两阶段扫描先控制噪声再让模型补上下文Anthropic 在 2026 年 7 月 6 日发布 Alberta 政府案例。自 2025 年起Alberta 技术与创新部门使用 Claude Code、Opus 和 Sonnet 审查政府系统。官方称约 50 个智能体并行在 20 小时内评估 4.66 亿行代码覆盖其拥有的代码仓库。真正值得工程团队复用的不是把“4.66 亿行”写进目标而是两阶段流程。第一阶段用规则引擎标记已知模式第二阶段由 Claude 复核这些标记并为每项发现给出准确文件和代码行供开发者验证。这让传统扫描器擅长的确定性规则与模型擅长的上下文判断分工而不是让模型从头承担所有检测。进入第二阶段的事件应至少包含repository、commit_sha、rule_id、file_path、line_range、代码片段哈希和规则置信。模型复核后再增加风险解释、可利用条件、建议修复、证据引用和不确定性。没有提交版本和片段哈希代码变化后就无法复现原发现。修复必须经过测试和人工批准官方案例显示Claude Code 在发现漏洞后可以生成修复、运行测试和构建。如果旧系统缺少自动测试团队先让 Claude 补测试代码过旧或复杂时部分系统会改用更现代、可维护的语言重建。所有补丁上线前仍由 Alberta 工程师审查批准。安全流水线可以把状态拆成待复核、确认有效、误报、待修复、测试失败、人工批准和已发布。发现数量不能直接等于风险减少只有经过复核、修复和验证的项才进入完成状态。误报同样要保留方便调整规则和评估模型版本。为了评估模型升级是否改善安全任务可把同一提交上的告警解释、补丁建议和测试生成分别送入 147AI对照候选模型的费用、失败类型与工程师接受率。仓库权限、Claude Code 和 Agent SDK 的执行环境仍独立管理评测结果也不能跳过代码审查。测试证据应与修复绑定。至少保存修复前失败用例、修复后结果、影响模块、构建产物和审批人。对缺测试的遗留系统先补最小回归样本再改代码比直接接受模型生成补丁更稳妥。持续审查要避免重复告警和指标失真Alberta 还构建了专门审查智能体红队从外部视角探测应用并绘制利用路径蓝队对照国际安全标准检查防御并生成指向具体文件的修复计划其他智能体检查代码质量和公众可见文字。每个应用每次检查约 95 项安全控制系统基于 Claude Agent SDK。持续运行时需要给发现建立稳定指纹。相同漏洞跨分支、重复扫描和修复后复测不应被算成多个独立问题。可以用规则、文件、代码结构和数据流位置生成指纹并记录首次发现、最近出现、修复提交与复发次数。官方数字都属于 Alberta 的特定实现。该团队维护 27 个省级部门的系统约 1280 个应用和 3400 个代码仓库它估计传统审查可能耗时 6.5 年。其他组织的代码结构、测试覆盖、算力和审批流程不同不能据此直接推算工期。大规模 AI 安全扫描真正的交付物不是一份很长的发现列表而是一条从规则命中、模型复核、精确证据、修复测试到人工批准都能追踪的流水线。发现记录要能从告警走到提交一个可追踪的安全发现可以包含finding_id、仓库与提交、规则版本、模型版本、文件路径、行号、证据片段、严重性、人工结论、修复提交和测试结果。若模型给出跨文件的数据流还应保存入口、传播路径和危险操作而不是只留下最终自然语言说明。状态机要区分待复核、确认有效、误报、已修复、已上线、风险接受和复发。修复代码生成后先进入独立分支由测试与构建检查再由工程师决定是否合并。扫描完成、代码修复和生产发布是三件事报表不能把它们合并成“已处理”。固定仓库快照才能评估模型升级Claude、规则和提示都会变化。团队可以保留一组脱敏或内部授权的固定仓库快照其中既有真实漏洞也有相似但无风险的代码。每次模型或规则升级后重放分别统计确认率、误报、漏报、证据定位完整度和人工复核时间。漏报不能只依赖模型自报。安全人员需要抽样检查没有告警的代码或者使用独立工具和人工审计做对照。若只评估模型已经发现的问题得到的只是告警质量无法回答系统漏掉了多少高风险路径。把扫描吞吐与修复吞吐分开观察大规模并行能快速扩大覆盖但安全团队每天能确认和修复的数量有限。仪表盘应同时展示扫描队列、待确认积压、平均复核时间、修复等待和上线等待。若待确认持续增长应降低新扫描速度或按系统影响分批而不是继续追求更大的行数。Alberta 的结果说明智能体可以把代码阅读扩展到过去无法覆盖的范围真正可复制的工程方法仍是证据定位、固定回归、人工门禁和状态追踪。只有这些环节能稳定运行模型速度才会转化为持续降低风险的能力。上线后还要把真实复发样本送回回归集。若某类漏洞在不同仓库反复出现团队需要同时检查代码模板、开发规范和培训而不是让扫描器一次次报告相同问题。安全流水线的目标应是减少同类缺陷进入代码而不只是更快发现它们。官方来源AnthropicGovernment of Alberta uses Claude to find and fix cybersecurity vulnerabilities across government systems发布于 2026-07-06。
