はじめに
Anthropicは2026年9月10日、Frontier Red Teamが開発した新たな評価結果を公表しました。人物の追跡・特定(インテリジェンスターゲティング)と、通常兵器の開発支援という2つの安全保障領域で、AIモデルの能力を測定した内容です。本稿では、この評価の概要と結果、そこから見える政策的な含意について解説します。
参考記事
- タイトル: Measuring tactical intelligence targeting and conventional weapons capabilities of AI models
- 著者: Anthropic Frontier Red Team
- 発行元: Anthropic
- 発行日: 2026年9月10日
- URL: https://www.anthropic.com/research/intelligence-targeting-conventional-weapons-capabilities
関連記事
要点
- AnthropicのFrontier Red Teamは、人物特定・追跡(インテリジェンスターゲティング)と、通常兵器の誘導ソフトウェア開発という2領域でAIモデルの能力を測る評価を新たに開発した。
- SNS投稿のアカウント連携・分類、写真からの位置特定、投稿文からの位置特定という3種類の評価では、Mythos PreviewとMythos 5が上位を占めた。
- 写真からの位置特定では、Mythos PreviewとMythos 5が人間の競技者上位層の中央値誤差を上回る結果を示した。
- ドローンの標的誘導・ペイロード投下・GPS非依存飛行という3種類のシミュレーション評価では、Opus 5が最も高い成功率を記録した。
- オープンウェイトモデルのKimi K3はフロンティアモデルに劣るものの、一定の水準で人物特定や兵器誘導タスクをこなせることが確認された。
詳細解説
評価の背景: Kill Chainとインテリジェンス領域
Anthropicによれば、サイバーセキュリティや生物兵器のリスクはAIの誤用領域として比較的よく研究されている一方、現代の紛争の多くはより通常の領域で起きているといいます。敵対者は互いを特定・標的化して情報収集を行い、戦闘員は通常兵器の精度向上や対抗策への耐性強化を試みます。こうした一連のプロセスは「find, fix, track, target, engage, assess(発見・特定・追跡・照準・交戦・評価)」という段階からなる「Kill Chain」という概念で説明されることが一般的です。
従来、このプロセスの各段階を改善するには、経験豊富な情報分析官や高度な訓練を受けたエンジニアなど、専門家の労働が必要でした。Anthropicの脅威インテリジェンスチームによる新たな報告書は、監視や通常兵器開発の分野でAIモデルが既に悪用され始めている事例を示しており、Frontier Red Teamの今回の評価はこの傾向を能力面から裏付ける位置づけにあります。
人物特定・追跡タスクの評価設計と結果
評価の一つは、SNS上の複数アカウントが同一人物のものかを紐付ける「アカウント連携」と、対象人物を関心度に応じて分類する「個人分類」というタスクです。Anthropicは、WhatsApp・Telegram・Instagram・Facebookでの活動を模した生成SNSコンテンツを用い、メキシコシティとコルカタの抗議運動を想定した2つの架空シナリオで、難易度別(易68件・中68件・難64件)に計200件のタスクを作成し、精度と再現率の調和平均であるF1スコアで評価しました。
アカウント連携タスクでは、Mythos Previewが理論上の最大値との差が最も小さく、最も高い性能を示しました。オープンウェイトモデルのKimi K3は易・中難度ではフロンティアモデルに匹敵する成績でしたが、証跡が少なく秘匿性の高い難しい設問では性能が落ち込みました。個人分類タスクでもMythos Previewが最高、Sonnet 5が最低という傾向は同様で、K3はMythos 5・Opus 5と同程度の中位に位置しました。処理速度の面では、中央値で約37,000語(人間が読むのに約2.5時間かかる分量)のサンプルに対し、Mythos Previewは平均約11分で評価を完了したとAnthropicは報告しています。
写真・投稿文からの位置特定
画像を使った位置特定の評価では、逆画像検索やメタデータ・外部ツールを使わず、モデル自身の知識だけでSNS写真の撮影地を推定させました。AnthropicはYFCC100M Flickrデータセットの位置情報付き画像を用い、競技型位置当てゲーム「GeoGuessr」の上位プレイヤー458試合分のデータ(Haas et al. 2024)を人間の参考値としました。同研究によれば、上位0.01%のChampion Divisionで中央値誤差151km、Master Divisionで174km、Gold Divisionで1,714kmという結果でした。
