8月7日、MarkTechPostが「Mistral AI Releases Shieldstral 1.0 3B: An Open-Weights Policy-Adaptive Multimodal Safety Classifier Matching Models 7× Its Size」と題した記事を公開した。Mistral AIがリリースしたオープンウェイトの安全分類器「Shieldstral 1.0 3B」は、「ポリシーをプロンプトとして推論時に渡す」という設計によって再学習なしに用途ごとのガードレールを切り替えられる点が最大の革新だ。この仕組みにより、3Bという軽量なパラメータ数でありながら、パラメータ数が7倍のGPT-OSS-Safeguard-20Bと同水準の性能（テキスト安全性 平均F1スコア84.9%）を達成している。
7倍のモデルと並ぶ性能を3Bで実現
AIアプリケーションへの安全対策（ガードレール）の導入は、サービスの性質や対象ユーザーによって求められる基準が大きく異なる。例えば、サイバーセキュリティ研究ツールでは許容されるコンテンツが、メンタルヘルスプラットフォームでは有害となるケースは珍しくない。従来のガードレールモデルはカテゴリ分類をウェイトに焼き込んでいるため、用途変更のたびに再学習が必要だった。
Mistral AIが公開した**Shieldstral 1.0 3Bはこの問題を正面から解決する設計を取る。コンテンツモデレーション（有害コンテンツの判定）を「Yes/Noの1問」に還元し、ポリシーをプロンプトとして推論時に渡す**仕組みだ。再学習なしにポリシーを切り替えられるため、マルチテナントSaaSであれば1つのチェックポイントで顧客ごとに異なるルールを適用できる。
性能面では、テキスト安全性で平均F1スコア84.9%を達成し、パラメータ数が7倍のGPT-OSS-Safeguard-20B（84.9%）と同水準に並んだ。マルチモーダル安全性では**83.8%**で、Mistralが比較対象としたベースラインの中で最高スコアだ（OmniGuard-7Bの77.6%を上回る）。ライセンスはApache 2.0で、商用・非商用を問わず利用できる。
推論の仕組み：1トークン出力で完結
入力フォーマットは3つのフィールドで構成される。
- **
<Instruct>**：評価文脈と厳格さの指定 - **
<Query>**：Yes/No形式で記述したポリシー - **
<Document>**：判定対象（プロンプト、レスポンス、あるいは画像＋テキストのペア）
モデルはyesとnoの2トークンIDに向けてのみアンエンベッディング（出力層での変換）を行い、ソフトマックスで連続スコアに変換する。閾値はτ=0.5。出力が1トークンで完結するため、推論コストとレイテンシはGPT-OSS-Safeguard-20Bのような推論トレースを生成するモデルと比べて大幅に低い。スコアが連続値であることから、サービスごとに閾値を調整したり、境界線上のケースをハードブロックではなく人間によるレビューにルーティングする運用も取れる。
54.1Mサンプルとコントラスティブ生成
性能の源泉はスケールではなくデータだとMistralは説明している。学習データは計54.1Mサンプル（オープンソーステキスト45.2M、合成コントラスティブテキスト4.4M、マルチモーダル4.5M）。
特徴的なのはコントラスティブ生成の手法だ。LLMが安全なテキストを「特定カテゴリのみ違反し、隣接カテゴリは違反しない」有害バリアントへと書き換えることで、正例と強力な負例（ハードネガティブ）を1回の推論で生成する。これにより、モデルは「安全か否か」の粗い判断ではなく「どのポリシーに違反しているか」を学習する。
学習はLoRAファインチューニング後、**SLERP**（球面線形補間）を用いた3ウェイのモデルマージで仕上げている。SLERPはモデルのウェイトを球面上で補間することで、単純な線形平均より品質劣化を抑えながら複数チェックポイントの特性を統合できる手法で、mergekitなどの実装を通じて近年のオープンソースモデル開発で広く使われている。マージ比率は公開＋生成データ系0.6、公開データ系0.3、Ministral-3B-Instruct系0.1。
デプロイ要件と弱点
16GB VRAMのGPU1枚で動作し（BF16）、対応サービング環境はvLLM（v0.26.0以上を推奨）、llama.cpp（GGUF変換：Q8_0/Q5_K_M/Q4_K_M）、SGLang、Transformers。ファインチューニングにはAxolotlのサポートがある。
一方、Mistral自身が認める弱点もある。アラビア語・インドネシア語などの低リソース言語での性能が落ちるほか、難読化された入力や長文ドキュメントへの信頼性も低下する（学習コンテキストは32kトークン、対応言語は12言語）。適応性ベンチマークではGPT-OSS-Safeguard-20B（94.1%）やNemotron-3.5-Safety-4B（91.8%）に及ばない91.3%にとどまっている。
まとめ
| 指標 | Shieldstral 1.0 3B | GPT-OSS-Safeguard-20B |
|---|---|---|
| テキスト安全性 平均F1 | 84.9% | 84.9% |
| マルチモーダル安全性 F1 | 83.8% | —（非公表） |
| 適応性ベンチマーク F1 | 91.3% | 94.1% |
| パラメータ数 | 3B | 20B |
| ライセンス | Apache 2.0 | 不明（要確認） |
「ポリシーをプロンプトで渡す」設計は、VPC内やオンプレミス環境でデータ主権を確保しつつ柔軟なガードレールを実現したいチームにとって実用的な選択肢になる。モデルの詳細や論文はHugging FaceおよびarXivで公開されている。
詳細はMistral AI Releases Shieldstral 1.0 3B: An Open-Weights Policy-Adaptive Multimodal Safety Classifier Matching Models 7× Its Sizeを参照していただきたい。
