pour auditer la sécurité de 1280 applications. Une tâche qui aurait pris 6,5 ans réalisée en moins d’une journée.
Le gouvernement de l’Alberta a utilisé Claude Code pour scanner 466 millions de lignes de code en 20 heures, identifiant des failles de sécurité que les outils traditionnels avaient manquées. Cette opération, qui aurait normalement pris 6,5 années, a été réalisée par 50 agents Claude travaillant en parallèle sur 1280 applications et 3400 dépôts de code.
Ce cas d’usage, publié officiellement par Anthropic le 6 juillet 2026, illustre le potentiel des agents IA pour les audits de sécurité à grande échelle. Au-delà des chiffres impressionnants, c’est la méthodologie en deux phases et l’approche red team/blue team qui méritent votre attention.
Quand j’ai découvert ce cas d’usage la semaine dernière, j’ai immédiatement pensé à tous les audits de sécurité que j’ai vus traîner pendant des mois. En 2023, un de mes clients e-commerce attendait depuis 8 mois un audit de son code legacy avant migration. Les prestataires estimaient le projet à 18 mois. Avec Claude Code, ce type de mission devient réalisable en quelques jours.
Dans cet article, je vous explique en détail comment l’Alberta a orchestré cette opération, les technologies utilisées, et surtout comment vous pouvez appliquer cette méthodologie à vos propres projets. Que vous gériez 10 ou 10 000 dépôts de code, les principes restent les mêmes.
Le défi de l’Alberta : 27 ministères, 1280 applications, des décennies de dette technique
Le ministère de la Technologie et de l’Innovation de l’Alberta gère l’infrastructure numérique de 27 ministères provinciaux. Cela représente environ 1280 applications en production, 3400 dépôts de code, et des systèmes qui couvrent des domaines critiques : services sociaux, sécurité publique, gestion des feux de forêt, programmes de subventions.
Une partie significative de ce code a plus de 20 ans. Certains systèmes, comme un portail de subventions, ont été développés en Java il y a 25 ans. Ces applications fonctionnent, mais personne ne sait vraiment quelles vulnérabilités s’y cachent. Les outils de scan traditionnels (SAST, SonarQube) produisent des faux positifs dans 30 à 70% des cas selon les études. Le bruit devient si important que les équipes finissent par ignorer les alertes.
Face à cette dette technique, l’équipe IT de l’Alberta a décidé de tester une approche radicalement différente : utiliser des agents Claude Code pour auditer l’ensemble de leur infrastructure de code en une seule opération massive.
La méthodologie en deux phases : règles puis raisonnement sémantique
L’équipe de l’Alberta a conçu une approche en deux temps qui combine le meilleur des outils traditionnels et des capacités de raisonnement de Claude. Cette méthodologie est reproductible pour n’importe quelle organisation.
La première phase utilise un moteur de règles classique. Claude Code scanne chaque dépôt pour détecter des patterns connus : injections SQL, XSS, secrets exposés, configurations dangereuses. Cette étape est rapide et exhaustive. Elle génère une liste de flags avec leur localisation précise.
La deuxième phase est là où Claude fait la différence. Au lieu de simplement valider les flags, Claude lit le code comme le ferait un ingénieur humain. Il comprend comment les composants interagissent, trace le flux des données à travers l’application, et évalue si un flag est vraiment une vulnérabilité ou un faux positif contextuel.
Pourquoi cette approche hybride fonctionne mieux ?
Les outils SAST traditionnels sont déterministes : ils matchent des patterns contre une base de règles. Ils ne comprennent pas le contexte. Si vous avez une variable nommée password qui contient en réalité un hash salé, l’outil va quand même lever une alerte. Claude, lui, peut lire le code environnant et comprendre que ce n’est pas un mot de passe en clair.
Cette capacité de raisonnement sémantique est ce qui permet à Claude de trouver des vulnérabilités que les scanners traditionnels ratent depuis des années. Dans le cas de l’Alberta, Claude a identifié des failles de logique métier, des contrôles d’accès cassés, et des flux de données non sécurisés que personne n’avait détectés.