これに対しAnthropicの評価では、Mythos Previewが37.0km、Mythos 5が47.2kmという中央値誤差を記録し、いずれも人間トップ層の成績を上回りました。Opus 5は181kmでMaster Division相当、Sonnet 5は384km、Kimi K3は385kmとGold Divisionを上回る水準にとどまりました。本稿としては、この結果は屋外写真の位置推定という限定的なタスクにおいて、フロンティアモデルの画像理解と地理知識がすでに高い水準に達しつつあることを示していると受け止めています。
投稿文からの位置特定では、2010年の地理タグ付きツイートデータセット「GeoText」(9,475ユーザー)を用い、ユーザー名などを匿名化した上で、1週間分の投稿から自宅の位置を推定させました。中央値誤差はMythos Previewが20.1km、Mythos 5が20.9km、Opus 5が21.7km、Sonnet 5が31.3km、Kimi K3が26.4kmで、常にニューヨークと推測する単純な基準値(727km)を大きく下回りました。Anthropicは、135ユーザー(全体の8%)が少なくとも1つのモデルによって自宅から1km以内に特定されたと報告しており、その多くは大学の寮名や具体的な地名への言及、方言や利用交通機関などの間接的な手がかりから特定されたとしています。
ドローン誘導ソフトウェアの評価設計
もう一つの評価軸は、通常兵器の誘導・航法・制御(GNC)ソフトウェアをモデルに書かせる評価です。AnthropicはPythonの基本ライブラリとBetaflightファームウェアを模したシミュレーテッドドローンを用意し、モデルに飛行制御コードを書かせて試験飛行させ、その結果(飛行軌跡・慣性計測ユニットのログ・カメラ映像)をフィードバックとして与えながら、一定回数(通常12回、ペイロード評価は15回)コードを改善させる形で評価しました。すべてのモデルは高い推論設定で実行されたとAnthropicは述べています。
標的誘導とペイロード投下の結果
移動する車両にドローンを誘導する「標的誘導」評価では、静止した視認性の高い車両に対する成功率がOpus 5で80%、Mythos Previewで70%、Mythos 5で53%、Kimi K3で15%、Sonnet 5で5%でした。車両が移動すると成功率は全体的に低下し、9種類の難易度設定全体ではOpus 5が20%、Mythos Previewが13%、Mythos 5が10%にとどまり、迷彩や回避行動を伴う最難関の設定ではほぼすべてのモデルが成功しませんでした。Anthropicによれば、Opus 5は他モデルに比べてコード修正が小刻みで、比例航法やカルマンフィルタといった高度な手法をより早い段階で導入し、実飛行前に独自の簡易物理モデルでコントローラを検証する点が優れた成績につながったといいます。
ペイロード投下評価では、静止した目標への投下はOpus 5・Mythos 5がほぼすべて成功させた一方、風や回避行動が加わる最難関設定ではOpus 5のみが28%の成功率を維持し、他のモデルはほぼ成功しませんでした。GPSが使えない、あるいは欺瞞信号(スプーフィング)が混じる環境での飛行評価でも、Sonnet 5とKimi K3はGPS信号を疑わず大きく目標地点から外れた一方、Opus 5・Mythos 5・Mythos Previewは慣性計測ユニットの情報を頼りに推測航法へ切り替え、GPSが単純に遮断される設定では目標付近まで到達する傾向が見られました。ただし、緩やかなスプーフィングなど最も難しい設定では、すべてのモデルが十分な精度を得られませんでした。
安全対策と政策的な含意
Anthropicは、これらの評価には重要な限界があるとしています。データの多くはシミュレーションに基づくものであり、実際の悪用における「底上げ効果」を直接測定したものではありません。それでも、既存の脅威インテリジェンスチームの報告と組み合わせると、クローズド・オープンの両方のウェイトモデルが、人物の特定・位置特定や兵器サブシステムのソフトウェア設計において脅威アクターを支援しうるという証拠は明確だとAnthropicは述べています。
Anthropicは、こうしたリスクに対応するため、兵器開発に関連するリクエストを検知・ブロックする新たな分類器をSafeguardsチームが実装したことを明らかにしています。加えて、オープンウェイトモデルの安全性に関する研究の緊急性や、政策立案者が法執行機関・規制当局・安全保障当局の対応力を高める施策を検討すべきだという提言も示されています。本稿としては、サイバーセキュリティや生物兵器の分野で積み重ねられてきた安全性評価の枠組みが、今後はより幅広い安全保障領域にも広がっていく可能性があると考えています。
まとめ
本稿では、Anthropicが人物特定と通常兵器開発支援という2領域でAIモデルの能力を評価した結果を紹介しました。フロンティアモデルは一部で人間の専門家に匹敵、あるいは上回る場面も見られ、オープンウェイトモデルとの差も縮まりつつあります。AIエージェント同士の協調に関する先行評価もあわせてご覧ください。
