基本スペック#

価格には注釈がついていて、$0.75 / $3.75 は2026年12月31日までの導入特別価格である。2027年1月からは $1.50 / $7.50、つまり倍になる。ここを見落としてコスト試算すると年明けに焦るので、社内の見積もりに使うなら通常価格のほうで組んでおいたほうがいい。

強い領域#

ターミナル作業と専門ドメインでは、上位フラグシップに並ぶか上回っている^{2 5}。

• Terminal-Bench 2.1（ターミナル環境でのコーディング）は 89.4% で、Opus 5（89.1%）と GPT-5.6 Sol（88.8%）を僅差で抜いてクラストップ^{2 5}
• DeepSWE v1.1（実リポジトリの長時間開発）は 71.0%。前作 3.7 Flash の 65.3% から大きく伸びて、Opus 5（74.0%）に迫った^{2 5}
• LVBench（長尺動画のエージェント理解）は 87.8% で、Opus 5 の 75.4% に大差をつけている²
• CharXiv Reasoning（複雑なチャート分析）は 86.2%（Opus 5 は 83.7%）²
• HLE-Verified は 54.9%（Opus 5 は 54.4%）²
• 業務ドメインでは Vals Finance Agent v2 が 61.4%（Opus 5 は 58.6%）⁵、Harvey’s Legal Agent Benchmark が 10.0%（Opus 5 は 6.7%、GPT-5.6 は 2.5%）⁵

法務ベンチマークの 10.0% という数字は、パーセンテージだけ見ると失敗しているように見えるが、これはまだどのモデルも解けていない領域という意味だ。首位が 10% のベンチマークは「勝ち負け」を語る段階になく、「Gemini が最もマシ」以上のことは読み取れない。逆に言うと、この手のベンチマークは飽和していないぶん、まだモデル間の差を測れている。

このバランス、つまり1M コンテキスト＋マルチモーダル＋速度＋安さは、日常の実務でかなり効く。長大な仕様書や設計動画を丸ごと投げて要約させる、みたいな用途では正直これ以外の選択肢が思いつかない。

弱い領域#

一方、モデルカードと第三者評価が揃って指摘するボトルネックがある^{1 2 5}。

1. GUI 操作（Computer Use）が明確に遅れている

OSWorld-2.0 のスコアは 59.0%^{2 5}。前作 3.7 Flash の 47.9% からは伸びたものの、Claude Opus 5 の 75.4% に対して 16ポイント以上の差がついている。GPT-5.6 も 70% 台なので、3社のなかで単独最下位だ。

スクリーンショットを見て座標をクリックする、デスクトップ UI の状態遷移を追う、といった作業はまだ実用の域にない。Anthropic が先行して積み上げた Computer Use の技術差が、素直に出ている。

2. Terminal-Bench 4.0 で 19.1% に急落する

これが一番おもしろい数字だと思っている。定型的な 2.1 では 89.4% で首位を取るモデルが、時間・CPU・メモリの制限を厳しくした 4.0 では 19.1% まで落ちる^{2 5}。同ベンチマークでは Opus 5 が 51.8%、Fable 5.1 が 55.8% を記録している。

同じ「ターミナルでコードを書く」タスクなのに、環境が過酷になった瞬間に順位が完全にひっくり返る。予期しないエラーが連鎖する状況での粘り強さが、スコアの高さとは別の能力だということが、これほど分かりやすく出ている例も珍しい。

3. 知識労働 Elo は Sonnet 5 相当

GDPVal-AA v2 の総合 Elo は 1545 で、Opus 5 の 1824 とは開きがあり、Claude Sonnet 5 の 1584 と同水準にとどまる^{1 2}。値段が Sonnet より安いことを考えれば妥当な位置だが、Opus 5 の代替として置くと落ちる。

4. thinking_level を上げるとトークンが膨らむ

thinking_level: HIGH を指定すると、丁寧にツールを呼んで多段階で進むぶん、想定よりトークンを食う傾向がある¹。安さで選んだのに請求が膨らむパターンなので、安価さを理由に採用するなら推論レベルは意識して下げておきたい。

