Kanadas Provinz Alberta hat bewiesen, dass künstliche Intelligenz nicht nur Sicherheitslücken findet, sondern Regierungen dabei helfen kann, sie in Rekordzeit zu schließen. Mit Hilfe von Anthropics Claude hat das Ministerium für Technologie und Innovation 466 Millionen Zeilen Regierungscode in nur 20 Stunden auf Schwachstellen überprüft. Ein Team von Menschen hätte dafür schätzungsweise sechseinhalb Jahre gebraucht.
Was passiert ist: 50 KI-Agenten scannen Albertas IT-Infrastruktur
Die Provinz Alberta verwaltet die IT-Systeme aller 27 Ministerien. Dazu gehören etwa 1.280 Anwendungen und 3.400 Code-Repositories. Der Großteil dieses Codes war nie systematisch auf Sicherheitslücken geprüft worden. Die aufgelaufene technische Schuld reicht Milliarden Dollar weit. Deshalb setzte das Ministerium 2025 auf Claude Code mit den Modellen Opus und Sonnet.
Zunächst scannte ein Team aus rund 50 autonomen KI-Agenten das gesamte Code-Inventar. Dabei arbeiteten die Agenten parallel und unabhängig voneinander. Jeder Agent prüfte eine eigene Anwendung, ohne andere zu blockieren. Das Ergebnis: In nur 20 Stunden war die vollständige Sicherheitsanalyse abgeschlossen.
Wie die KI-Agenten arbeiten: Rot, Blau und Qualitätssicherung
Alberta setzte nicht auf einen einzigen Agent-Typ, sondern auf drei spezialisierte Rollen. Die Roten-Team-Agenten simulierten Angriffe von außen. Sie kartierten, wie eine Schwachstelle ausgenutzt werden könnte und welche Folgen das hätte. Die Blauen-Team-Agenten prüften jede Anwendung gegen etwa 95 internationale Sicherheitskontrollen. Sie erstellten Reparaturpläne mit exakten Datei- und Zeilenangaben. Zusätzliche Qualitätssicherungs-Agenten analysierten Code-Qualität und Dokumentation.
Dabei nutzten die Agenten einen zweistufigen Prozess. Zuerst filterte eine Regel-Engine bekannte Schwachstellenmuster heraus. Danach bewertete Claude die gefundenen Muster mit exakten Verweisen auf Datei und Zeile. Dadurch verringerten sich Fehlalarme deutlich, und Entwickler konnten direkt handeln.
Von der Analyse zur Reparatur: KI schreibt Patches und Tests
Die KI blieb nicht beim Finden von Problemen stehen. Wenn eine Schwachstelle identifiziert war, generierte Claude Code oft automatisch einen Fix, testete ihn und baute ihn. Fehlende automatisierte Tests wurden zuerst geschrieben, bevor der Patch überhaupt erstellt wurde. Besonders beeindruckend: Ein Förderprogramm-Portal, das vor 25 Jahren von Hand in Java programmiert worden war und damals fünf Monate Entwicklungszeit brauchte, wurde in nur vier bis fünf Tagen komplett neu aufgebaut.
Allerdings bleibt der Mensch in der Verantwortung. Jeder Patch wurde vor der Übernahme von menschlichen Entwicklern geprüft und freigegeben. Die KI übernimmt die mechanische Arbeit, der Mensch entscheidet über die Freigabe.
KI-Cybersicherheit: Ein Modell für Regierungen weltweit
Was Alberta erreicht hat, ist keineswegs ein Einzelfall. Die technische Schuld und die Sicherheitslücken, die die Provinz angegangen ist, existieren in den Systemen vieler Regierungen weltweit. Alberta hat seine Erfahrungen in technischen Whitepapers veröffentlicht, damit andere Regierungen das gleiche Vorgehen nachvollziehen können. Zusätzlich veranstaltet die Provinz einen Industrie-Tag in Edmonton, um ihre Erkenntnisse zu teilen.
Die Signale sind klar: KI-gestützte Cybersicherheit bewegt sich von der Demo-Umgebung in den produktiven Regierungseinsatz. Auch andere Akteure setzen auf diesen Ansatz. OpenAI hat mit Patch the Planet ein ähnliches Programm für Open-Source-Software gestartet, und die Five Eyes warnen gleichzeitig vor KI-gesteuerten Angriffen. Die Technik, die Angreifer nutzen, sitzt zunehmend auch auf der Verteidigungsseite.
Ausblick: Von der Reparatur zum Neuaufbau
Alberta plant, den Einsatz von Claude weiter auszubauen. Ein Ministerium allein betreibt 185 veraltete Anwendungen, die teuer in der Wartung und schwer zu aktualisieren sind. Mit Claude Code sollen diese analysiert, verstanden und in 16 wiederverwendbare moderne Anwendungen konsolidiert werden. Ziel ist es, Komplexität zu reduzieren, Wartungskosten zu senken und die Modernisierung zu beschleunigen, die sonst Jahre dauern würde.
Zudem hat Alberta die Alberta AI Academy gegründet. Über 10.000 Bürgerinnen und Bürger und Tausende Regierungsmitarbeiter haben dort bereits Grundlagen der KI-Nutzung gelernt. Der Ansatz geht also über ein einzelnes Projekt hinaus und zielt auf eine flächendeckende Befähigung ab.
Albertas Fall zeigt eines deutlich: KI in der Cybersicherheit ist kein Experiment mehr. Wenn eine kanadische Provinz 466 Millionen Zeilen Code in weniger als einem Tag scannen und absichern kann, stellt sich die Frage nicht mehr, ob Regierungen KI einsetzen sollten, sondern wie schnell sie es tun.
