Shieldstral : Mistral compile sa doctrine en 3,8 milliards de paramètres

Kernpunkte

1. Die zentrale Idee, für sich genommen bemerkenswert. Die Frage lautet nicht „welches Modell moderiert am besten?“, sondern „wo wohnt das Sicherheitsnetz?“. Zwei entgegengesetzte Antworten, im Abstand von zwei Monaten von zwei Anbietern gegeben: | | Anthropic (9. Juni 2026) | Mistral (4. August 2026) | |---|---|---| | Ort | in den Gewichten des Modells | neben dem Modell, eine separate Komponente | | Wer definiert die Richtlinie | der Anbieter | der Betreiber | | Wer ist vom Sicherheitsnetz ausgenommen | wer vom Anbieter zugelassen wird (Project Glasswing) | nicht anwendbar | | Vertriebsmodell | Fable 5 öffentlich / Mythos 5 eingeschränkt | Apache 2.0 offene Gewichte | → Dies ist keine technische Meinungsverschiedenheit, sondern eine Meinungsverschiedenheit darüber, wer die Legitimität besitzt zu entscheiden, was erlaubt ist. Siehe [[anthropic-claude-fable-5-mythos-5-2026-06-09]] für das gegensätzliche Lager und [[mensch-mistral-commission-enquete-vulnerabilites-numeriques-souverainete-ia-2026-05-13]] für Menschs frühere Position.
2. Der Mechanismus, in drei Zeilen. Prompt = (1) Kontext + Schweregrad, (2) eine einzige geschlossene Frage („ruft dieser Inhalt zu Gewalt auf?“), (3) der zu beurteilende Inhalt. Ausgabe = yes / no, und der Softmax über nur diese beiden Tokens liefert einen kontinuierlichen Score zwischen 0 und 1. Praktische Konsequenz: Dies ergibt einen schwellenwertfähigen Skalar statt eines binären Urteils – genau das macht die Kalibrierung möglich (siehe unten).
3. Was wirklich neu ist. Die Richtlinie ist nicht erlernt. Llama Guard 4 bettet die zur Trainingszeit fixierte MLCommons-Taxonomie ein; Shieldstral liest die eigene Richtlinie in natürlicher Sprache zur Inferenzzeit, und man ändert sie ohne erneutes Training. Das Modell lernt nicht was verboten ist, es lernt, eine ihm vorgegebene Regel anzuwenden.
4. Die Zahl, die den Rest erklärt. – die Anpassungsfähigkeit stammt nicht aus der Architektur, sondern aus den eigens zum Training erzeugten Daten: | Schritt | F1 „Anpassungsfähigkeit der Richtlinie“ | |---|---| | Fine-Tuning nur auf öffentlichen Datensätzen | 61,1 % | | + 4,4 Mio. von einem LLM generierte kontrastive Paare | +23,3 Pkt. | | + Zusammenführung von drei Checkpoints | 91,3 % | → Das kontrastive Paar ist das Konzept, das man wirklich behalten sollte: derselbe Inhalt, umgeschrieben, um eine Richtlinie zu verletzen, aber nicht die benachbarte Richtlinie. Es ist das einzige Signal, das das Modell zwingt, die Frage zu lesen statt ein Thema zu erkennen. Ein übertragbares Muster für jeden per Instruktion steuerbaren Klassifikator.
5. Das Datenblatt, um zu entscheiden, ob es auf der eigenen Hardware läuft. 3,8 Mrd. tatsächliche Parameter (das „3B“ ist abgerundet), Basis Ministral 3 + Vision-Encoder Pixtral (daher multimodal: Text und Bild), 12 Sprachen, 16 GB VRAM in BF16, Apache 2.0. Dies ist die Klasse „eine Consumer-Grafikkarte“ – die Dimensionierung ist Teil des politischen Arguments, nicht nur des Produkts.
6. Die Benchmarks, mit Vorbehalt. 84,9 % durchschnittlicher Text-F1, auf Augenhöhe mit GPT-OSS-Safeguard-20B (7× so groß), vor Qwen3Guard-8B (84,0), weit vor LlamaGuard-4-12B (69,1). All diese Zahlen stammen von Mistral, auf von Mistral gewählten Testdatensätzen, ohne unabhängige Bewertung bis zum 6. August 2026. Der Autor äußert den Vorbehalt selbst – man sollte ihn beim Zitieren des Ergebnisses nicht verlieren.
