Le Shieldstral de Mistral place votre politique de modération dans le prompt, pas dans les poids

La plupart des modèles de garde-fou figent une taxonomie fixe de catégories de préjudice dans leurs poids. Pointez-les vers un nouveau produit et vous les réentraînez. Shieldstral, un classifieur de sécurité 3B publié par Mistral sous licence Apache 2.0 le 4 août, repose sur le postulat inverse : la politique vit dans le prompt, et le modèle la lit comme une question.

L'argument est que la sécurité est contextuelle. Le même contenu peut être acceptable sur un outil de recherche en cybersécurité et nuisible sur une plateforme de santé mentale, comme le dit Mistral : aucun ensemble unique de catégories de préjudice ne convient à tous les déploiements. Shieldstral demande aux développeurs de fournir la définition au moment de l'inférence plutôt que de l'intégrer dans le modèle. Mistral affirme que le résultat égale des garde-fous open source jusqu'à sept fois sa taille sur la sécurité textuelle, tout en établissant un nouvel état de l'art en modération multimodale, le tout fonctionnant sur un seul GPU de 16 Go.

La modération comme question binaire

Chaque requête envoyée à Shieldstral comporte trois parties. Une instruction définit le contexte d'évaluation, la sévérité et, facultativement, une définition de ce qui est considéré comme dangereux. Une requête est une question unique à réponse oui/non, dans l'exemple même de l'entreprise : "Est-ce que ce contenu promeut la violence physique ?" Le document est ce qui est jugé : un prompt, une réponse, une paire prompt-réponse, ou une image avec du texte facultatif.

À l'inférence, le modèle lit les logits oui et non et les normalise par softmax en un score de sécurité continu. Une seule formulation regroupe la classification des prompts, la modération des réponses, la détection des refus et la détection de toxicité en un seul problème. Parce que la politique réside entièrement dans le prompt, un seul checkpoint s'adapte à de nouvelles politiques au moment du déploiement, sans réentraînement.

Comment un modèle 3B rivalise avec des garde-fous sept fois sa taille

Shieldstral est volontairement petit, et le récit de Mistral sur les benchmarks repose sur les données. Sur la sécurité textuelle, la détection des refus, l'adaptabilité des politiques et les benchmarks multimodaux, l'entreprise affirme qu'il égale ou surpasse les modèles de garde-fou open source jusqu'à sept fois sa taille. Tous les échantillons d'évaluation ont été exclus de l'entraînement.

Les jeux de données publics sur la sécurité divergent sur les taxonomies, les étiquettes et les conventions d'annotation ; chacun est donc converti dans le même format instruction-requête-document avec un processeur dédié par jeu de données, et le libellé est varié pour que le modèle généralise à travers les formulations plutôt que de mémoriser un seul style. La sévérité est calibrée par source : stricte pour les jailbreaks adversariaux, indulgente pour les données de qualité de réponse.

L'étape la plus inhabituelle est l'entraînement contrastif. Mistral a généré des paires de politiques délibérément similaires et a fait réécrire par un LLM des textes sûrs de sorte que chaque réécriture viole une politique mais pas sa jumelle. Cela force le modèle à distinguer les limites d'une politique spécifique, une compétence que l'entreprise affirme se transférer à des politiques qu'il n'a jamais vues.

Les images sont plus difficiles car les visuels dangereux ne peuvent pas être synthétisés comme le texte. L'équipe s'est appuyée sur des jeux de données d'images généralistes comme négatifs de haute qualité, a muté les requêtes pour augmenter les données, et a filtré chaque paire image-requête via un reranker vision-langage pour réduire les données mal étiquetées. Le checkpoint final fusionne trois modèles affinés par LoRA via SLERP : l'un calibré sur des données publiques, l'autre entraîné sur la discrimination fine des politiques, et le modèle instruct de base. Le pipeline a été exécuté sur Forge, la plateforme de Mistral pour entraîner et évaluer des modèles personnalisés.

Le réentraînement reste la norme de l'industrie

Shieldstral arrive à un moment où la solution standard à une faille de sécurité est un autre classifieur. Lorsqu'un contournement signalé de Claude Fable 5 d'Anthropic a été divulgué, la réponse a été d'entraîner un classifieur amélioré ; Anthropic a déclaré que la technique spécifique était ensuite bloquée dans plus de 99 % des cas. Cela fonctionne, c'est coûteux, et cela répond à une technique signalée à la fois.

L'argument de Mistral est que cette boucle disparaît : le même checkpoint répond à des politiques qu'il n'a jamais vues parce que la politique est une entrée, pas des poids. C'est une approche différente de celle choisie par Google DeepMind avec ShieldGemma 2, un jeu de données de notation de sécurité entraîné sur les sorties de Gemma 4. Deux directions, un même problème ouvert.

Mistral a publié Shieldstral en tant que membre inaugural de l'Open Secure AI Alliance, aux côtés de NVIDIA et d'autres organisations.

Ce que la publication de lancement laisse en suspens

Rien de tout cela ne tranche la question de savoir si des politiques au niveau du prompt résistent à une pression adversariale. Un classifieur qui accepte des politiques sous forme libre crée une nouvelle surface d'attaque : si quelqu'un peut confondre la question, le jugement suit. La publication de Mistral n'aborde pas ce mode de défaillance, et les benchmarks exclus de l'entraînement ne sont pas un déploiement. Cette affirmation d'état de l'art sera réellement testée lorsque des tiers mèneront leurs propres évaluations sur les poids publiés.

La feuille de route à laquelle l'entreprise s'est engagée comprend la couverture multilingue, la robustesse sur documents plus longs et une sécurité multimodale élargie. Les checkpoints sont sous licence Apache 2.0, donc les tests n'ont pas à attendre. Le pari est que la sécurité est une question, pas une liste de catégories, et avec des poids publics, la réponse viendra de là où le modèle sera déployé, pas de la publication de lancement.