Mistral AI、ポリシー適応型安全分類器「Shieldstral 1.0 3B」公開
本文の状態
日本語全文を表示中
詳細モードで約8分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
MarkTechPost
Mistral AI は、ポリシーを自然言語の質問として動的に適用できるマルチモーダル安全分類器「Shieldstral 1.0 3B」を公開し、7 倍サイズのモデルと同等の性能を 16GB の VRAM で実現した。
Continue in AI NEW LAB
このニュースを、実務の判断につなげる
AI NEW LABで、試したことや先に確認したい条件を共有できます。まずはログインなしで読めます。
AI NEW LABで論点を見るAI深層分析を開く2026年8月8日 14:26
AI深層分析
キーポイント
ポリシー適応型のアーキテクチャ
従来の固定された危害カテゴリに依存せず、推論時に自然言語で記述された質問（例：「これは有害か？」）に基づいて安全性を判定する。
高性能かつ軽量な実装
テキスト安全分類で 84.9% の平均 F1 スコア、マルチモーダルでも 83.8% を達成し、GPT-OSS-Safeguard-20B と同等の性能を 3B パラメータで実現した。
多様なデプロイ環境への対応
16GB の VRAM で動作し、vLLM や llama.cpp など主要な推論フレームワークに対応しており、商用・非商用を問わず Apache 2.0 ライセンスで利用可能である。
柔軟な運用とコスト削減
単一のトークンを出力するため推論コストが低く、閾値の調整やボーダーラインの人間によるレビューへのルーティングなど、運用側の柔軟性を高める設計となっている。
推論時の柔軟なポリシー適応
モデルはyes/noトークンIDへの埋め込み解除とソフトマックス正規化のみを行い、ポリシーをプロンプト内の質問として定義することで再学習なしで多様な安全基準に対応する。
重要な引用
operators write the policy as a plain-language question at inference time, and the model returns a calibrated safety score from a single forward pass
Shieldstral-1.0-3B fits in 16GB of VRAM in BF16, runs on a single GPU
reports 84.9% average F1 on text safety — matching GPT-OSS-Safeguard-20B
That collapses prompt classification, response moderation, refusal detection, and toxicity detection into one problem — and it means the policy lives entirely in the prompt.
編集コメントを表示
編集コメント
Mistral AI は、従来のハードコーディングされたカテゴリに縛られない柔軟な安全分類器を公開し、実用性と性能の両面で大きな進歩を示した。特に小規模チームやオンプレミス環境でも高品質なモデレーションが可能になる点は、業界全体の標準化に向けた重要な一歩となるだろう。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
Mistral AI は、コンテンツモデレーションを有害カテゴリの固定された分類体系ではなく、単なる「はい/いいえ」の質問として扱うオープンウェイトかつポリシー適応型のマルチモーダル安全分類器「Shieldstral 1.0 3B」を発表しました。多くのガードレールモデルはカテゴリリストを重みの中に埋め込んでいるため、新しい展開コンテキストに合わせて再ターゲットするには再学習が必要になります。その結果、サイバーセキュリティ研究ツールでは許容されるコンテンツが、メンタルヘルスプラットフォームでは有害と見なされるという矛盾が生じます。Shieldstral はこの構造を逆転させます。運用者は推論時に平易な言語でポリシーを記述するだけで、モデルは単一の順方向パスを通じてキャリブレーションされた安全スコアを返します。Ministral-3-3B-Base-2512 をベースに、ネイティブの Pixtral ビジョンエンコーダーを搭載し、Apache 2.0 ライセンスで公開されています。テキスト安全性における平均 F1 スコアは 84.9% で、GPT-OSS-Safeguard-20B と同等の性能を達成しています。また、マルチモーダル安全性では 83.8% を記録し、Mistral が評価したすべてのベースラインを上回っています。
導入可能でしょうか？
はい、ローカル環境でも可能です。Shieldstral-1.0-3B は BF16 で 16GB の VRAM に収まり、単一の GPU で動作します。商用・非商用を問わず Apache 2.0 ライセンスで利用できます。提供パスも既に整備されています。vLLM（≥0.26.0、推奨）、GGUF 変換による llama.cpp（Q8_0/Q5_K_M/Q4_K_M量子化対応）、SGLang、Transformers です。Axolotl を通じたファインチューニングにも対応しています。この分類器は 1 トークンを出力するだけなので、GPT-OSS-Safeguard-20B のような推論ベースのガードレールに比べて、レイテンシとコストは大幅に低減されます。
