屋外で撮った写真が1枚。それだけで撮影地の見当がつくところまで、AIは来ていました。Anthropicが公開した評価では、GeoGuessr上位0.01%のプレイヤーの参照値を、誤差の中央値で下回ったモデルがあります。私たちを守ってきたのは秘密ではなく、照合にかかる費用のほうだったのかもしれません。
Anthropicは2026年9月10日、Frontier Red Teamによる能力評価を公開し、標的特定と通常兵器開発の領域でAIモデルがどこまで到達したかを報告した。屋外写真からの位置推定では、6,000枚に対する誤差の中央値がClaude Mythos Previewで37.0kmとなり、GeoGuessr上位0.01%のプレイヤーの参照値151kmを下回った。
2010年のツイートを用いた居住地推定では、6モデルのいずれかが1km以内に絞り込んだ利用者が135人、対象の8%に達した。シミュレーション上のドローン制御ソフトの評価では、駐車した高視認車両への命中率がOpus 5で80%、全9設定では20%だった。同社は兵器開発に関する要求を遮断する分類器を新たに導入したとしている。
From: 
Measuring tactical intelligence targeting and conventional weapons capabilities of AI models
【編集部解説】
同じ9月10日に、Anthropicは2本の文書を公開しました。1本は実際に止めた悪用の事例を並べた脅威インテリジェンスレポート、もう1本が今回のものです。両者は役割が違います。前者が「誰が何をしたか」の記録だとすれば、こちらは「モデルが今どこまで届くか」を測った物差しのほうです。
守っていたのは、秘密ではなくコストだった
この研究の中核は、数値よりも1つの見立てにあります。人や施設や計画を諜報の標的化から守ってきたのは、秘密保持というより費用だった、という指摘です。
匿名を剥がして人物を絞り込むのに使えるデータは、すでに無料で手に入るか、安く買えるか、あるいは敵対的な諜報機関ならおそらく保有しています。希少だったのは、それを端から突き合わせる分析官の労働のほうでした。その労働が安くなると、守りの前提のほうが静かに外れます。これまで手の届かなかった個人や小集団が同じ作業をこなせるようになり、資源を持つ側は死蔵していたデータを使い切れるようになる。より多くの人が、新しい水準の視線にさらされることになります。
米軍の統合ドクトリンが示すキルチェーンは、発見、位置と時点の特定、追跡、攻撃方法の決定、交戦、効果評価という6段からなります。この研究が測ったのは、入口にあたる発見と特定、そして終末誘導のように後半を支えるソフトウェアを書く力です。入口はとくに、経験を積んだ分析官の判断が要る場所でした。
写真1枚から37km
もっとも読者の生活に近いのは、写真からの位置推定でしょう。逆画像検索もメタデータもツールも与えず、モデル自身の世界知識だけで撮影地を当てさせる評価です。
Flickr由来の公開データセットから、位置情報が精密に付いた6,000枚を使い、大陸ごとに層化して出題しました。誤差の中央値は、Claude Mythos Previewが37.0km、Mythos 5が47.2km。1km以内に当てた割合はそれぞれ23.7%と23.1%です。Opus 5は181km、Sonnet 5は384km、オープンウェイトのKimi K3は385kmでした。
比較のために置かれた人間側の参照値は、GeoGuessrの対戦458試合から取ったもので、上位0.01%にあたるチャンピオン級が151km、マスター級が174km、ゴールド級が1,714km。フロンティアの2モデルは、この最上位の値を中央値で下回っています。ただし人間側はストリートビュー画像で視点を動かせるのに対し、モデルは静止した1枚だけを見ており、条件は同じではありません。原典の表現も「超人的な水準に近づきつつあると考える」であって、追い越したとは書いていません。
面白いのは外し方です。ケープタウンのパブを写した1枚で、Mythos 5は南アフリカと正しく答えました。Opus 5とSonnet 5は、同じ名前のニュージーランドの有名店に引きずられ、片方はウェリントン、片方は迷ったすえにメルボルンを選んでいます。知識が増えたぶんだけ、似た名前の罠から抜けられるようになったという、地味だが本質的な差です。
何をどう話すかで場所が割れた17人
