Shieldstral : Mistral compile sa doctrine en 3,8 milliards de paramètres

Kernpunkte

1. ⭐⭐ Die zentrale Idee, es lohnt sich, sie für sich zu behalten. Die Frage lautet nicht „welches Modell moderiert am besten?“, sondern „wo lebt das Sicherheitsnetz?“. Zwei entgegengesetzte Antworten, im Abstand von zwei Monaten von zwei Anbietern gegeben: | | Anthropic (9. Juni 2026) | Mistral (4. August 2026) | |---|---|---| | Ort | in den Gewichten des Modells | neben dem Modell, eine separate Komponente | | Wer die Richtlinie festlegt | der Anbieter | der Betreiber | | Wer vom Sicherheitsnetz ausgenommen ist | wer vom Anbieter zugelassen wird (Project Glasswing) | nicht zutreffend | | Verteilungsmodell | Fable 5 öffentlich / Mythos 5 eingeschränkt | Apache 2.0 offene Gewichte | → Dies ist keine technische Meinungsverschiedenheit, sondern eine Meinungsverschiedenheit darüber, wer die Legitimität besitzt, über das Erlaubte zu entscheiden. Siehe [[anthropic-claude-fable-5-mythos-5-2026-06-09]] für das gegenüberliegende Lager und [[mensch-mistral-commission-enquete-vulnerabilites-numeriques-souverainete-ia-2026-05-13]] für Menschs frühere Position.
2. ⭐ Der Mechanismus, in drei Zeilen. Prompt = (1) Kontext + Schweregrad, (2) eine einzige geschlossene Frage („ruft dieser Inhalt zu Gewalt auf?“), (3) der zu beurteilende Inhalt. Ausgabe = yes / no, und der Softmax allein über diese beiden Tokens ergibt einen kontinuierlichen Score zwischen 0 und 1. Praktische Konsequenz: Man erhält einen schwellenwertfähigen Skalar, kein binäres Urteil — genau das macht eine Kalibrierung möglich (siehe unten).
3. Was wirklich neu ist. Die Richtlinie wird nicht erlernt. Llama Guard 4 bettet die zum Trainingszeitpunkt eingefrorene MLCommons-Taxonomie ein; Shieldstral liest die eigene Richtlinie in natürlicher Sprache zur Inferenzzeit und man ändert sie ohne erneutes Training. Das Modell lernt nicht, was verboten ist, sondern eine ihm vorgegebene Regel anzuwenden.
4. ⭐ Die Zahl, die den Rest erklärt. — die Anpassungsfähigkeit stammt nicht aus der Architektur, sondern aus eigens zum Erlernen hergestellten Daten: | Schritt | F1 „Anpassungsfähigkeit an Richtlinien“ | |---|---| | Fine-Tuning nur auf öffentlichen Sets | 61,1 % | | + 4,4 Mio. vom LLM erzeugte kontrastive Paare | +23,3 Pkt. | | + Zusammenführen dreier Checkpoints | 91,3 % | → Das kontrastive Paar ist das eigentlich Merkenswerte: derselbe Inhalt, umgeschrieben, um eine Richtlinie zu verletzen, nicht aber die dazu benachbarte Richtlinie. Es ist das einzige Signal, das das Modell zwingt, die Frage zu lesen, statt ein Thema zu erkennen. Übertragbares Muster für jeden instruktionssteuerbaren Klassifikator.
5. Das Datenblatt, um zu entscheiden, ob es auf der eigenen Hardware läuft. 3,8 Mrd. tatsächliche Parameter (die „3B“ runden ab), Ministral 3-Basis + Pixtral-Vision-Encoder (daher multimodal: Text und Bild), 12 Sprachen, 16 GB VRAM in BF16, Apache 2.0. Das ist die Klasse „eine Consumer-GPU“ — die Dimensionierung ist Teil des politischen Arguments, nicht nur des Produkts.
6. ⚠️ Die Benchmarks, mit ihrem Vorbehalt. 84,9 % durchschnittlicher Text-F1, auf Augenhöhe mit GPT-OSS-Safeguard-20B (×7 der Größe), vor Qwen3Guard-8B (84,0), weit vor LlamaGuard-4-12B (69,1). All diese Zahlen stammen von Mistral, auf von Mistral gewählten Testsets, ohne unabhängige Evaluation zum 6. August 2026. Der Autor formuliert den Vorbehalt selbst — nicht weglassen, wenn man das Ergebnis zitiert.
