2026年8月4日，Mistral正式发布Shieldstral，一款拥有30亿参数、支持文本与图片的开源安全分类模型。它不把一套固定的“有害内容分类表”写死在模型里，而是允许开发者在运行时用自然语言描述审核政策，再判断某段文本或图片是否违反这项政策。Mistral公布的评测显示，Shieldstral在文本安全测试中的平均F1分数为84.9%，与参数量约为其6.7倍的GPT-OSS-Safeguard-20B持平；在多模态安全评测中获得83.8%，高于被比较的其他开放模型。它可以使用一张16GB显存的NVIDIA GPU本地部署，权重采用Apache 2.0许可。Shieldstral最重要的意义不只是“小模型打赢大模型”，而是尝试把内容安全从平台预先规定的固定标签，变成企业可以按产品、用户和场景动态定义的一层基础设施。不过，所有主要成绩都来自Mistral团队自己的技术报告，仍需独立测试验证，模型也不能替代人工复核和完整的安全体系。
文章作者、来源：Mistral AI
为什么不能给所有AI使用同一套安全标准
几乎每一个向公众开放的AI产品，都需要判断用户输入和模型输出是否安全。它可能需要识别暴力、仇恨、色情、自残、诈骗、违法活动、越狱提示和其他高风险内容，也要判断模型是不是按照要求拒绝了危险请求。
传统安全分类器通常预先设定一套风险目录。模型训练完成后，会把内容归入“暴力”“仇恨”“色情”或“安全”等固定类别。这种设计比较容易理解，却忽略了一个现实问题：内容是否可以接受，往往取决于它出现在哪里。
一段关于恶意软件的详细技术描述，放在网络安全研究工具中可能完全合理；同样的内容如果出现在面向普通用户的自动操作Agent里，就可能需要被阻止。涉及自残的文字，在新闻报道、心理健康求助和鼓励伤害的帖子中，也具有完全不同的含义。
如果每次调整产品政策都需要重新标注数据、训练分类器和部署新版本，安全系统就很难跟上业务变化。Mistral因此把Shieldstral设计成一个“政策自适应”模型：审核规则不完全固化在权重里，而是在每次调用时作为自然语言输入。
把内容审核改写成一道是非题
Shieldstral把不同审核任务统一成一个二元问答问题。一次请求包含三个部分：审核场景与严格程度、需要判断的具体政策，以及被检查的文本或图片。
开发者可以告诉模型：“你正在审核一个面向未成年人的产品，请采用严格标准”，然后提出“这张图片是否包含不适合未成年人的色情内容？”模型读取图片和附带文字后，只在“yes”和“no”两个Token之间计算概率，并把它们归一化成一个连续分数。
这意味着产品不必只接受模型预设的风险标签。企业可以询问“这段回答是否泄露个人财务信息”“这张图片是否美化吸毒行为”，或者“助手是否真正拒绝了用户的危险请求”。只要问题能够清楚地表达成是非判断，同一套模型就可以在不重新训练的情况下切换政策。
连续分数也比单纯输出“安全”或“不安全”更方便部署。企业可以自动放行低风险内容，把模棱两可的结果送给人工审核，并只自动拦截高置信度违规内容。阈值还可以根据场景调整：儿童产品可以更严格，内部研究工具则可以保留更大的讨论空间。
但这种设计也有明显代价。Shieldstral只给出分数或是非答案，不会像推理模型那样详细说明它为什么拦截内容。用户申诉、监管审计或开发者排查误判时，仅靠一个概率可能并不足够。
5400万条样本解决的不是规模，而是标准冲突
按照技术报告，Shieldstral使用约5410万条整理或生成的训练样本，其中包括4520万条开源文本样本、440万条合成对比文本样本和450万条多模态样本。
困难并不是简单地把这些数据放在一起。不同安全数据集采用的标签体系、严格程度和标注方式往往彼此矛盾：有的数据只有“安全/不安全”两个标签，有的包含多级风险目录，还有的数据专门判断模型是否拒绝回答。
Mistral把这些数据统一转换成“指令—问题—内容”的格式，并改变问题措辞、分隔符和审核语境，避免模型只记住某一种提示模板。
团队还专门生成了大量容易混淆的对比样本。例如，两条规则可能分别询问内容是否“描述暴力”以及是否“鼓励暴力”。同一段文字可能符合前者，却不符合后者。让模型反复区分这些相近边界，目的在于教会它理解当前提出的政策，而不是看到某个敏感词就直接判定违规。