16GB というメモリフットプリントは、モデレーションベンダーとの契約コストを正当化できないシード期の AI プロダクトチームにとって手頃なサイズです。一方で、オープンライセンスとセルフホスティングの仕組みは、データ主権や監査要件のために VPC 内やオンプレミス環境にガールレール（安全装置）が必要となる中堅・大企業向けにも適しています。
マルチテナント型の SaaS ベンダーにとっては特に大きなメリットがあります。1 つのチェックポイントで、顧客ごとに異なるポリシーを適用できるからです。
注目すべき業界は、消費者向けソーシャルメディアやユーザー生成コンテンツ（UGC）プラットフォーム、教育テックと児童安全に関わるサービス、ヘルスケアやメンタルヘルスアプリ、フィンテックと保険サポートの自動化、ゲームや音声チャット、マーケットプレイスおよび広告・クリエイティブ審査、そして主権要件を持つ公共セクターでの展開です。
具体的な活用例としては、ユーザーからのプロンプトのモデレーション、モデル回答のモデレーション、拒絶判定、広告やミーム画像とそのキャプションのレビュー、トレーニングデータや RAG コーパスの選別、エージェントパイプラインにおける出力ゲート制御、テナントごとのポリシー適用などが挙げられます。出力がラベルではなく連続スコアであるため、各用途に合わせて閾値を調整したり、境界線上のスコアは自動ブロックせず人間によるレビューへルーティングしたりする柔軟な運用が可能です。
モデレーションは「Yes/No」の二択問題として扱われます。固定されたシステムメッセージでタスクを定義し、ユーザーメッセージには 3 つのフィールドを含めます。1 つ目は評価の文脈と厳格度を表す evaluation_context、2 つ目は単一の Yes/No 質問として表現されたポリシー policy_question、そして 3 つ目はプロンプト、回答、あるいはプロンプトと回答のペア、さらにオプションでテキストを含む画像などです。
推論時には、モデルは「yes」と「no」のトークン ID のみに対してアンエムベッドを行い、ソフトマックス正規化して連続スコアに変換します。このスコアを τ=0.5 で閾値処理することで、プロンプト分類、レスポンスモデレーション、拒否検出、毒性検出といった複数のタスクを単一の問題として統合できます。つまり、ポリシーは完全にプロンプト内に定義されることになります。
Mistral のガイダンスでは、呼び出しごとに 1 つのポリシーが適用されます。広範な安全・不安全の判定が必要な場合は、カテゴリ一覧を指定し、単一のワイドなクエリを実行してください。
データレシピ
このモデルの優位性は規模ではなく、データにあります。約 5,410 万サンプル（オープンソーステキスト 4,520 万件、合成対照テキスト 440 万件、マルチモーダルデータ 450 万件）を学習に使用しています。
テンプレートベースの統合レイヤーが、各データセットごとのプロセッサを通じて、すべてのデータを「指示–クエリ–ドキュメント」形式へ統一します。これには、表現のランダム化と厳格さの調整が含まれており、敵対的なジールブレイク試行に対しては厳しく、レスポンス品質に関するデータに対しては緩やかに設定されます。
特に興味深いのは、対照的生成（contrastive generation）です。LLM が安全なテキストを、特定の違反カテゴリに抵触するが、その兄弟カテゴリには抵触しない不安全なバリアントへと書き換えます。これにより、同一コンテンツ上で「正例」と「ハードネガティブ」の 2 つを一度の呼び出しで生成できます。
この手法は、モデルに対して粗い安全/不安全の二分ではなく、「どのポリシーが違反されたか」を学習させるものです。画像データはテキストのように合成できないため、汎用画像データをネガティブサンプルとして補完し、14 のサブカテゴリからなる視覚分類体系に基づいてクエリを変異させ、さらにビジョン・ランゲージの再ランク付けフィルタリングを適用しています。
学習には LoRA による微調整の後に、3 つのモデルを SLERP で結合するプロセスが用いられます。その比率は、公開データと生成データを 0.6、公開データのみを 0.3、Ministral-3B-Instruct を 0.1 とします。
結果について
テキスト安全性の評価では、Shieldstral は平均 F1 スコア 84.9% を記録し、GPT-OSS-Safeguard-20B（84.9%）と並んで比較対象の中で最小サイズのモデルとなりました。特に ToxicChat（84.1）、HarmBench（99.4）、Aegis v2 response（87.2）の各ベンチマークで勝利を収めています。
マルチモーダル安全性においては、全体スコア 83.8% を記録し、OmniGuard-7B の 77.6% を上回っています。また VLGuard（97.7）や UnsafeBench（81.8）でもリードしていますが、LlavaGuard-7B は同名のベンチマークにおいて依然として 81.4% で首位を維持しています。
適応性に関するベンチマークでは、意図的に分岐させた分類体系（12 のスーパークラス、26 のサブカテゴリ、52 のリーフカテゴリ）と 90 の固定クエリに基づいており、リーフカテゴリは学習データと 1 対 1 で対応していません。この条件下で Shieldstral は F1 スコア 91.3% を達成しました。これは GPT-OSS-Safeguard-20B（94.1%）や Nemotron-3.5-Safety-4B（91.8%）には及びませんが、推論プロセスの追跡を生成することなくこのスコアを出しています。
拒絶検出の精度は全体で 91.5% で、GPT-OSS-Safeguard-20B の 93.7% に次ぐ結果でした。
弱点について
多言語プロンプト分類においては、アラビア語とインドネシア語、そして RTP-LX プロンプト（Nemotron-3.5-Safety-4B の 86.1% に対し 70.3%）で遅れをとっています。また、Mistral は敵対的または隠蔽された入力や、非常に長いドキュメントに対する信頼性の低下も指摘しています。