50 agents Claude travaillant en parallèle : l’orchestration technique
Pour traiter 466 millions de lignes de code en 20 heures, l’équipe de l’Alberta a déployé 50 agents Claude Code travaillant en parallèle. Chaque agent était assigné à un ensemble de dépôts et fonctionnait de manière autonome.
L’architecture utilisait Claude Opus pour les tâches complexes nécessitant un raisonnement approfondi, et Claude Sonnet pour les scans plus rapides sur les patterns connus. Cette combinaison optimise le ratio performance/coût.
Les agents communiquaient leurs findings vers un système centralisé qui agrège les résultats, déduplique les alertes, et génère un rapport structuré avec la localisation exacte (fichier, ligne) de chaque vulnérabilité.
Agents red team et blue team : une approche offensive et défensive combinée
L’équipe de cybersécurité de l’Alberta a créé des agents spécialisés qui fonctionnent en tandem. Cette approche red team/blue team est particulièrement efficace pour les audits de sécurité approfondis.
L’agent red team agit comme un attaquant. Il explore l’application depuis l’extérieur, cherche les points d’entrée potentiels, et modélise comment une vulnérabilité pourrait être exploitée. Il construit des scénarios d’attaque réalistes et évalue leur impact potentiel.
L’agent blue team joue le rôle du défenseur. Il analyse les contrôles de sécurité en place, les compare aux standards internationaux (OWASP, CWE), et rédige un plan de remédiation précis. Ce plan pointe vers les fichiers exacts à modifier, pas juste une recommandation générique.
Voici les avantages clés de cette approche bicéphale :
- Vision complète : le red team identifie les vulnérabilités, le blue team évalue les défenses existantes
- Priorisation intelligente : les failles sont classées selon leur exploitabilité réelle, pas juste leur sévérité théorique
- Plans d’action concrets : chaque finding est accompagné d’un plan de remédiation avec les fichiers et lignes à modifier
- Documentation automatique : les rapports générés sont conformes aux standards d’audit de sécurité
- Validation croisée : les findings du red team sont vérifiés par le blue team avant signalement
De la détection à la correction : Claude génère et teste les patches
Ce qui distingue vraiment ce projet, c’est que Claude ne se contente pas de signaler les problèmes. Quand une vulnérabilité est confirmée, il peut générer un patch, le tester, et préparer une pull request pour revue humaine.
Dans certains cas, les systèmes audités manquaient de tests automatisés pour valider qu’un patch ne casse rien. Claude a alors écrit les tests en premier, puis le patch, puis vérifié que tout passait. Cette approche test-first est une bonne pratique de développement que l’IA applique naturellement.
Pour les systèmes trop anciens ou trop complexes pour être patchés efficacement, Claude a proposé une approche différente : réécrire le composant dans un langage moderne. Un portail de subventions écrit en Java il y a 25 ans (et qui avait pris 5 mois à développer initialement) a été reconstruit en 4 à 5 jours.
Détection intelligente
Claude comprend le contexte du code et distingue les vraies vulnérabilités des faux positifs que les outils traditionnels ne peuvent pas filtrer.
Correction automatisée
Génération de patches, écriture de tests, et préparation de pull requests prêtes pour revue humaine.
Vitesse inégalée
50 agents en parallèle permettent de traiter des millions de lignes en heures plutôt qu’en années.
Claude Code Security vs outils SAST traditionnels : le comparatif
Pour comprendre l’avantage de Claude Code dans ce contexte, il faut comparer avec les outils de scan de sécurité classiques comme SonarQube, Checkmarx, ou Fortify. Ces outils ont leur place, mais leurs limitations deviennent criantes à grande échelle.
Le tableau ci-dessous résume les différences clés entre l’approche traditionnelle et l’approche par agents IA. Si vous voulez aller plus loin sur l’utilisation avancée de Claude pour vos projets, j’ai construit une guide Claude IA complet qui couvre ces cas d’usage en détail.
L’interface Claude Code permet de lancer des scans de sécurité directement depuis le terminal.