视觉内容的数据更难获得。研究团队使用通用图片作为高质量负样本，修改审核问题以增加覆盖范围，再通过视觉语言模型过滤可能出现错误标签的图片—问题组合。Shieldstral本身建立在Ministral-3B基础模型之上，并沿用了Pixtral视觉编码器，因此文本、图片以及图文组合可以使用同一个审核接口。
30亿参数是否真的追上了200亿参数
Mistral在16个基准、21个数据拆分上将Shieldstral与10款开放安全模型进行了比较。根据团队公布的结果，Shieldstral在文本安全分类上的平均F1分数为84.9%，与GPT-OSS-Safeguard-20B的84.9%持平。后者约有200亿参数，并在相关测试中使用较高推理强度；Shieldstral则只有30亿参数，并直接生成单Token判断。论文评测部分提供了完整测试口径。
在专门检测模型是否正确拒绝请求的测试中，Shieldstral也接近更大的模型。例如，它在WildGuardTest拒绝检测上得到90.3%，GPT-OSS-Safeguard-20B为93.9%；在XSTest上，两者分别为94.6%和94.9%。
政策适应性测试的结果更值得关注。研究团队特意设计了一套与训练分类法不同的评测目录，改变类别名称、层级和具体边界。Shieldstral得到91.3%的F1分数；GPT-OSS-Safeguard-20B为94.1%。Shieldstral并非最高，但用更小的规模和一次前向计算接近了会生成推理过程的大模型。
多模态测试中，Shieldstral的平均F1为83.8%，被比较模型中排名第一；第二名OmniGuard-7B为77.6%。不过，Shieldstral并没有在每项测试中都获胜。在LlavaGuard自己的同名数据集上，LlavaGuard-7B得到81.4%，Shieldstral为72.0%。这提醒我们，“整体平均第一”不代表所有内容类型都更可靠。
这些数字均来自Mistral团队发布的报告，目前不能视为已经经过充分独立复现的结论。各模型采用的输出方式和推理设置也不完全相同，例如部分模型生成推理过程，部分模型直接输出标签；因此，参数量与F1分数并不能完整代表实际延迟、吞吐量、误杀成本和生产环境可靠性。
开放权重让安全审核可以留在本地
Shieldstral采用Apache 2.0许可，允许商业和非商业使用。官方模型卡称，它以BF16精度运行时可以装入16GB显存，并支持vLLM、Transformers和llama.cpp。
对于医疗、金融、企业内部文档和私人通信等场景，这一点具有实际价值。开发者可以在自己的设备或服务器上检查内容，不必先把敏感文本和图片发送给外部审核API。小模型也更适合放在大模型输入和输出两端，对每一次请求都进行快速检查。
模型支持英语、中文、法语、西班牙语、德语、意大利语、葡萄牙语、荷兰语、日语、韩语、阿拉伯语和俄语。官方称模型理论上支持最长256K上下文，但训练时使用的序列不超过32K，因此建议实际审核内容保持在32K以内。
开放权重同样意味着企业可以检查、微调和部署模型，却不意味着审核结果天然透明。Shieldstral内部仍是一个神经网络分类器，单Token输出无法提供完整的可解释审计记录。开放的是模型的使用与研究条件，而不是每一次判断背后的清晰因果解释。
它是安全防线，不是安全保证
Mistral在模型卡中明确列出了几项限制。由于不同语言和领域在训练数据中的覆盖并不均匀，模型可靠性会随语言、行业和内容类型变化；公开数据和合成数据仍可能包含偏差或错误标签；经过编码、转写或故意混淆的对抗性文本，以及非常长的文档，都可能降低判断质量。
更重要的是，内容审核本身不是一个只有客观答案的技术问题。企业用自然语言制定的政策如果含糊、矛盾或带有偏见，模型即使准确执行，也可能产生不公平结果。动态政策让安全系统更灵活，同时也把更大的责任交给政策制定者。
因此，较合理的部署方式不是让Shieldstral独自决定所有内容的命运，而是把它作为分层安全体系中的第一道筛选：明显安全的内容快速放行，明显违规的内容拦截，高风险或置信度不足的内容进入人工复核，并通过实际误判数据不断调整规则和阈值。
Shieldstral显示出一条值得关注的模型发展路线：并非所有AI基础设施都需要越来越大的通用模型。对于边界明确、调用频繁、延迟敏感的任务，小型专用模型可以凭借高质量数据和更合适的任务定义，接近甚至超过大模型，同时让本地部署变得可行。