学習済みコンテキストは 12 か国語に対応し、最大 32k トークンです。
主なポイント
- Apache 2.0 ライセンスの 3B モデルでマルチモーダルガードレールとして機能します。ポリシーは推論時に自然言語の質問として提示され、再学習は不要です。
- テキスト F1 スコア 84.9% は 20B モデルと同等であり、評価されたベースラインの中でマルチモーダル F1 スコア 83.8% は最高クラスです。
ポリシーの一般化を実現する実際のメカニズムは、兄弟対照的な書き換えを含む 5410 万サンプルです。
単一の順方向パスで単一トークンを出力し、τ=0.5 で連続スコアを算出。リアルタイムゲート処理にも十分なコスト効率です。
弱点としては、低リソース言語への対応、難読化された入力、長文ドキュメントの扱いが挙げられます。
原文を表示
Mistral AI has released Shieldstral 1.0 3B, an open-weights, policy-adaptive multimodal safety classifier that treats content moderation as a single yes/no question rather than a fixed taxonomy of harm categories. Most guardrail models bake their category list into the weights, so re-targeting one to a new deployment context means retraining — and the same content can be acceptable on a cybersecurity research tool while being harmful on a mental-health platform. Shieldstral inverts that: operators write the policy as a plain-language question at inference time, and the model returns a calibrated safety score from a single forward pass. Built on Ministral-3-3B-Base-2512 with a native Pixtral vision encoder and released under Apache 2.0, it reports 84.9% average F1 on text safety — matching GPT-OSS-Safeguard-20B — and 83.8% on multimodal safety, ahead of every baseline Mistral evaluated.
Is it deployable?
Yes, and locally. Shieldstral-1.0-3B fits in 16GB of VRAM in BF16, runs on a single GPU, and is licensed Apache 2.0 for commercial and non-commercial use. Serving paths are already in place: vLLM (≥0.26.0, recommended), llama.cpp via GGUF conversion with Q8_0/Q5_K_M/Q4_K_M quantization, SGLang, and Transformers — with fine-tuning supported through Axolotl. The classifier emits one token, so latency and cost sit far below reasoning-based guards like GPT-OSS-Safeguard-20B.
Which level of company: the 16GB footprint puts it within reach of seed-stage AI product teams that cannot justify a moderation vendor contract, while the open license and self-hosting story suit mid-market and enterprise teams that need guardrails inside a VPC or on-prem for data-residency and audit reasons. Multi-tenant SaaS vendors get a specific win — one checkpoint can enforce a different policy per customer.
Industries: consumer social and UGC platforms, ed-tech and child-safety surfaces, healthcare and mental-health apps, fintech and insurance support automation, gaming and voice chat, marketplaces and ad/creative review, and public sector deployments with sovereignty requirements.