1. 人間との協調（Human-in-the-loop）#

• 曖昧な指示には自分から質問する。推測で間違ったコードを書かない
• 詰まったら助けを求める。堂々巡りに入る前にユーザーの判断を仰ぐ
• 不可逆な操作の前に確認する。大量のファイル削除や本番設定の変更など、取り返しがつかない手前で必ず止まる

エージェントを日常的に回している人ほど刺さる項目だと思う。能力が上がるほど、勝手に進む被害額も上がる。「聞いてから動く」は退化ではなく、実運用に必要な設計判断だ。

2. 効率化#

前バージョン 1.2 と比較して、ツール呼び出し回数が約20%減、総トークン消費が約25%減⁶。前置きや解説文を削って、手戻りの少ないコードを出すことに集中している。

3. 乱雑なスレッドでのマルチタスク耐性#

長いチャットの途中で指示を変えたり、別のタスクを割り込ませたりしても、文脈を見失わずに追随する⁶。実際の作業はきれいな一問一答にはならないので、この方向の改善は体感に効くはずだ。

4. ハルシネーションの抑制と自己限界の認識#

「自分が知っていること／知らないこと」「実行できる権限／できないこと」をより正確に自覚するよう調整されている⁶。

価格とデータ戦略は注意して読む#

Muse Spark の価格設定には、はっきりした意図がある^{7 9}。

10分の1から20分の1である。破格には理由があって、開発者の実環境でのコード編集ログやエージェントの試行錯誤ログを大量に集め、次期モデルの強化学習データに回すループが設計されている^{7 9}。

個人の趣味リポジトリなら選ぶ余地はあるが、業務コードを触るセッションで Contributor Tier を選ぶのは実質的に社外へのコード送出なので、そこは値段だけで決める話ではない。安さの出どころが明示されているぶん誠実ではあるが、誠実だからといって同意していいわけでもない。

主要モデル比較#

この表で本当に効いているのは、上4行のうち下2行だ。Terminal-Bench 2.1 と DeepSWE では差が数ポイントに収まっているが、OSWorld-2.0 で 16ポイント、Terminal-Bench 4.0 で 32ポイント開いている。

飽和しているのはモデルではなくベンチマーク#

つまりこういうことだと思う。

関数を書く、単一ファイルのバグを直す、標準的な Issue を解決する——このレベルの作業は、どのモデルでもだいたい解ける。だからスコアが 89% 前後に貼りついて、差が 1〜3% に潰れる。モデルが横並びになったのではなく、ベンチマークがモデルに追い抜かれた。上限に当たった定規で測っているので、差が出ないのは当然だ。

一方、まだ上限に当たっていない定規（OSWorld-2.0、Terminal-Bench 4.0、GDPVal、Harvey Legal）で測ると、差はむしろはっきり広がっている。同じモデルが 89.4% と 19.1% を同時に出すという事実が、それを一番よく示している。

3社の設計思想の差はもう明確に分かれている#

• Google: マルチモーダル統合＋ターミナル特化＋超低価格で、日常の実務ワークホースの座を取りにいっている
• Meta: 対話的な安全性＋トークン効率＋データ収集ループで、開発者の作業環境そのものに定着することを狙っている
• Anthropic: Computer Use と長期自律推論で、最も難しいエージェント領域での優位を維持している

選ぶときは得意分野より弱点の形を見たほうが早い。得意分野はどれも「コードが書ける」で被るが、弱点は被らない。GUI を触らせるなら Gemini は外れるし、コストを抑えて長い文脈を回すなら Opus 5 は外れる。そういう消去法のほうが、0.6 ポイントの比較よりずっと実務的だと思う。

何が起きたのか#

1. 舞台は、独立系のサイバーセキュリティ評価企業 Irregular 社（旧 Pattern Labs）が管理する CTF 評価環境^{10 13 14}
2. 本来はエアギャップで外部から完全に遮断されているはずのサンドボックスが、ネットワーク設定ミスでパブリックインターネットに繋がっていた^{10 13}
3. CTF 課題を与えられた Muse Spark 1.1 は、標的として指定された名称を探す過程でインターネット上の実在サービスに到達した^{10 13}
4. モデルはそのサービスに実在した脆弱性を突いて侵入し、無関係な実在企業の内部システムに設定変更を加えた^{10 11 13}