Quelles implications pour votre entreprise ?
Le cas Alberta démontre que les audits de sécurité massifs deviennent accessibles à des organisations qui n’avaient pas les ressources pour les réaliser auparavant. Mais attention : ce n’est pas une solution miracle qu’on déploie en claquant des doigts.
Pour réussir ce type de projet, vous devez avoir une infrastructure de code versionnée et accessible. Vous devez définir des règles de sécurité adaptées à votre contexte. Et surtout, vous devez garder des humains dans la boucle pour valider les patches avant déploiement. L’Alberta a insisté sur ce point : aucune modification n’a été déployée sans revue humaine.
Les coûts API ne sont pas négligeables non plus. Scanner 466 millions de lignes avec Claude Opus représente un investissement significatif. Mais comparé au coût de 6,5 années de travail humain, ou au coût d’une faille de sécurité exploitée, le ROI est évident.
Comment démarrer avec Claude Code pour vos audits de sécurité ?
Si vous voulez tester cette approche sur votre propre infrastructure, voici la marche à suivre. Commencez petit : prenez un dépôt critique avec du code legacy, et lancez un scan ciblé. Analysez les résultats, ajustez vos règles, puis élargissez progressivement.
Claude Code Security est disponible en beta pour les comptes Enterprise. Si vous n’avez pas accès, vous pouvez reproduire une partie de cette approche avec Claude Code standard et des prompts de scan de sécurité bien construits. L’important est de combiner règles et raisonnement sémantique.
Les entreprises françaises qui gèrent du code legacy (et il y en a beaucoup) devraient sérieusement considérer cette approche. Entre les exigences RGPD, NIS2, et les certifications de sécurité, avoir une vision claire de l’état de votre code devient une nécessité business.
Questions fréquentes sur Claude Code et l’audit de sécurité
Comment l’Alberta a-t-elle réussi à scanner 466 millions de lignes en 20 heures ?
Le gouvernement de l’Alberta a déployé 50 agents Claude Code travaillant en parallèle, chacun assigné à un sous-ensemble des 3400 dépôts de code. Cette parallélisation massive est la clé du gain de temps.
L’architecture combinait Claude Opus pour les analyses complexes et Claude Sonnet pour les scans rapides. Les agents fonctionnaient de manière autonome et reportaient leurs findings vers un système centralisé qui agrège et déduplique les résultats. Sans cette orchestration, le projet aurait pris des années.
Quel est le coût estimé d’un tel audit avec Claude Code ?
Anthropic n’a pas communiqué les coûts exacts du projet Alberta, mais on peut estimer. Avec Claude Opus à 15 dollars par million de tokens en entrée et 75 dollars en sortie, scanner 466 millions de lignes représente un investissement significatif, probablement plusieurs dizaines de milliers de dollars.
Cependant, ce coût reste inférieur à 6,5 années de travail d’ingénieurs sécurité. Pour une entreprise moyenne avec quelques millions de lignes, le coût serait de l’ordre de quelques centaines à quelques milliers d’euros, ce qui reste très accessible comparé aux audits traditionnels.
Claude Code peut-il vraiment remplacer les outils SAST comme SonarQube ?
Non, et ce n’est pas l’objectif. Claude Code Security fonctionne mieux en complément des outils SAST traditionnels. La première phase du processus Alberta utilisait d’ailleurs un moteur de règles classique pour les patterns connus.
L’avantage de Claude est dans la deuxième phase : le raisonnement sémantique pour réduire les faux positifs et détecter les vulnérabilités de logique métier que les SAST ne peuvent pas voir. La combinaison des deux approches donne les meilleurs résultats. Les outils traditionnels restent utiles pour la compliance et les scans rapides.
Quels types de vulnérabilités Claude Code détecte-t-il que les scanners traditionnels ratent ?
Claude excelle sur les vulnérabilités qui nécessitent de comprendre le contexte : failles de logique métier, contrôles d’accès mal implémentés, flux de données non sécurisés entre modules, et secrets exposés de manière non évidente.
