写真1枚で、AI はあなたの居場所を突き止める（2026年）

資金について：CypherpunkGuide は監視型広告を一切載せない——広告ネットワークも、トラッキングピクセルも、スポンサー記事もない。運営は透明な収益源による：現在は読者からの寄付、将来は購読と編集方針に合致した affiliate。私たちは広告主ではなく、読者に向き合う。

私は仮名で、AI が生成した肖像を使って書いている。だから、場所のプライバシーへの答えが「顔さえ写さなければいい」で終わるはずは、はじめからなかった。本当に厄介なのは、その顔の背後に写り込んでいるものの方だ。2025年4月、ある開発者が、OpenAI のモデル o3 を、GeoGuessr（ストリートビューの一枚から場所を当てるゲーム）の最上位ランクの人間——Master 級のプレイヤー——と対戦させた。勝ったのはモデルだった。23,179 対 22,054。5ラウンドすべてで国を正しく言い当て、うち2度は数百メートル以内まで詰めた。同じ試験で o3 は、ファイルの metadata に仕込まれた偽の GPS 座標を無視し、ピクセルだけを頼りに本当の場所へと推論を進めた。

この最後の一点に、すべてが詰まっている。二十年ものあいだ、写真プライバシーの定石は「EXIF（写真に埋め込まれる撮影情報。位置情報を含みうる）を削れ」——スマートフォンがファイルに書き込む、隠れた GPS タグを取り除け——だった。それは、この問題のうちいまでは易しく片づく側への助言としては、正しかった。手ごわいのは、もう一方だ。機械は、屋根の形も、植生も、路面の標示も、太陽の角度も、店の看板の文字も読み取り、metadata が一切なくても、あなたの居場所を言い当てる。Stanford の PIGEON（位置推定モデル）は、ありふれた写真の国を 91.96% の確率で言い当て、GeoGuessr の世界王者を6戦連続で下した。2025年のあるベンチマークでは、汎用の Gemini モデルが正しい都市を 64.3% で突き止めた——同じ画像に挑んだ人間は、わずか 1.7% だった。

だから、ここでの問いは「AI にあなたの居場所が分かるか」——分かる——ではなく、分かるようになった今、何があなたの露出を実際に左右するのかだ。公開されたベンチマークと、Bellingcat（公開情報調査の報道組織）自身の実地ガイドを読み込んで、私は、位置を割り出す側がどうやって写真を絞り込んでいくのかをたどり、その手順を逆にたどって防御へと組み替えた。手短に言えば、位置情報はいまや二つの層から漏れ、それぞれ直し方が違う。metadata の層は、洗い落とせる。目に見える層は、写り込むものと、それを世に出す間合いを、自分で抑え込むしかない——公開情報の調査者が問題を逆から解くのと、同じやり方だ。

AI が読む時代、写真1枚が明かすもの

#

AI による位置推定（geolocation、写真から撮影場所を特定すること）とは、GPS タグからではなく、写真の目に見える中身——建物、植生、路面標示、太陽の角度、看板——から、その写真がどこで撮られたかを推論することだ。効いてくる変化は、ここにある。この能力は最近、「腕の立つ人間の趣味」から「安く、速く、自動化された推測」へと踏み越えた。しかも相手にしたのは初心者ではなく、熟練したプレイヤーだった。以下の数字は、査読を経たベンチマークと、広く追試された一対一の対戦から取ったものであって、ベンダーの宣伝からではない。

機械と人間の差がどれほど開いているか——そこを、たいていの人が見くびっている。2025年の学術ベンチマークで、ある Gemini モデルは国レベルで 83.7%、都市レベルで 64.3% の精度に達した。同じ画像に挑んだ人間の被験者は、9.5% と 1.7% だった。この作業が得意な人間——ランク入りした GeoGuessr プレイヤー——なら、まだ張り合える。だからこそ、o3 が Master を破り、PIGEON が王者を一蹴したという結果は、警鐘なのだ。敵が借りられるのは、平均ではなく上限——天井の方だ。

正直であるために、留保が二つ要る。第一に、精度にはむらがある。モデルは、代表性の乏しい地域よりも、北米と西欧ではっきり成績が良い。だから「AI に私の町は当てられまい」は、時に本当で、けっして当てにできない。第二に、専用ツールは汎用のチャットボットより先へ行く。Graylark Technologies の商用システム GeoSpy は、数千万枚の街頭画像で訓練されており、条件の良い入力なら街路レベルの精度が出る、と同社は主張する。その足取り自体が、警告だ。公開後、特定の女性を位置特定させる動画をユーザーが投稿しはじめ、同社は一般公開を取りやめ、ツールを法執行機関・企業・政府の顧客に限定した。作り手自身が、この能力を一般の手に委ねるわけにはいかないと判断した。それくらいには、現実の脅威なのだ。

