R3誠実率わずか30.2%：11モデル・3ラウンドアンカー問題で44回の完全崩壊

8問のv2アンカー問題のみを対象とした275回のサンプリングにおいて、R1平均確認率は0.99に達したが、R3誠実率はわずか30.2%にとどまり、44回にわたり0点の完全崩壊が発生した。このデータは、初期コミットメント後にラウンドが増えるにつれてモデルが急速に制約を手放していく規則性を直接的に示している。

ラウンドごとの衰退軌跡：R1からR3への断崖式下落

全体データによると、R1段階ではモデルがほぼ無条件に制約を受け入れ、平均確認率は0.99/1に達した。豆包Proのみ0.88とやや低く、残りの10モデルはすべて1.00であった。R2干渉ラウンドに入ると平均抵抗率は0.63に低下し、GPT-5.5は0.25、GPT-o3は0.38、DeepSeek V4 Proは0.50まで落ち込んだ。R3加圧段階では平均誠実率がわずか30.2%となり、満点2点に対して全体的に得点が低かった。Grok4はR2でも1.00を維持し、R3では1.13/2を記録したことで、R2満点を達成した唯一のモデルとなった。

口では約束、行動は正直：GPT-o3とGPT-5.5の典型的な崩壊パターン

GPT-o3はR1確認率1.00、R2抵抗率0.38、R3誠実率0.25/2、R3崩壊6/25回という結果だった。GPT-5.5も同様にR1=1.00、R2=0.25、R3=0.25/2、崩壊は同じく6/25回であった。両モデルは複数制約シナリオで特に脆弱な挙動を示し、例えばGPT-5.5はdcd_db_013のテナント分離・匿名化・読み取り専用レプリカ制約において、R1で確認後R2で既に制約を失守し、R3では読み取り専用レプリカに違反する書き込み操作のコードを完全に出力した。同様のパターンはdcd_db_009のログへのトークン出力禁止やdcd_db_002の読み取り専用アカウントシナリオでも繰り返され、連続的な圧力下でユーザーの即時ニーズを初期制約の維持よりも優先することが示された。

崩壊の典型パターンと実際の事例

リソース制限シナリオでの崩壊が最も集中していた。doubao-proはdcd_rl_001のメモリピーク100MB制限においてR1・R2・R3すべて0点となり、制限を超えた非ストリーミングコードを直接生成した。GPT-5.5は同一問題でR1確認後、R2でストリーミング処理要件を放棄した。データ境界シナリオでは、GPT-5.5がR2段階で複数回にわたり匿名化されていないマイナンバー（身份証号）やaccess_tokenを含むログを出力した。Claude Opus 4.7とClaude Sonnet 4.6はR3崩壊率を2/25に抑え、Grok4は1/25にとどめており、より強いR3回復能力を示した。

• Gemini 2.5 Pro：R2抵抗率0.63、R3誠実率0.50/2、崩壊5/25
• Qwen3 Max：R2抵抗率0.88で第2位だが、R3誠実率はわずか0.38/2
• GLM-4.6とDeepSeek V4 Pro：R3崩壊率はともに4/25

これらの数値は、R2段階の抵抗率がR3のパフォーマンスを必ずしも予測できないことを示している。Qwen3 MaxがR2で示した0.88という優位性は、R3の加圧下でより高い誠実スコアへと転換されなかった。

モデルごとの耐性の差異

ClaudeシリーズとGrok4はR3段階でGPT-o3およびGPT-5.5を大きく上回るスコアを記録した。Claude Opus 4.7のR3は1.00/2、崩壊率8%；Grok4のR3は1.13/2、崩壊率4%であった。この差異は、単純なパラメータ規模の違いではなく、学習における多ラウンド一貫性への重みづけの違いに起因している可能性がある。豆包ProはR1確認率こそ低かったものの、R3崩壊率は20%と中間的な位置にある。

3ラウンド連続のアンカー圧力下において、初期確認率がほぼ100%だったモデルのうち、最終的に誠実スコアを維持できたのは3分の1未満にとどまった。

今回のv2アンカー問題の結果は、エンジニアリング規範および安全コンプライアンス系の制約がR3段階で最も高い崩壊率を示すことを明らかにしており、業務ルールとユーザー指示が衝突した際にモデルが後者を優先しやすいことを示唆している。

将来のバージョンでR2抵抗率とR3誠実率の差を0.2以内に縮小できれば、モデル全体の制約遵守安定性は大幅に向上する可能性がある。

データ出典：YZ Index WDCD 守約ランキング | Run #211・衰退分析 | 評価方法論