テキストからの推定も同じ枠組みで測られました。こちらは2010年に収集されたジオタグ付きツイートのコーパスを使い、ハンドル名やメンションを固有IDに置き換えたうえで、1週間分の投稿から居住地を推定させています。過去に公開されたデータですから、モデルが暗記しているだけではないかを確かめる工程が別に組まれており、擬似名だけを示した185人ではどのモデルも当てられませんでした。
6モデルのうち少なくとも1つが1km以内に絞り込んだ利用者は135人、対象の8%です。内訳のほうが示唆的でした。95人はキャンパスの寮名や店名、街路名を自分で書いていました。23人は都市圏まで絞ったうえでの幸運な推測。そして17人は、方言、スラング、テレビやラジオの放送圏、路線名、地元の行事、応援するチーム——要するに「何をどう話すか」だけで場所を割り出されています。
検索ツール付きの誤差の中央値は、Mythos Previewが20.1km、Opus 5が21.7km、Kimi K3が26.4kmと、モデル間の差は小さく収まりました。この評価では匿名解除に制限をかけた環境で走らせており、原典は、制限を外せば精度はさらに上がるだろうという仮説を書いたうえで、それをどこまで確かめるかは慎重に決めたいと明記しています。測れるからといって測りにいかない、という判断がそのまま文章に残っている箇所です。
シミュレーターの中のドローン
後半は通常兵器の側に移ります。ここで測られたのは機体でも爆薬でもなく、誘導・航法・制御のソフトウェアを書いて直せるかという一点です。モデルには仕様書と物理シミュレーターと固定回数の飛行機会だけが渡され、毎回の結果、飛行軌跡、センサーログ、カメラ映像を見てコードを直し、また飛ぶ。人間の技術者がテスト飛行から受け取るのと同じ材料です。
終末誘導の評価では、駐車した高視認の車両に対してOpus 5が80%、Mythos Previewが70%、Mythos 5が53%、Kimi K3が15%、Sonnet 5が5%。車両が走り出すとOpus 5でも47%まで落ち、色のコントラストを下げると、Opus 5が8%を残すほかはすべてゼロになります。迷彩、回避行動、デコイを置いた設定は、どのモデルも安定して解けていません。全9設定を通した平均はOpus 5で20%です。
投下とGPS妨害下の航法でも傾向は同じでした。静止した的への投下はすでに飽和しており、Opus 5とMythos 5はほぼ全弾を20〜30cmの精度で落とします。一方、蛇行する標的に突風が加わる最難設定で規則的に成功したのはOpus 5だけ（28%）。GPSが遮断されるとフロンティア勢はセンサーの食い違いに気づいて慣性航法へ切り替えます。ただし1m進むごとに約0.33mずつ位置をずらす緩やかな偽装では全モデルの成績が落ち、最難設定を解けたモデルはありませんでした。
すべてシミュレーション上の結果です。この点は原典が2度にわたって書いており、実機での検証の代わりにはならないとしたうえで、それでも意味がある理由を2つ挙げています。実際の悪用が別チームによってすでに確認されていること。そして評価がモデル間をきちんと弁別できていることです。結びの一文は印象に残ります。ネットも既製の解答も人間の相棒もない条件で出た数字なのだから、これは天井ではなく床として読むべきだ、と。
なぜOpus 5が首位だったのか
ここまでの記事でAnthropicの評価を追ってきた方は、順位に違和感を覚えたかもしれません。英国AISIなどのサイバー評価ではMythos Previewが従来モデルを大きく上回っていたのに、ドローンの3評価ではOpus 5が首位に立っています。
原典が挙げる理由は3つあり、いずれも「知能の高さ」ではなく仕事の進め方の話です。第1に、コードの書き換えを小さく刻む。1回の飛行あたりOpus 5は約9%の行しか触らないのに対し、Mythos Previewは25%を書き換え、大規模な作り直しも約5倍多い。第2に、早い段階で高度な手法へ移る。そして第3が白眉で、Opus 5は本番の飛行を試す前に、自前の簡易な物理モデルを書いて自分の制御コードを検証していました。ほかのどのモデルもこれをやりません。
限られた試行回数のなかで、まず試行を節約する仕組みを作る。これはソフトウェア工学の作法そのものであり、評価環境が「賢さ」ではなく「段取り」を測ってしまった瞬間とも読めます。AIエージェントに長い仕事を任せる場面すべてに効く発見だと思います。
オープンウェイトはどこにいるか
