Mistral Shieldstral は、Mistral AI が2026年8月4日に公開した3Bパラメータのセーフティ分類器で、テキスト安全性で20B級のモデルと同水準のスコアを記録しました。
📖 この記事で分かること
- Shieldstral 1.0 の規模・ライセンス・動作要件
- 固定カテゴリ方式と自然文ポリシー方式の違い
- ベンチマークで強い軸と届かなかった軸
- 日本語圏で採用する際に必要な検証
💡 知っておきたい用語
- guard model:AIへの入力と出力を横で見張り、社内ルールに触れる内容を検知する「門番」役の小型モデル。本体のAIとは別に置く。
最終更新日: 2026年8月5日
▶ 公式ページ
- Introducing Shieldstral(Mistral AI)
- Shieldstral 論文(arXiv)
Shieldstral 1.0 とは何か
Mistral AI が 2026年8月4日に公開した、テキストと画像を扱うセーフティ分類器です。
この記事のポイント
- Mistral AI が2026年8月4日、guard model「Shieldstral 1.0」(2026年8月時点)をApache 2.0で公開。
- 3Bパラメータながらテキスト安全性の平均F1は84.9%で、GPT-OSS-Safeguard-20B と同水準。
- 単一の16GB NVIDIA GPU【ジーピーユー】で動作。ポリシー適応性は91.3%で20B級の94.1%に届かない。
生成AIを業務に載せるとき、モデル本体の賢さとは別に「入ってくる質問」と「出ていく回答」を検査する層が要ります。この検査役が guard model で、Shieldstral はその新顔です。ベースは Ministral-3B-Base-2512(Mistral-3 ファミリー)で、Pixtral のビジョンエンコーダによりテキストと画像をネイティブに扱います。重みは Apache 2.0 のオープンウェイトとして提供されます。
規模は 3B パラメータ。公式は「最大7倍のサイズのオープンな guard model と同等かそれ以上」と主張しており、テキスト安全性・拒否検出・ポリシー適応性・マルチモーダルの4軸で比較しています。
「カテゴリ表」から「自然文のポリシー」へ
今回の本質は精度よりも、ポリシーの渡し方が変わった点にあります。
従来の guard model の多くは、あらかじめ決めた分類表を持っています。暴力、性的表現、自傷といったカテゴリが番号付きで固定されており、モデルはそのどれに当たるかを返します。運用側の都合に合わせて基準を変えたければ、追加学習が必要でした。
Shieldstral は違う経路を取ります。運用者が自然文で書いたポリシーを、推論時にそのまま渡します。入力は <Instruct> / <Query> / <Document> という構造化フィールドで、モデルは「このポリシーに照らして問題か」という問いに答える形で判定します。再学習は不要です。
出力も「安全/危険」の二値ラベルではありません。1回の forward pass で、キャリブレーション済みの連続的な安全スコアを返します。しきい値を業務ごとに変えられるため、社内チャットでは緩め、顧客向け窓口では厳しめ、といった運用が同じ重みのまま成立します。
この設計は、LLM【エルエルエム】を業務に組み込む側の実情に沿っています。企業の利用ガイドラインは「暴力表現の禁止」のような一般的な項目だけでなく、「自社の未発表製品名に触れさせない」「特定の取引条件を回答させない」といった固有の条項を含みます。固定カテゴリ表では表現できなかったこの手のルールを、文章のまま投げられるのが差分です。
ベンチマークで強い軸と、届かなかった軸
評価は16ベンチマーク・21スプリットにわたります。WildGuardTest、ToxicChat、Aegis および Aegis v2、HarmBench、PolyGuard(17言語)、RTP-LX(28言語)、VLGuard、UnsafeBench、LlavaGuard が含まれます。
数値は軸によってはっきり分かれます。
| 評価軸 | Shieldstral(3B) | 比較対象 |
|---|---|---|
| テキスト安全性(平均F1) | 84.9% | GPT-OSS-Safeguard-20B:84.9% |
| マルチモーダル安全性(平均F1) | 83.8% | OmniGuard-7B:77.6% |
| ポリシー適応性(F1) | 91.3% | GPT-OSS-Safeguard-20B:94.1% |
テキスト安全性は20B級と同点です。パラメータ数がおよそ7分の1であることを踏まえると、実運用でのコスト差は大きくなります。マルチモーダルでは平均83.8%で OmniGuard-7B の77.6%を上回りました。学習には450万件のマルチモーダルサンプルが使われ、14の視覚安全サブカテゴリでクエリ変異を施しています。ただし LlavaGuard-7B は自身の名を冠する LlavaGuard ベンチで81.4%を記録しており、個別ベンチでは専用モデルが強い場面も残ります。
一方、ポリシー適応性は91.3%で、GPT-OSS-Safeguard-20B の94.1%に2.8ポイント届きません。自然文ポリシーを売りにした設計でありながら、その軸だけは大型モデルが上です。