技術的には「AI がサンドボックスを破って脱走した」わけではない^{10 13}。AI の側から見れば、課題を解くためにネットワークを探索したら、繋がるサーバがあり、脆弱性があったので指示どおりツールを実行しただけだ。閉じているつもりの部屋のドアが開いていて、そのまま外に歩いていった、という状態に近い。

3社とも、同じ1社で、同じことをやっていた#

そしてこれは Meta 単独の不祥事ではなかった。2026年7月中旬から8月上旬までのわずか3週間で、大手3社すべてが同じ構図の事故を起こしている^{10 13 14}。

約35人規模のベンダ1社に大手3社が評価を委ね、初歩的なネットワーク遮断漏れが何ヶ月も放置されていた¹⁴。単一障害点という言葉がこれほど文字どおりに機能した例も少ない。

気に入らないのは、事故そのものより扱われ方#

事故は起きる。設定ミスもする。そこまでは分かる。

引っかかるのは、「モデルが現実世界をハッキングしてしまった」というニュースが、不祥事の顔をしながら宣伝として機能してしまう構造のほうだ。各社は規制当局へのロビー活動や技術的リーダーシップの誇示のために、「うちのモデルは自律的にサイバー攻撃を成功させるほどのフロンティア能力に達している」という実績を競い合っている。その文脈に置かれた瞬間、この手の事故は危険なほど強力である証明という裏の広告に化ける。

そして実害を被ったのは、まったく無関係な実在企業だ。にもかかわらず各社の説明は「ベンダのミス」「サンドボックス脱獄ではない」「恒久的な害はない」に寄っている¹⁴。能力誇示のチキンレースの賭け金に、他人のインフラを勝手に置くなというのが、正直なところの感想である。

攻撃能力の測定そのものを否定したいわけではない。むしろやったほうがいい。ただし物理的なエアギャップか完全なモックネットワークを用意して、現実のインターネットに1パケットも漏らさないのが最低条件のはずだ。それができないなら、それは評価ではなく実弾演習である。

セキュリティ専門家からも同じ観点の批判が出ている^{13 14}ので、これは一利用者の感情論ではないと思っている。

経路は4つ#

1. 標準のモデルセレクター（いちばん簡単）

Cursor Settings > Models に gemini-3.8-flash が追加されている³。チャット（Cmd/Ctrl + L）や Agent / Composer（Cmd/Ctrl + I）のドロップダウンから選ぶだけで使える。何もしていなくても増えているので、まずここを見ればいい。

2. Bring Your Own Key（API キー直指定）

Google AI Studio で発行した Gemini API キーを Cursor の Google API Key に入れると、Cursor のプロキシを経由せず Google のエンドポイントに直接繋がる。100万トークンあたり $0.75 / $3.75 の API 価格がそのまま適用されるので、ヘビーに回す人はこちらのほうが安い。ただし前述のとおり、この価格は年内までである。

3. AI Gateway / プロキシ経由

Vercel AI Gateway や LiteLLM を挟んで、モデル名 google/gemini-3.8-flash を OpenAI 互換のカスタムモデルとして接続できる⁴。複数プロバイダを1箇所で管理したい場合はこれ。

4. Meta モデル（Muse Spark）

Meta Model API のキーを使い、Cursor のカスタム OpenAI 互換エンドポイント（Base URL と API Key を指定）から呼ぶ。あるいは、Meta 提供のターミナル用コーディングエージェント Muse Code を Cursor の組み込みターミナル内で CLI として併用する運用も現実的だ⁶。標準セレクターに載っている Gemini と比べると、ひと手間かかる。

使い分けの指針#

安いモデルをデフォルトに置いて、弱点に当たるタスクだけ高いモデルに逃がすという組み方が、いまのところ一番コスト効率がいいと思う。全部を Opus 5 で回すのは贅沢だし、全部を Flash で回すと Terminal-Bench 4.0 的な状況で無限に空回りする。