何が起きたか
フランスのMistralが、安全性分類器「Shieldstral」を公開しました。パラメータ数は30億で、ライセンスはApache 2.0のオープンウェイトです。ベースはMistral自社のMinistral-3Bで、画像入力にはPixtralのビジョンエンコーダを組み合わせています。論文の著者には共同創業者のGuillaume Lample氏が名を連ねています。
最大の違いは判定インターフェースです。従来のガードモデルは「暴力」「性的」といった固定タクソノミーに沿って分類しますが、Shieldstralは運用者が実行時に平文で書いた質問——たとえば「Does this content promote violence?（このコンテンツは暴力を助長しているか）」——に対してYESかNOのどちらかだけを返します。システムはその応答確率から0〜1の安全性スコアを算出します。出力は1トークンのみです。
なぜ重要か
著者らは固定タクソノミーの限界を2点挙げています。ひとつは、公開されている安全性データセットのリスク分類が互いに食い違いすぎていて、共通のタクソノミーを組めないこと。もうひとつは、同じルールがすべての用途に当てはまらないことです。セキュリティ製品では適切な内容が、メンタルヘルスのプラットフォームでは有害になり得る、という例が挙げられています。
つまりShieldstralは「誰かが決めたカテゴリ」を輸入するのではなく、自社アプリの文脈に合わせた審査基準を、再学習なしにその場で書き換えられる設計になっています。安全性分類器は主モデルの前後——プロンプト投入前と応答返却前——に置かれ、全リクエストが通過するため、サイズ・速度・コストが積み上がりやすい部分です。3Bで済むこと自体が実務上の意味を持ちます。
学習データの作り方が肝
研究チームは安全性・有害コンテンツ・操作（マニピュレーション）試行を含む約5,410万件の事例をひとつの形式に統合しました。標的型の操作には厳格な基準、一般的な安全性データには中程度、応答品質には緩やかな基準を適用しています。各事例は「タスク指示＋具体的なYES/NOの質問＋審査対象コンテンツ」の三点セットです。
特徴的なのは2つの工夫です。別の言語モデルに安全なテキストを不安全な変種へ書き換えさせて微細な差を学ばせたこと。そして各事例に「似ているが却下すべき近接カテゴリ」を含め、単なる安全／不安全の二分ではなく、近いルール同士を切り分ける訓練を課したことです。細粒度カテゴリでの検証では、この合成カテゴリデータがF1を23.3ポイント押し上げており、研究者は新ルールへの適応力の主因だとしています。
スコアの読み方
テキスト系の統合ベンチマークでShieldstralはF1 84.9%。約7倍サイズのGPT-OSS-Safeguard-20Bと同率で、Qwen3Guard-8B（84.0%）、Nemotron-3.5-Safety-4B（83.3%）、LlamaGuard-4-12B（69.1%）を上回ります。画像および画像＋テキストでは83.8%で、OmniGuard-7B（77.6%）やLlavaGuard-7B（71.6%）を引き離し、Mistralは画像とテキストの同時分類で新記録だとしています。
一方、学習カテゴリと異なる、あるいは完全に新規のルールを使う適応性ベンチマークではGPT-OSS-Safeguard-20Bが94.1%で首位、Shieldstralは91.3%です。ただし著者らは、GPT-OSS-SafeguardとNemotron-3.5-Safetyが長い中間推論を生成して計算コストを押し上げるのに対し、Shieldstralは1語を返すだけである点を挙げ、実運用ではより実践的だと主張しています。適応性テストのカテゴリは学習セットとは別に、異なる名称・粒度で作られており、細粒度カテゴリのどれも学習カテゴリと直接一致せず、大分類12のうち10に大まかな対応があるだけだとされています。
フィルタのチューニングは事故になる
この領域の失敗コストを示したのがAnthropicのClaude Fable 5です。Artificial Analysisの計測では、タスクの8〜9%が自動的に弱いモデルへ振り分けられていました。ある医学物理士は業務上「nuclear」という語が頻出するため使い物にならないと述べ、MRI解析が生物テロとして検知されたという報告もありました。Anthropicは安全上の問題を特定した後にフィルタを強化し、無害なコーディングタスクをより頻繁にブロックするようになったと述べています。加えてFable 5の審査では、入出力を最大30日間、ルール違反があった場合は最大2年間保存することが求められます。
分類器そのものは既に広く使われています。OpenAIはChatGPTの年齢自動判定に分類器を用い、感情的なリクエストを安全フィルタ経由でより厳格なモデルへ回しています。Claude Codeは外部スクリプト、本番デプロイ、force pushのブロックに分類器を使っています。Shieldstralの主張は、この「厳しすぎる／緩すぎる」のトレードオフの制御権を、他社のカテゴリを借りる側から、自社アプリに合わせて実行時に基準を書く側へ移す、というものです。
💼 事業会社視点：これは自社にどう効くか
日本企業にとっての含意は「AI安全対策の内製化コストが一段下がった」ことです。これまで問い合わせ対応やコンテンツ審査にLLMを組み込む際、ガードレールは外部APIか大型のガードモデルに頼るしかなく、全リクエストが通過する以上、レイテンシと単価が事業性を直撃していました。3Bで1トークンしか返さないApache 2.0モデルが選択肢になれば、オンプレや自社VPC内での前段フィルタが現実解になります。
特に効くのはECとSaaSです。ECのレビュー・出品審査では、扱う商材によって許容範囲がまったく違います（刃物、医薬部外品、アダルト隣接カテゴリ）。固定タクソノミーでは店舗単位・カテゴリ単位の運用差を吸収できませんが、質問を書き換えるだけで基準を切り替えられるなら、審査ルールの改訂がモデル再学習ではなく設定変更になります。金融・医療・製造の受託開発では、Fable 5で起きた「nuclear」問題がそのまま自社案件のリスクです。原子力、爆薬、感染症、与信否決といった語が日常業務語である顧客に対し、他社のカテゴリを流用したフィルタを載せると、納品後に「使えない」と言われます。
事業責任者が今週やるべきことは3つです。第1に、自社プロダクトで過剰ブロックが起きている割合を実測すること（Anthropicの事例では8〜9%が別ルートに回されていました）。第2に、審査基準を「カテゴリ名」ではなく「YES/NOで答えられる日本語の質問文」として棚卸しし、ドメイン語彙の誤検知を洗い出すこと。第3に、入出力の保存期間と保存場所を契約レベルで確認すること。外部の安全審査を使う限り、最大30日・違反時最大2年といった保持条件が顧客データに及びます。オープンウェイトのガードモデルは、この保持条件を自社の管轄に戻す手段でもあります。