Die Funktionsweise ist der eigentliche Fund. Die Modellkarte beschreibt die Moderation als „binary question-answering task“: Eine feste System-Nachricht („Judge whether the Document meets the requirements based on the Query and the Instruction provided.“) trifft auf eine Nutzer-Nachricht aus drei Teilen – Kontext, die eigentliche Ja-/Nein-Frage und das zu bewertende Material. Ausgewertet wird nicht der Text der Antwort, sondern deren Wahrscheinlichkeit: Man ruft den Endpunkt mit „max_tokens=1“ und aktivierten Token-Logprobs auf und normalisiert die Wahrscheinlichkeiten für „yes“ und „no“ zu einem Score. Damit deckt ein einzelner Checkpoint neue Richtlinien ohne Nachtraining ab – die Modellkarte nennt das „policy-adaptive“.
Technische Eckdaten laut Modellkarte: 3 Milliarden Parameter, Apache 2.0, Basis ist Ministral-3-3B-Base-2512 mit der Pixtral-Bildkomponente, trainiert auf Sequenzen von 32.000 Token (theoretisch bis 256.000), zwölf Sprachen (Englisch, Französisch, Spanisch, Deutsch, Italienisch, Portugiesisch, Niederländisch, Chinesisch, Japanisch, Koreanisch, Arabisch, Russisch). Der technische Bericht auf arXiv (eingereicht am 28. Juli 2026, Autorinnen und Autoren unter anderem Guillaume Lample, Giada Pistilli und Pierre Stock) nennt 54,1 Millionen Trainingsbeispiele und formuliert den Kernanspruch als Faktor 7 gegenüber größeren Vergleichsmodellen.
Die Zahlen im Einzelnen – alle anbieter-selbstberichtet. Prompt-Klassifikation (F1): HarmBench 99,4 % und ToxicChat 84,1 % jeweils als Bestwert im Vergleichsfeld, WildGuardTest 88,1 % knapp hinter Qwen3Guard-8B (88,2 %). Antwort-Klassifikation: WildGuardTest 80,4 %, HarmBench 87,0 %, BeaverTails 85,0 %. Multimodal: VLGuard 97,7 % als Bestwert, UnsafeBench 81,8 % gegenüber 72,6 % für OmniGuard-7B, LlavaGuard 72,0 %. Mehrsprachig: PolyGuard-Prompt 84,6 %, PolyGuard-Response 78,3 %. Als Vergleichsfeld führt die Karte GPT-OSS-Safeguard-20B, Qwen3Guard-8B, Nemotron-3.5-Safety-4B, LlamaGuard-4-12B, OmniGuard-7B und LlavaGuard-7B. ⚠️ Der Blogpost selbst zeigt nur Diagramme ohne Zahlenwerte; die von The Decoder genannten Mittelwerte (84,9 % Text, 83,8 % Bild, 91,3 % Adaptabilität gegenüber 94,1 % für GPT-OSS-Safeguard-20B) haben wir in Blogpost und Modellkarte nicht in dieser Form gefunden und führen sie deshalb als Lesart des Decoders, nicht als Primärangabe.
Einordnung: Shieldstral ist Mistrals drittes Moderationsmodell und das erste mit offenen Gewichten – die beiden Vorgänger waren gehostete APIs. In unseren Modell-Katalog nehmen wir es bewusst nicht auf: Der Katalog führt Allzweck-Frontier-Modelle, ein spezialisierter 3-B-Klassifikator gehört dort nicht hinein. Offen bleibt die für Guard-Modelle entscheidende Frage, die kein Anbieter-Benchmark beantwortet: wie robust die Klartext-Regel gegen gezielte Umgehungsversuche ist. Bis dahin gilt für Shieldstral, was für jeden Guardrail gilt – er misst, was man ihn zu messen bittet.