7. ⭐⭐ Die drei Einsatzregeln — der handlungsrelevante Kern der Notiz. 1. Zwei Schwellenwerte kalibrieren an einem hausinternen gelabelten Set, statt den Standardwert 0,5 zu übernehmen: automatische Freigabe unterhalb des ersten, automatische Ablehnung oberhalb des zweiten, menschliche Prüfung dazwischen. (Genau dafür existiert der kontinuierliche Score.) 2. Die aktive Richtlinienfrage bei jeder Entscheidung protokollieren — sie dient als Begründung in einem Audit, da das Modell selbst keine liefert. 3. Das Paar Erwähnung/Befürwortung sowie die tatsächlich verwendeten Sprachen testen, bevor produktiv eingesetzt wird. → Und eine vierte, separate Regel: einen eigenen Prompt-Injection-Detektor beibehalten. Shieldstral filtert Inhalte, es schützt keinen Agenten vor einem präparierten Dokument. Eine Unterscheidung, die man nicht verwischen sollte — vgl. [[valente-zalewski-beyond-zero-enterprise-security-ai-era-2026-07-20]] und [[sfeir-anthropic-sdlc-ai-native-securise-2026-07-26]].
8. ⚠️ Der Voltaire-Test — das Gegenbeispiel, das es wert ist, zitiert zu werden. Im Hacker-News-Thread reicht ein Nutzer das erste Kapitel des Traktats über die Toleranz mit der Frage ein „befürwortet dieser Text Gewalt gegen eine geschützte Gruppe?“. Antwort: yes. Der Klassifikator verwechselt die Erwähnung von Gewalt mit ihrer Befürwortung — der klassische Fehlalarm dieser Modellklasse, hier ausgerechnet an einem der Gründungstexte der Toleranz erzielt. Mistral räumt zudem Schwächen bei verschleierten Eingaben, langen Dokumenten, Arabisch und Indonesisch ein.
9. Die Auditierbarkeitslücke, vor jedem regulierten Einsatz zu bewerten. Die Ausgabe ist yes/no plus ein Score, keine Begründungsspur. Dennoch erbt der Betreiber die Taxonomie, die Kalibrierung und die Beweislast, jede Entscheidung in einem AI-Act-Audit zu rechtfertigen — mit einem bloßen Score als einzigem Beleg. Das ist genau der Preis der Topologie „Sicherheitsnetz außerhalb des Modells“: Die Verantwortung wird übertragen, das Werkzeug für diese Verantwortung nicht.
10. Verfügbarkeit zum 6. August 2026 (eine Momentaufnahme, erneut zu prüfen). kein kostenpflichtiger Endpunkt auf La Plateforme, kein offizieller Ollama-Eintrag, community-erstellte Quantisierungen, innerhalb von 48 Stunden veröffentlicht, deren Prüfsumme verifiziert werden muss. Self-Hosting ist der einzige ernsthafte Weg — konsequent im Sinne des Produkts, doch die Nutzung ist de facto Teams vorbehalten, die wissen, wie man ein Modell hostet.
11. ⭐ Die Souveränitätslesart. ein Filter, der On-Premises läuft, dessen Richtlinie On-Premises bleibt, dokumentiert gegen den AI Act — ein Punkt, den US-amerikanische Angebote für die von Mensch in seiner Anhörung genannten Kunden (Verteidigungsministerium, BNP Paribas, französische und luxemburgische Regierungsverwaltungen) offenlassen. Dies knüpft unmittelbar an die These von [[sfeir-mistral-microsoft-souverainete-strategie-industrielle-2026-07-22]] an: Souveränität qualifiziert sich abhängigkeitsweise, als architektonische Eigenschaft — ein Sicherheitsnetz mit offenen Gewichten ist eine solche Eigenschaft. Ebenfalls in Bezug zu setzen zu [[mozilla-state-of-open-source-ai-2026-07]] und [[deanwball-open-weights-decelerationnistes-kimi-2026-07-17]] zum Stellenwert offener Gewichte in der Sicherheitsdebatte.
12. Meta / der Satz, den man behalten sollte. „Mistral entscheidet nicht, was zulässig ist, es stellt das Werkzeug bereit, damit man selbst entscheidet.“ Das ist die Doktrin, in einem Satz — und die Notiz zeigt, dass sie einen Preis hat, nicht nur eine Tugend.