Applications: user-prompt moderation, model-response moderation, refusal classification, image-plus-caption review for ads and memes, training-data and RAG-corpus curation, output gating in agentic pipelines, and per-tenant policy enforcement. Because the output is a continuous score rather than a label, teams can tune the threshold per surface or route borderline scores to human review instead of hard-blocking.
Moderation as a binary question
Shieldstral reduces moderation to one yes/no question. A fixed system message establishes the task; the user message carries three fields: <Instruct> (evaluation context and strictness), <Query> (the policy, phrased as a single yes/no question), and <Document> (a prompt, a response, a prompt–response pair, or an image with optional text).
At inference the model unembeds only toward the yes and no token IDs and softmax-normalizes them into a continuous score, thresholded at τ=0.5. That collapses prompt classification, response moderation, refusal detection, and toxicity detection into one problem — and it means the policy lives entirely in the prompt. Mistral’s guidance is one policy per call; for a broad safe/unsafe verdict, list the categories in <Instruct> and ask a single wide <Query>.
The data recipe
The claimed advantage comes from data, not scale: roughly 54.1M samples — 45.2M open-source text, 4.4M synthetic contrastive text, 4.5M multimodal. A template-based unification layer converts every dataset into the same instruction–query–document format via per-dataset processors, with randomized phrasings and calibrated strictness (strict for adversarial jailbreaks, lenient for response-quality data).
The more interesting piece is contrastive generation. An LLM rewrites safe text into an unsafe variant that violates a target category but deliberately not its sibling, producing a positive and a hard negative over identical content in one call. That teaches the model which policy is violated rather than a coarse safe/unsafe split. Image data — which cannot be synthesized the way text can — is supplemented with general-purpose image datasets as negatives, query mutation across a 14-subcategory visual taxonomy, and vision–language reranker filtering.
Training is LoRA fine-tuning followed by a three-way SLERP merge: 0.6 public+generated, 0.3 public-only, 0.1 Ministral-3B-Instruct.
Results
On text safety, Shieldstral reports 84.9% average F1, tying GPT-OSS-Safeguard-20B (84.9%) as the smallest model in the comparison, with wins on ToxicChat (84.1), HarmBench (99.4), and Aegis v2 response (87.2). On multimodal safety it reports 83.8% overall versus 77.6% for OmniGuard-7B, leading VLGuard (97.7) and UnsafeBench (81.8); LlavaGuard-7B still leads its namesake benchmark at 81.4.
On the adaptability benchmark — built on a deliberately divergent taxonomy of 12 super classes, 26 subcategories, and 52 leaf categories with 90 fixed queries, where no leaf maps one-to-one to training — Shieldstral scores 91.3% F1, behind GPT-OSS-Safeguard-20B (94.1%) and Nemotron-3.5-Safety-4B (91.8%), but without generating a reasoning trace. Refusal detection lands at 91.5% overall against 93.7% for GPT-OSS-Safeguard-20B.
Where it is weaker: multilingual prompt classification lags on Arabic and Indonesian and on RTP-LX prompts (70.3 vs 86.1 for Nemotron-3.5-Safety-4B). Mistral also flags reduced reliability on adversarial or obfuscated inputs and very long documents. Trained context is 32k tokens across 12 languages.
Key Takeaways
3B Apache 2.0 multimodal guardrail; policy is a plain-language question at inference time, no retraining.
84.9% text F1 ties a 20B model; 83.8% multimodal F1 is best-in-class among evaluated baselines.
54.1M samples with sibling-contrastive rewrites is the actual mechanism behind policy generalization.
Single forward pass, single token out, continuous score at τ=0.5 — cheap enough for real-time gating.
Weak spots: low-resource languages, obfuscated inputs, long documents.
Check out the Paper, Model on Hugging Face, and Technical Details. Also, feel free to follow us on Twitter and don’t forget to join our 150k+ML SubReddit and Subscribe to our Newsletter. Wait! are you on telegram? now you can join us on telegram as well.
Need to partner with us for promoting your GitHub Repo OR Hugging Face Page OR Product Release OR Webinar etc.? Connect with us
The post Mistral AI Releases Shieldstral 1.0 3B: An Open-Weights Policy-Adaptive Multimodal Safety Classifier Matching Models 7× Its Size appeared first on MarkTechPost.
関連記事
News to Guide
ニュースの次に確認する
発表内容を、現在の料金や仕様と照らし合わせられる関連ガイドです。
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み