MistralがShieldstralを出荷、ランタイムポリシー制御を備えた3Bガードモデル

Why it matters

Mistral is extending its open-model strategy into the safety layer, where policy control, inference cost and data privacy increasingly shape which AI stacks enterprises adopt.

Mistral AI の共同創業者である Arthur Mensch、Guillaume Lample、Timothee Lacroix は、8月4日にShieldstralをリリースした。これは、推論時にプレーンな英語で書かれたモデレーション方針に従ってテキストと画像を評価する、30億パラメータのモデルを開発者に提供するものだ。

3人の創業者は閉鎖的なAI開発への直接的な挑戦を掲げて Mistral を構築した。Mensch は Google DeepMind 出身で、Lample と Lacroix は Meta に在籍していたと、Mistral の創業者経歴 は伝えている。2023年4月にパリのラボを設立して以来、彼らはモデルの重み、デプロイの選択、技術的な制御は顧客の手元にあるべきだと主張してきた。Shieldstral はその立場を安全性インフラストラクチャに拡張する：配備者が方針を定義し、分類器を実行し、どこで執行線を引くかを選ぶのだ。

Apache 2.0 の重み は Hugging Face を通じて入手可能だ。

そのフットプリントは重要だ。モデレーションは稀に一度きりのチェックで済むものではない。AI製品は同じやり取りの中でユーザーのプロンプト、取り出した文書、アップロードされた画像、生成された応答を検査することがある。より小さな分類器は、その経路の複数のポイントに配置でき、監督しているより大きなモデルの推論コストを負うことなく機能できる。

ポリシーはプロンプトの中にある

ほとんどのガードモデルは、暴力、ヘイトスピーチ、自傷行為などの事前定義されたカテゴリのリストに基づいて訓練される。分類体系を変更するには再訓練、ファインチューニング、またはモデル開発者が選んだカテゴリに新しいルールを押し込む必要が生じることがある。

Shieldstral はモデレーションを二者択一の質問応答タスクに変換する。各リクエストにはコンテキストと厳格さを定める指示、ポリシーを説明する「はい／いいえ」の質問、そして評価対象の文書が含まれる。文書はプロンプト、応答、プロンプトと応答のやり取り、画像、あるいはテキストを伴う画像でもよい。

たとえば、サイバーセキュリティツールは、応答が特定の脆弱性を悪用する手順を与えているかどうかを尋ねつつ、防御的な分析を許可するようにできる。メンタルヘルスサービスは自傷行為に関わるコンテンツに対してより厳しいルールを適用できる。どちらの用途も同じチェックポイントを使え、ポリシーの違いはリクエストで表現される。

Shieldstral は yes と no の語に対するロジットを読み取り、それらを連続的なスコアに正規化し、単一の生成トークンから判定を返す。オペレーターは閾値を選んだり、信頼度でケースをランク付けしたり、境界線上の素材を別の審査レイヤーに回したりできる。

Mistral のデータ賭け

技術報告書 は7月28日に投稿され、製品発表の6日前だった。Guillaume Lample（Mistral の共同創業者かつチーフサイエンティスト）を含む11名の著者が挙げられており、ほかに Antonia Calvi、Avinash Sooriyarachchi、Giada Pistilli、Maarten Buyl、Maximilian Augustin、Maximilian Muller、Pierre Stock、Tom Bewley、Wassim Bouaziz、Yimu Pan がいる。

彼らの中心的な賭けは、データセット構築により小さな安全モデルがはるかに大きなチェックポイントと競合できるようになるという点だ。研究者たちはオープンソースのテキスト、合成の対照テキスト、マルチモーダルデータからおよそ5,410万件の訓練サンプルを組み立てた。

これらのソースは互換性のないラベルや分類体系で到着した。Mistral はそれらを共通の指示-クエリ-ドキュメント形式に変換し、語彙や対話区切りを変化させ、ソースに応じて厳格さを調整した。敵対的なジェイルブレイクの例は、一般的な応答品質を測ることを意図したデータセットよりも厳しく扱われた。