調査者はどうやって写真の場所を割り出すか——そしてそれが、なぜあなたを助けるか

#

公開情報を扱う調査者は、写真の場所を割り出すのに AI を必要としない。geolocation（目に見える証拠から、その画像がどこで撮られたかを確かめること）という技法は、モデルより十年は先んじている。彼らのやり方を知ることには意味がある。良い防御とは、彼らの手順をそっくり逆からたどることだからだ——彼らが探し求める手がかりこそ、あなたが構図から締め出したいものにほかならない。この実践の多くを体系化した調査報道の Bellingcat は、それを層ごとのチェックリストとして教えている。

層は、粗いものから細かいものへと積み上がる。chronolocation（影から時刻・緯度を絞る手法）は、影を使う——影の長さと向きを、候補となる日付の太陽位置計算と突き合わせれば、時刻と緯度の両方が絞られる。建築とインフラは、国を絞る——電柱の設計、信号機の形、縁石や車止めの様式は管轄ごとに異なり、参照データベースがその違いを目録にしている。植生は、気候と地域を見分けさせる。看板と文字は、しばしば都市を、あるいは特定の一本の通りまでを、あっさり明け渡す。そして反射——店先の窓、車のミラー、サングラス——は、カメラが背けていたはずのものを露わにしうる。Bellingcat による MH17 の車列経路の特定——2014年にウクライナ上空で旅客機を撃墜したミサイルを運んだ輸送車を追跡したもの——は、まさにこの積み重ねから組み上がった。影の分析に、目印の照合を重ね、道路の正確な一区間へと突き止めたのだ。

AI が変えたのは、手法ではなく費用だ。人間の調査者は、一枚に何時間もかける。モデルは、同じ推論を数秒、数セントでこなし、しかも一度に何千枚へも差し向けられる。ここから引き出せる防御の教訓は、明確で、少しばかり気を楽にしてくれる——天才を打ち負かす必要はない、重ねられる手がかりを取り除けばいい。あなたが封じる層のひとつひとつ——看板をなくす、特徴のある空の輪郭をなくす、反射する面をなくす、遮るもののない影をなくす——は、位置を割り出す側が、人間であれ機械であれ、もう使えなくなる層なのだ。

位置情報が漏れる、二つの層

#

ここで、他のすべてを整理し直す枠組みを示す——そして、ほとんどのガイドがぼかしてしまう枠組みでもある。写真は、独立した二つの層で位置情報を漏らし、そのうち解決済みなのは片方だけだ。この二つを混同すること——それが、「metadata は消した」という言葉が、手にしてもいない安心を人に与えてしまう理由だ。

第1層は metadata——カメラがファイルに書き込む EXIF ブロックで、位置情報サービスがオンだったなら、正確な GPS 座標も含まれる。この層は解決できる。データは切り分けられていて、ファイルの決まった場所に収まっており、写真が端末を離れる前に、まるごと取り除ける。削ってしまえば、その座標はただ消える。

第2層は中身——目に見える情景そのものだ。画像を読む AI モデル（vision model）が読み取るのは、まさにこれだ。そして、削り取れない——写真に付随しているのではなく、写真そのものだからだ。建築を消すには、写真そのものを消すしかない。o3 が偽の GPS タグを無視し、ピクセルから画像の場所を割り出したとき、それは、第2層がいまや単独で成立することを示していた——第1層から何も得られない敵にも、目に見える構図の全体が、なお手元に残るのだ。

これが、防御の全体を組み替える。第1層は掃除の問題だ——毎回、一度きり、機械的にやる。第2層は構図の問題だ——シャッターを切る瞬間と、投稿を押す瞬間に決まってしまい、いったん公開した空の輪郭を、後から直すツールなど存在しない。この記事は、以降この二つを別々に扱う。まとめて扱うことこそが、間違いだからだ。