論文は限界も明示しています。アラビア語やインドネシア語をはじめとする低リソース言語の Prompt Classification で性能が落ちる、と書かれています。日本語の個別スコアは公表されていません。
導入を検討する側の判断材料
動作要件が現実的である点が、検討の入口になります。
単一の16GB NVIDIA GPU で動くため、本番のリクエスト経路に検査層として挟んでも、専用の大規模な推論基盤を用意せずに済みます。Apache 2.0 のオープンウェイトなので、外部APIに問い合わせを送らず自社環境内で完結させられます。入力プロンプトごと外部に出せない業種では、この点が採否を分けます。
一方で、日本語圏での採用には自前の検証が前提になります。多言語ベンチは PolyGuard の17言語と RTP-LX の28言語で実施されていますが、日本語単体の数値は示されていません。低リソース言語で落ちるという記述がある以上、自社のガイドラインと実データで再現するまでは、精度を前提に運用設計を固めない方が安全です。
判定のしきい値を業務別に決める作業も必要です。連続スコアを返す設計は柔軟ですが、裏を返せば「どこで切るか」を運用側が決めなければ機能しません。誤って止める(過剰遮断)と見逃しのどちらを重く見るかは、窓口の性質によって変わります。
編集部の見方
編集部は、今回の発表で最も効くのは精度そのものより ガードレールの調達コストが下がったこと だと見ます。
- 根拠1: テキスト安全性の平均F1が84.9%で、GPT-OSS-Safeguard-20B と同水準。約7分の1の規模で並んだため、検査層に割く計算資源の見積もりが変わります。
- 根拠2: 単一の16GB NVIDIA GPU で動作し、Apache 2.0 で配布されます。外部送信を避けたい環境でも、自社内に検査層を置く構成が現実的な費用で組めます。
- 根拠3: 自然文ポリシーを推論時に渡す方式のため、ガイドライン改定のたびに再学習を回す運用が不要になります。社内規程の更新頻度が高い組織ほど差が出ます。
ただし万能な置き換えとは考えません。看板であるポリシー適応性が91.3%と20B級の94.1%に届いておらず、低リソース言語の弱点も論文が自ら認めています。日本語の個別スコアは公表なしです。現時点では「日本語の実データで自社検証を通せた組織から順に」という温度が妥当です。
この見方が変わる条件は2つあります。日本語を含む個別言語のスコアが公表され、ポリシー適応性でも20B級に並ぶ更新が出た場合、検証負荷が下がって採用の初速は一気に上がります。逆に、他社が同等の自然文ポリシー方式をより小さい規模で出してきた場合、優位性は再びサイズと運用性の側に移ります。
よくある質問
Q: Shieldstral は生成AI本体の代わりになりますか
A: なりません。役割は入力と出力を検査する門番で、回答を生成するモデルとは別に配置します。既存の生成AIの前後に挟んで使います。
Q: 商用利用はできますか
A: 重みは Apache 2.0 のオープンウェイトとして公開されています。ライセンス条項の詳細は公式発表と論文で確認してください。
Q: 日本語での精度はどの程度ですか
A: 日本語単体のスコアは公表されていません。多言語評価は PolyGuard(17言語)と RTP-LX(28言語)で行われていますが、論文はアラビア語やインドネシア語など低リソース言語で性能が落ちると明記しています。日本語での採用は自社データによる検証が前提になります。
まとめ
Mistral AI は2026年8月4日、3Bパラメータのセーフティ分類器 Shieldstral 1.0 を Apache 2.0 で公開しました。テキスト安全性の平均F1は84.9%で GPT-OSS-Safeguard-20B と同水準、マルチモーダルは83.8%です。固定カテゴリ表ではなく自然文ポリシーを推論時に渡す設計により、社内規程の改定に再学習なしで追随できます。ポリシー適応性は91.3%と20B級に2.8ポイント届かず、低リソース言語の弱点も論文が認めているため、日本語圏での採用は自前の検証を挟むのが現実的です。
【用語解説】
- オープンウェイト: モデルの重みファイルが配布され、自社のサーバー上で動かせる形態。APIとして外部に問い合わせる方式と対になる。
- F1: 見逃しの少なさと誤検知の少なさを合わせて1つにまとめた指標。片方だけ高くても値は上がらない。
- キャリブレーション: モデルが出す確信度の数値を、実際の的中率と合うように調整すること。しきい値を業務ごとに決める前提になる。
引用元:
- [1] Introducing Shieldstral.(Mistral AI)
- [2] Shieldstral(論文)(arXiv)
- [3] AI News Today(AI Weekly)
この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。
15 年以上の開発経験を持つソフトウェアエンジニア / テクノロジーライター。AI エージェントの実務活用を研究し、現場や経営者向けセミナーでその知見を発信。本メディア tech-noisy.com では、一次情報に基づく最新ニュース・解説記事を執筆。また、音楽生成 AI による DJ パフォーマンスを企業イベントで行うなど、テクノロジーと表現の融合も探求している。