研究者らはまた密接に関連したポリシーペアを生成した。LLM が安全なテキストを書き換えて、新しいバージョンがあるポリシーに違反する一方で隣接する別のポリシーは回避するようにした。その訓練手法は、固定されたカテゴリ名を丸暗記するのではなく、兵器について議論することと暴力を助長することの違いのような精密な境界を分類器に学習させることを意図している。

Shieldstral は Mistral の Ministral-3B アーキテクチャに基づき、マルチモーダル評価のために Pixtral ビジョンエンコーダを使用している。研究者たちは LoRA ファインチューニングを行い、SLERP でチェックポイントを統合し、公開データ、生成されたポリシーデータ、ベースの指示モデルで訓練されたモデルを組み合わせたと述べている。Mistral はこの作業がカスタムモデルの訓練、整合、評価のためのプラットフォームである Forge 上で行われたと述べている。

Forge は Mistral の創業者戦略における重要な部分だ。Mistral は企業に対してフルのモデル構築スタックを販売しつつ、そのスタックが何を生み出せるかを示す重みを引き続き公開している。Shieldstral はダウンロード可能なガードレールであり、注意深く構成されたデータが最先端規模のパラメータ数を必要とせずとも有用な専門モデルを生むことができるという Mistral の主張の証拠として機能する。

ベンチマークは出発点にとどまる

Mistral はテキスト安全性評価で平均 F1 スコア84.9%、3つのマルチモーダルベンチマークでは平均83.8%の F1、細粒度のポリシー適応性評価では91.3%の F1 を報告している。同社は Shieldstral がその7倍のサイズに相当するオープンガードモデルに匹敵するか、それを上回ると主張している。

これらは Mistral が作成した結果だ。比較対象はサンプル数、言語、有害コンテンツの定義が異なる公開ベンチマークにまたがっている。技術報告書には、いくつかのリソースが少ない言語や敵対的評価で性能が低下することも記載されている。

Mistral のリリース資料は本番運用面の疑問を残している。提示された研究では公表された Shieldstral の顧客、ユーザー、収益、価格、独立したベンチマーク結果は見つかっていない。これらのギャップは重要になるだろう。モデレーションの失敗は非対称なコストを伴うからだ。有害な項目を見逃すことと本来問題のない項目を誤ってブロックすることは異なるリスクを生み、正しい閾値は製品ごとに変わる。

近接する競合は設計上のトレードオフを示している。NVIDIA の Nemotron 3.5 Content Safety はカスタムポリシー対応、任意の推論トレース、付随する安全データセットを備えた40億パラメータのマルチモーダル分類器だ。Shieldstral はより小さなパラメータ数とワントークンスコアを提供し、監査可能な書面による説明よりもコンパクトな意思決定レイヤを重視している。

オープンな重みが安全性の主張の一部になる

Mistral は8月4日に Shieldstral をリリースしたが、これは NVIDIA が7月27日にOpen Secure AI Alliance を発表してから8日後のことだ。Mistral はその創設パートナーの一員であり、AI研究所、クラウドプロバイダー、セキュリティ企業、オープンソース組織と並んで参加している。グループは、防御側が自らのインフラ内で検査、改変、運用できる安全性とセキュリティのツールを必要としていると主張している。

そのフレーミングは Mensch、Lample、Lacroix が3年間かけて築いてきた戦略に合致する。RuntimeWire は7月に Mistral がLeanstral 1.5 を機械検証された数学的証明向けに公開したと報じた。5月には Mensch がフランスの議員に対してヨーロッパは2年で AI スタックの制御を構築する必要があると述べている(/article/mistral-arthur-mensch-europe-two-years-ai-sovereignty)。Shieldstral は執行レイヤに同じ議論を適用する：開発者は自分たちの製品で許可されるものを決めるシステムを検査し、ローカルで運用できるべきだ。

具体的なリリースは、ローカル展開の指示を伴うダウンロード可能な重みのセットだ。それはエンジニアリングチームにポリシーの文言、閾値、データ取り扱いに対する直接的な制御を与えると同時に、それらの選択を自社のユーザー、言語、失敗コストに照らしてテストする責任も負わせる。Shieldstral は彼らにコンパクトな道具を与える。その価値は、彼らが書くポリシーと、そのスコアを中心に構築する審査システムに依存するだろう。