もう1つの軸が、公開ウェイトのモデルとの距離です。Kimi K3は写真の位置推定でSonnet 5と並び、1km以内率ではむしろ上回りました。投下の課題でも、全体としてSonnet 5の上に置かれています。一方でGPSが偽装されると信じ切って100m以上ずれ、終末誘導では1.6%に沈みました。
原典の言い方を借りれば、この差を安全性と取り違えてはいけない、ということになります。サイバーの分野で繰り返し見てきたように、差はいずれ縮まる。今回テストされた公開ウェイト勢はKimi K3とGLM-5.2ですが、GLM側は8月14日にGLM-5.3が発表され、28日にはウェイトも公開されました。測定の対象は、公開の時点ですでに1つ前の世代です。この分野の評価が抱える構造的な速度差が、そのまま出ている格好です。
日本から読むときの距離感
日本の読者にとって、この研究は2つの入口を持っています。
1つは防衛の側です。防衛装備庁は2026年5月、一般競争入札で国産ドローン300式の調達を決めています。無人機の国内生産と技術基盤づくりが動き始めているなかで、機体でも部品でもなく制御ソフトを書くコストが下がるという話は、費用構造の前提に触れます。ウクライナの前線では、標的をロックしたあとの終末誘導を自動化するFPVドローンの普及が進んでいますが、そのソフトを書ける人の希少性まで含めて、計算し直す必要が出てきます。
もう1つは、はるかに身近な入口です。屋外で撮った写真を上げる。地元の話題に反応する。使う言葉に土地の癖が出る。この研究が測ったのは、そういう日常の断片から居住地をどこまで絞り込めるかでした。なお、今回のテキスト評価は英語圏のデータで行われており、日本語の投稿で同じ精度が出るかは測られていません。ここは推測で埋めずに、今後の検証を待つところです。
分類器と、これから測られるもの
Anthropicは、この領域での悪用を確認したのち、兵器開発に関する要求を検知して止める分類器を新たに導入したとしています。基盤にある工学の能力はもともとデュアルユースだから、分類器は完璧にはならない。それでも、何も置かないよりは置いて改善を重ねるほうがよい。この判断の書き方は、率直で好ましいものだと感じます。
そして原典は、ドローンで終わる話ではないと書いています。センサーで環境を読み、応じて動く。同じ構図は宇宙にも海中にもあり、モデルがそれらの領域で研究者として働けるようになれば、影響は地政学の側に及ぶ。だからこそ、可能性を数え上げ、早い段階で警告を出せる試験を作ることが今後の仕事だ、と。
危ないものを測る道具を作り、その目盛りを公開する。これは自社の弱点を数える行為でもありますが、測り方が共有されていなければ、業界も政策も同じ地図を見られません。次にどの領域へ物差しが伸びるのか、そこを見ていきたいと思います。
【関連記事】
Anthropic報告が映す格安AIの代償｜鍵と会話は誰の手に
同日公開の姉妹レポートを扱った9月11日の記事。同じ発表を、実例と中継インフラの側から読んでいる。
テラドローンが防衛装備庁から国産モジュール型UAV 300機を1.15億円で受注、1機38万円が変える日本の防衛調達
本文で触れた調達の詳報。日本の防衛調達が「安価×大量」へ動き始めた文脈を扱う。
Kimi K3のウェイト公開、2.8兆パラメーターのオープンウェイトモデルが誰でも入手可能に
今回の評価対象となったKimi K3の素性。ライセンス条件と規模を条項単位で解説している。
「防御側優位」は成り立つか──AnthropicのProject GlasswingとAIサイバー能力の構造
サイバー分野で先に起きた同じ構図。限定公開による封じ込めの実効性を論じている。
欧州最大の防衛テックHelsingが直面した現実──戦場が暴いたAIドローンの限界と命中率の真実
終末誘導の自動化が実戦で何を変えたか。今回のシミュレーション結果を現実側から照らす。
【編集部後記】
人間側の参照値は、PIGEONという2024年の論文から借りたものです。その論文の主役は、比較対象になった人間ではなく、位置推定に特化して作られたモデルのほうでした。世界有数のプレイヤーと6戦して、6勝しています。
つまり2年前の時点で、専用に作れば人を上回れることは分かっていました。今回変わったのは、専用に作らなくてもよくなったことです。ご自身が最後に上げた屋外の写真を、思い浮かべてみてください。
【用語解説】
キルチェーン
標的の発見から効果の評価までを6つの段階として整理した、軍事上の枠組みである。米統合参謀本部のJP 3-60が定義しており、原典はこの区分に沿って評価を設計している。
終末誘導