「でも metadata は消した」——それが実際に直すもの

#

metadata を削ることは、必要だが、もはや十分ではない。それは第1層をきれいに閉じるが、第2層には何もしない——しかも第1層の内側でさえ、多くの人が頼りにしているプラットフォームの挙動は、思っているより狭い。崩しておくべき思い込みが、二つある。SNS がこれをもう代わりにやってくれている、という思い込みと、さっとスクリーンショットを撮れば写真は洗い清められる、という思い込みだ。

主要なプラットフォームの多くは、公開アップロードを再エンコードし、他のユーザーがダウンロードできる版から EXIF ブロックを落とす——だが、その保証には条件がつく。独立した metadata 検査サービスの報告では、2026年時点で、例外はアプリを問わず共通している——「ドキュメントとして送信」あるいは「ファイルとして送信」のモードは、再エンコードを迂回し、すべてを保持する。安全な経路からタップひとつの距離に、しかも何の警告もなく、それは潜んでいる。そして公開用のコピーを削ることは、削除とは違う——Meta 自身のプライバシーポリシーは、自社の目的のために元の画像データをサーバー側に保持する、と述べている。下の表は、検査された挙動と公式方針を突き合わせたものだ。個々のアップロードへの約束としてではなく、「罠がどこにあるか」として読んでほしい。

スクリーンショットの神話は、一行を割く価値がある。検索エンジンが、いまだにそれを勧め続けているからだ。スクリーンショットを撮れば、確かに、元の GPS タグを持たない新しいファイルができる——それは本物の、第1層の対処だ。だが第2層には、何ひとつ効かない。スクリーンショットには、同じ通りが、同じ空の輪郭が、同じ店の看板が、そのまま写っている。そしてモデルは、それを元の写真と寸分たがわず読み取る。スクリーンショットが変えるのは、ファイルであって、写り込んだ景色ではない。

脅威モデルに見合った防御プロトコル

#

ここに、唯一正しい用心の量というものはない——適切なプロトコルは、誰が見ているか、そして位置を突き止めた相手がそれで何をできるかによって変わる。「屋外では絶対に投稿するな」といった一律の規則は、暮らしを立ち行かなくするし、多くの人には不要でもある。役に立つのは、労力を脅威に見合わせることだ——EFF（電子フロンティア財団）の Surveillance Self-Defense が土台に据えているのと、同じ脅威モデル化の理屈である。下の段階は、上へいくほど積み増していく——誰もが基本層はやるべきで、上の段階はそれぞれ、前の段階を置き換えるのではなく足していく。

段階を分ける境界線は、結果の重さだ。気軽に共有する人にとって、場所を割り出された写真は、プライバシーのかすり傷だ。だが、公の場に立つ作り手や、すでに嫌がらせに直面している女性にとって、それは現実世界での遭遇へ向かう一歩になる——そしてこれは、絵空事ではない。AI による位置推定は、Privacy International（英プライバシー擁護 NGO）がその危険分類で目録にしているのと同じ、ストーキングや親密なパートナーによる暴力（IPV）の脅威を助長するからであり、GeoSpy の作り手が一般公開の扉を閉ざした理由も、そこにあるからだ。活動家、記者、あるいは虐待の生存者にとっては、位置を特定された一枚の構図が、身の安全にかかわる事態になりうる。まず自分がその梯子のどこにいるかを見定め、それから、見合った行を当てはめてほしい。

三つの手立てには、過信しないための正直な札を貼っておく必要がある。EXIF を削るのは、ローカルで機械的にやるのが一番だ——コマンドラインツールの ExifTool は一度ですべてを取り除き（exiftool -all= photo.jpg）、自分のマシンで動くから、写真はそこから出ていかない。投稿を遅らせることは、リアルタイムの漏れ——あなたがいまどこにいるかを敵が知ること——を封じるが、事後の分析には何もしない。背景は、いつ調べられようと、変わらず場所へと解けてしまうからだ。そして背景をぼかすのは、見かけほど強くない——軽いぼかしは deblurring（ぼかしを復元する処理）で部分的に戻せてしまう。だから正直な選択肢は、重いモザイク化か、そもそもそれを写さないことだ。手立てのそれぞれを、それが対処する層の名で呼べば、「何かはやった」を「守れている」と取り違えることは、なくなる。

結論——実際、どこまでやればいいのか

#

たいていの人にとって、プロトコル全体は二つの習慣に畳み込める——反射のように、ローカルで metadata を削ること。そして、自分が繰り返し戻る場所——自宅、職場、子どもの送り迎え——を、リアルタイムで投稿するのをやめること。これで第1層は完全に閉じ、第2層からは、その最も値打ちのある手がかり——敵が動き出せる決まった場所——を奪える。それより上は、脅威モデル次第だ。そして高度層を必要とする人は、たいてい、自分がそうだと、すでに分かっている。