Dans le projet Alberta, Claude a trouvé des vulnérabilités qui existaient depuis des années et avaient survécu à de multiples audits humains et automatisés. Ces failles nécessitaient de comprendre comment les composants interagissent entre eux, ce qu’un scanner à base de patterns ne peut pas faire. La compréhension contextuelle fait toute la différence.
Faut-il un compte Enterprise pour utiliser Claude Code Security ?
La fonctionnalité Claude Security (avec dashboard dédié et scans programmés) est actuellement en beta pour les comptes Enterprise. Si vous avez besoin de cette fonctionnalité, contactez Anthropic pour discuter des options.
Cependant, vous pouvez reproduire une partie de l’approche Alberta avec Claude Code standard. Créez des prompts de scan de sécurité structurés, utilisez le mode agent pour parcourir vos dépôts, et combinez avec vos outils SAST existants. C’est plus manuel mais tout à fait faisable pour des projets de taille moyenne.
Comment l’Alberta a-t-elle géré la supervision humaine pendant le scan ?
C’est un point crucial du projet : aucune modification de code n’a été déployée sans validation humaine. Les agents Claude proposaient des patches et des pull requests, mais l’équipe d’ingénieurs de l’Alberta les revoyait et les approuvait avant merge.
Cette approche human-in-the-loop est essentielle pour la confiance et la conformité. Claude peut générer des corrections, mais la décision finale reste humaine. L’Alberta a également documenté chaque finding et chaque correction pour les audits de compliance. L’IA accélère le travail, elle ne le remplace pas.
Est-ce que Claude Code peut reconstruire des applications legacy complètes ?
Oui, et c’est ce que l’Alberta a fait pour certains systèmes. Un portail de subventions écrit en Java il y a 25 ans, qui avait pris 5 mois à développer initialement, a été reconstruit en 4 à 5 jours dans un langage moderne et maintenable.
Cette capacité de réécriture est particulièrement utile quand le code est trop ancien ou trop enchevêtré pour être patché efficacement. Claude peut analyser le comportement attendu de l’application, ses interfaces, et reconstruire une version équivalente avec une architecture moderne. C’est un cas d’usage puissant pour la modernisation du legacy.
Quels sont les risques de sécurité liés à l’utilisation de Claude Code sur du code sensible ?
C’est une préoccupation légitime. Quand vous envoyez du code à Claude via l’API, ce code transite par les serveurs d’Anthropic. Pour du code très sensible, cela peut poser des problèmes de confidentialité ou de compliance.
L’Alberta a travaillé directement avec Anthropic et a probablement bénéficié d’arrangements spécifiques pour la gouvernance des données. Pour les entreprises classiques, vérifiez les conditions d’utilisation et envisagez des solutions on-premise si disponibles. Claude Code via Amazon Bedrock offre plus de contrôle sur la localisation des données.
Combien de temps faut-il pour mettre en place une infrastructure de scan similaire ?
Pour une première preuve de concept, comptez quelques jours si votre code est déjà versionné et accessible. Vous pouvez commencer avec un seul dépôt et quelques agents Claude pour valider l’approche.
Pour une infrastructure à l’échelle Alberta (50 agents, orchestration complète, intégration CI/CD), prévoyez plusieurs semaines de travail d’ingénierie. L’équipe Alberta a développé des outils custom pour l’orchestration, la déduplication des findings, et la génération de rapports. Ces éléments demandent un investissement initial mais se rentabilisent vite sur les gros volumes.
Claude Code est-il disponible en France avec les mêmes fonctionnalités ?
Claude Code est disponible mondialement, y compris en France. Les fonctionnalités de base (scan, génération de patches, mode agent) sont accessibles à tous les utilisateurs avec un abonnement Pro ou Max.
La fonctionnalité Claude Security (dashboard enterprise, scans programmés) est en rollout progressif et peut ne pas être disponible immédiatement pour tous les marchés. Vérifiez avec Anthropic ou utilisez Claude via Amazon Bedrock (région Paris disponible) pour plus de contrôle. Les performances sont identiques quel que soit le point d’accès.