攻撃の最終段階で、目標までの最後の数百メートルを機体側の制御で飛ぶ仕組みである。通信の妨害や高速の相対運動によって、人の操縦が難しくなる区間を担う。
FPVドローン
機体のカメラ映像を操縦者の手元へ送り、一人称視点で操縦する小型の無人機である。近年の紛争で広く使われている。
誘導・航法・制御（GNC）
機体を「どこへ向け」「どこにいるかを把握し」「どう動かすか」を担うソフトウェアの総称である。今回の評価は、この領域のコードを書き、改善できるかを測っている。
慣性航法
加速度と角速度の測定値を積み上げて、自分の位置を推定する方式である。外部の電波に頼らないため、GPSが使えない状況でも動作する。
GPSの偽装
正しい位置とは異なる信号を送り込み、受信側に誤った座標を信じ込ませる妨害の手法である。信号を遮断する妨害と違い、受信側は正常に動いていると認識しやすい。
オープンウェイト
学習済みモデルの重みを公開し、第三者が自前の環境で動かせるようにする配布の形態である。学習データやコードまで公開するオープンソースとは区別される。
分類器
入力の内容を判定し、あらかじめ定めた区分に振り分ける仕組みである。今回は、兵器開発に関する要求を検知して止める用途で新設された。
デュアルユース
同じ技術が、平和的・防衛的な用途と攻撃的な用途の双方に使われうる性質である。今回の分類器が完璧になりにくい理由として挙げられている。
GeoGuessr
ストリートビューの画像から撮影地を推測するオンラインゲームである。上位プレイヤーの成績が、位置推定能力における人間側の目安として研究に使われている。
中央値
測定値を小さい順に並べたときの、真ん中の値である。平均と異なり、極端に外れた値の影響を受けにくい。
【参考リンク】
Anthropic（外部）
Claudeシリーズを開発する米国のAI企業。今回の研究記事と、同日に公開された脅威インテリジェンスレポートの発行元である。
Frontier Red Team（外部）
フロンティアモデルのリスクを検証するAnthropic社内のチーム。今回の5種類の評価を設計し、実施した部門である。
Project Glasswing（外部）
サイバー防御側にMythos級のモデルを限定提供する取り組み。記事末で防御側の優位に触れた際の参照先にあたる。
Multimedia Commons（YFCC100M）（外部）
写真の位置推定に使われたYFCC100Mを含む、公開データセットのレジストリ。撮影地の正解データの出所である。
GeoText（外部）
テキストからの居住地推定に使われた、2010年に収集されたジオタグ付きツイートのコーパス。現在も公開されている。
zai-org/GLM-5.3（外部）
Z.aiの旗艦モデルGLM-5.3の公式モデルカード。ウェイトの公開日とライセンスの条件をここで確認できる。
Kimi（Moonshot AI）（外部）
評価対象となったオープンウェイトモデルKimi K3を提供する、北京拠点のAI企業の公式サイトである。
【参考記事】
Detecting and countering misuse of AI: September 2026（外部）
同日公開の姉妹レポート。監視や通常兵器の開発に実際に使われた事例を、7領域にわたり報告している。
PIGEON: Predicting Image Geolocations（外部）
人間側の参照値の出典。位置推定に特化したモデルが、世界有数のプレイヤーとの6戦に全勝したと報告する。
Our evaluation of Claude Mythos Preview’s cyber capabilities（外部）
英国AISIの評価。専門家級CTFで成功率73%、32段階の攻撃シミュレーションを初めて完遂したとする。
テラドローン、防衛装備庁より国産ドローン「モジュール型UAV（汎用型）」300式・1.15億円を受注（外部）
本文で触れた調達の当事者発表。300式、115,434,000円、納期2026年9月30日を明記している。
Ukraine’s Future Vision and Current Capabilities for Waging AI-Enabled Autonomous Warfare（外部）
原典が終末誘導の実運用の根拠として引くCSISの分析。自律化の進み方を戦況の側から整理している。
How Ukrainian FPV Drones With Automated Terminal Guidance Work（外部）
同じく原典が引く記事。操縦者が標的をロックしたあと、機上の制御が最後の数百メートルを飛ぶ仕組み。