長持ちするのは、頭の切り替えの方だ。古い問い——「ジオタグを切り忘れなかったか」——は、第1層の問いであり、ExifTool が習慣になれば、第1層はほとんど自動になる。いまのあなたを守る問いは、第2層の問いだ——*この構図は、私がどこにいるかについて何を語っているか。そしてそれを、私を見つけ出したい見知らぬ相手に、手渡すだろうか。*写真を世に出す前に点検するとき、私が問うのは、これだけだ。機械が私の代わりに答えてしまうのを、もう止められない——そういう問いは、これひとつなのだから。

よくある質問

#

EXIF データを削れば、私の居場所は隠れますか？

#

問題の半分は、それで解決します。EXIF を取り除けば、カメラが埋め込んだ正確な GPS 座標は消えます——本物の、やる価値のある対処です。ですが、最新の画像を読む AI モデルは、目に見える情景——建築、植生、太陽の角度、看板——から、metadata が一切なくても位置を推論します。記録に残る検証では、OpenAI の o3 は、GPS タグが偽物に差し替えられたあとでさえ、写真の場所を割り出しました。metadata を削るのは基本の対処として行い、そのうえで、写真の実際の中身の方を、より手ごわい未解決の層として扱ってください。

元の写真の代わりにスクリーンショットを投稿すれば、安全ですか？

#

スクリーンショットは元の EXIF を取り除くので、metadata の層は閉じます——ですが、画像そのものについては何ひとつ変えません。通りも、空の輪郭も、読み取れる看板も、そのまま構図に残っていて、AI はそれを、元のファイルと寸分たがわずスクリーンショットから読み取ります。スクリーンショットが変えるのは、ファイルであって、写り込んだ景色ではありません。位置推定に対する防御には、なりません。

AI は本当に、人間より上手に写真の場所を割り出せますか？

#

はい、しかも初心者だけでなく、腕の立つ人間が相手でも、です。Stanford のモデル PIGEON は、写真の国を 91.96% の確率で言い当て、GeoGuessr の世界王者を6戦にわたって下しました。2025年のベンチマークでは、ある Gemini モデルが、人間の被験者が 1.7% だった都市レベルで 64.3% の精度に達しました。精度は地域によってむらがありますが、上限——本気の敵が借りられる高さ——は、とても高いのです。

背景をぼかせば、私は守られますか？

#

十分に重いぼかしであれば、の話です。軽いぼかしや、弱いモザイクは、deblurring（ぼかしを復元する処理）の技術で部分的に戻され、文字や細部が復元されてしまいます。もし背景の何か——道路標識、特徴のある建物、反射——が居場所を明かしてしまうなら、堅い選択肢は、重いモザイク化か、いっそそれを画面から除くことであって、生ぬるいぼかしではありません。

たった一つ、最も値打ちのある習慣は何ですか？

#

繰り返し訪れる現実の場所——自宅、職場、子どもの学校、決まった曜日に通うジム——を、とりわけリアルタイムで投稿するのをやめることです。一度きりの旅行写真は、敵が動き出せる決まった場所よりも、小さなリスクです。それを、アップロード前にローカルで EXIF を削ることと組み合わせれば、metadata の層は閉じ、中身の層からは、最も動きにつながる手がかりを奪えます。

この記事は、このサイトのより広い筋の、写真に特化した相棒だ。同じ機械の推論を、あなたの画像ではなくテキストに向けたものは、AI 非匿名化——推論が、あなたの匿名性を解いていく（2026年） に地図化してある。そして AI が脅威モデル全体にわたって壊す前提は、AI時代のOPSEC——脅威モデルを組み立て直す（2026年） に並べてある。位置を割り出された写真は、いったん投稿すれば取り消せないから、削除して実際に何が生き延びるのかの点検は、削除しても消えない——2026年、SNSの足跡はどこまで残るのか にある。背景ではなく、あなたの身体に狙いを定めた同じ脅威については、あなたの声と顔は、もう「鍵」だ——AI クローンに備える OPSEC（2026年） を見てほしい。そして、こうした手法が現実の標的へと収束していくさまは、配信者は、どこで暴かれるのか——5つの事例とドキシング防御（2026年）。