7. Die drei Einsatzregeln – das umsetzbare Ergebnis der Notiz. 1. Zwei Schwellenwerte kalibrieren auf einem hauseigenen gelabelten Datensatz, anstatt den Standardwert 0,5 zu akzeptieren: automatische Freigabe unterhalb des ersten, automatische Ablehnung oberhalb des zweiten, menschliche Prüfung dazwischen. (Der kontinuierliche Score existiert genau dafür.) 2. Die aktive Richtlinienfrage bei jeder Entscheidung protokollieren – sie dient bei einem Audit als Begründung, da das Modell selbst keine liefert. 3. Das Paar Erwähnung/Befürwortung und die tatsächlich genutzten Sprachen testen vor dem produktiven Einsatz. → Und eine vierte, separate Regel: einen eigenen Prompt-Injection-Detektor beibehalten. Shieldstral filtert Inhalte, es schützt keinen Agenten vor einem präparierten Dokument. Eine Unterscheidung, die man nicht verwischen sollte – siehe [[valente-zalewski-beyond-zero-enterprise-security-ai-era-2026-07-20]] und [[sfeir-anthropic-sdlc-ai-native-securise-2026-07-26]].
8. Der Voltaire-Test – das zitierwürdige Gegenbeispiel. Im Hacker-News-Thread reicht ein Nutzer das erste Kapitel des Traktats über die Toleranz mit der Frage ein, ob dieser Text zu Gewalt gegen eine geschützte Gruppe aufruft. Antwort: ja. Der Klassifikator verwechselt das Erwähnen von Gewalt mit deren Befürwortung – der klassische Fehlalarm dieser Gattung, gewonnen an einem der Gründungstexte der Toleranz. Mistral räumt zudem Schwächen bei verschleierten Eingaben, langen Dokumenten, Arabisch und Indonesisch ein.
9. Die Auditierbarkeitslücke, die vor jedem regulierten Einsatz abzuwägen ist. Die Ausgabe ist yes/no plus ein Score, ohne Begründungsspur. Dennoch erbt der Betreiber die Taxonomie, die Kalibrierung und die Beweislast, jede Entscheidung im Rahmen eines AI-Act-Audits zu rechtfertigen – mit einem nackten Score als einzigem Beleg. Dies ist genau der Preis der Topologie „Sicherheitsnetz außerhalb des Modells“: Die Verantwortung wird übertragen, das dazugehörige Werkzeug nicht.
10. Die Verfügbarkeit zum 6. August 2026 (ein datierter Status, der neu geprüft werden sollte). kein kostenpflichtiger Endpunkt auf La Plateforme, kein offizieller Ollama-Eintrag, von der Community erstellte Quantisierungen, innerhalb von 48 Stunden veröffentlicht, deren Prüfsumme überprüft werden muss. Selbst-Hosting ist der einzige ernstzunehmende Weg – konsequent mit dem Produkt, aber in der Praxis auf Teams beschränkt, die in der Lage sind, ein Modell selbst zu hosten.
11. Die Souveränitätslesart. ein Filter, der vor Ort läuft, dessen Richtlinie vor Ort bleibt, dokumentiert im Hinblick auf den AI Act – dies ist ein Kästchen, das amerikanische Angebote für die von Mensch während der Anhörung genannten Kunden leer lassen (Verteidigungsministerium, BNP Paribas, französische und luxemburgische Regierungsverwaltungen). Dies knüpft direkt an die These aus sfeir-mistral-microsoft-souverainete-strategie-industrielle-2026-07-22 an: Souveränität wird Abhängigkeit für Abhängigkeit bewertet, als architektonische Eigenschaft – ein Sicherheitsnetz mit offenen Gewichten ist eine solche Eigenschaft. Auch verknüpfenswert mit mozilla-state-of-open-source-ai-2026-07 und deanwball-open-weights-decelerationnistes-kimi-2026-07-17 zum Stellenwert offener Gewichte in der Sicherheitsdebatte.
12. Meta / der Satz, den man behalten sollte. „Mistral wird nicht entscheiden, was akzeptabel ist, es stellt das Werkzeug bereit, damit man selbst entscheidet.“ Das ist die Doktrin, in einem Satz – und die Notiz zeigt, dass sie einen Preis trägt, nicht nur eine Tugend.