---
title: "Shieldstral 1.0 3B: la politica di sicurezza è una frase che scrivete voi, non una clausola"
description: "Mistral pubblica Shieldstral, classificatore di sicurezza a pesi aperti Apache 2.0: la politica si scrive in linguaggio naturale, non in una clausola."
url: https://csidia.com/note-operative/guardrail-pesi-aperti-politica-invece-di-clausola/
lang: it
date: 2026-08-06
label: "Osservatorio"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/guardrail-pesi-aperti-politica-invece-di-clausola/
---

# Shieldstral 1.0 3B: la politica di sicurezza è una frase che scrivete voi, non una clausola

Mistral ha pubblicato **Shieldstral 1.0 3B** con pesi aperti sotto licenza **Apache 2.0**: «Open weights for both commercial and non-commercial use». È un classificatore di sicurezza — decide se un contenuto rispetta una politica — costruito su Ministral-3-3B-Base-2512 «with a native Pixtral vision encoder», che produce il verdetto «from a single forward pass». La caratteristica che lo distingue da un moderatore tradizionale sta in una frase della scheda tecnica: invece di prevedere un elenco fisso di categorie decise a monte, «Shieldstral evaluates content against a safety policy expressed in natural language and returns a single continuous safety score». La politica non la fissa il fornitore in fabbrica: si può ridefinire «at inference time, without retraining» — al momento dell'uso, senza riaddestrare nulla.

## Come funziona, in pratica

Ogni interrogazione è un messaggio di sistema fisso — «Judge whether the Document meets the requirements based on the Query and the Instruction provided. Note that the answer can only be "yes" or "no"» — più un messaggio utente in tre campi: ` ` fissa il contesto e la severità («high-level task framing»), ` ` pone un'unica domanda sì/no sul contenuto, ` ` porta il contenuto da valutare — testo, immagine, o coppia prompt-risposta. La scheda tecnica è netta su un punto: «One policy per query». Per controllare due politiche diverse si fanno due interrogazioni, non una sola con due regole mescolate. L'uscita è un singolo token, sì o no; dalle probabilità dei due token, renormalizzate, si ricava un punteggio continuo, che nei benchmark del produttore viene sogliato a 0,5 — ma quella soglia, a differenza del punteggio, non è un dato del modello: è un parametro che si imposta. Il modello è compatto — «a 3B checkpoint that runs on a single GPU», e la scheda precisa che «fits in 16GB of VRAM in BF16» — copre dodici lingue, italiano compreso, ed è stato addestrato «on sequences of up to 32k tokens»; per il contesto più ampio la scheda stessa avverte: «while it theoretically supports a 256k context window, we recommend keeping your context within the training range».

## I numeri, per intero — non solo le vittorie

Sui benchmark di classificazione dei prompt, Shieldstral segna il massimo del confronto su HarmBench (99,4 di F1) e su ToxicChat (84,1); nel multimodale segna 97,7 su VLGuard. Sono risultati forti, e vanno detti. Ma sul benchmark multilingue RTP-LX Prompt segna **70,3**, contro l'86,1 di Nemotron-3.5-Content-Safety-4B e l'83,9 di GPT-OSS-Safeguard-20B: su quel test è nettamente indietro, non di un decimale. E qui serve una precisazione che di solito manca: l'F1 non è un tasso di errore — è la media armonica di precisione e richiamo, e da 70,3 non si ricava «sbaglia una volta su cinque». Dice però una cosa netta: su quel test una quota consistente dei casi finisce dalla parte sbagliata, per falso allarme o per mancato allarme, e i due errori non costano uguale. Un falso allarme blocca un documento legittimo; un mancato allarme lo lascia passare. Questo non è un controllo che garantisce un esito — è un controllo che produce una prova, da verificare, non un muro su cui appoggiarsi senza guardare oltre. La scheda tecnica lo scrive da sola, alla voce limiti: «reliability varies across languages and domains represented unevenly in the training data»; «synthetic and public safety data retain some bias and noise»; e soprattutto — perché è la condizione in cui un classificatore di sicurezza viene attaccato davvero — «adversarial / obfuscated inputs (encoded or transliterated text) and very long documents can reduce reliability».

## Un modello nuovo, non uno standard

Verificato da noi il 6 agosto 2026: il repository `mistralai/Shieldstral-1.0-3B` su Hugging Face segna **166 download e 128 like**. Sono pochi. Non lo scriviamo per sminuirlo — la licenza è aperta, l'architettura è pulita, i benchmark forti dove sono forti — ma perché la nostra credibilità sta proprio in questa riga: è un modello nuovo, adottato ancora da pochissimi, e non lo presentiamo come uno standard di mercato. Lo è, semmai, un candidato da mettere alla prova sui propri dati prima di ogni altra cosa.

## Il rovescio costruttivo di ieri

[Ieri abbiamo scritto](https://csidia.com/note-operative/contratti-ai-difesa-usa-clausole-non-leggibili) di contratti AI per la difesa statunitense in cui le garanzie vivono in clausole che nessuno riesce a farsi mostrare — nemmeno una senatrice degli Stati Uniti, che ha dovuto chiederle per lettera senza ottenerle. Questo pezzo è il rovescio costruttivo di quel problema, non la sua soluzione magica: qui la garanzia non è una clausola affidata alla parola di un fornitore. È un file che si scarica, si ispeziona riga per riga, si esegue su una macchina propria — «deployed locally», in 16 GB di memoria video. Non elimina l'errore, che resta misurato dai benchmark sopra. Elimina il punto cieco: nessuno deve credere sulla parola a chi ha scritto il classificatore, perché il classificatore lo si legge.

## Tre conseguenze concrete

**La politica è una frase che scrivete voi.** Non un elenco di categorie deciso da un fornitore lontano, ma la vostra regola interna — «esce da qui qualcosa che identifica un fornitore?», «questa risposta cita un documento riservato?» — scritta in italiano, tenuta nel vostro repository, versionata come si versiona il codice.

**L'uscita è un numero, e la soglia è vostra.** Il modello non decide da solo dove passa il confine fra sicuro e non sicuro: restituisce un punteggio, e chi lo usa sceglie dove tagliarlo. È la differenza fra «il sistema ha bloccato» — un comportamento opaco di cui fidarsi — e «il sistema ha assegnato 0,72 con soglia a 0,50, il 6 agosto, su questa politica in questa versione» — una decisione documentata, che si può motivare a un'ispezione o a un cliente.

**Gira dentro il perimetro, su una sola GPU.** Il contenuto da esaminare non esce per essere esaminato. È il paradosso di ogni moderazione affidata a un servizio esterno: per sapere se un documento è riservato, con un servizio esterno bisognerebbe prima mandarlo fuori — esattamente il rischio che si voleva evitare.

## Fonti

- [Mistral AI — annuncio di Shieldstral](https://mistral.ai/news/shieldstral/)
- [Hugging Face — mistralai/Shieldstral-1.0-3B, scheda del modello](https://huggingface.co/mistralai/Shieldstral-1.0-3B)
- [arXiv — rapporto tecnico Shieldstral (2607.25857)](https://arxiv.org/abs/2607.25857)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/guardrail-pesi-aperti-politica-invece-di-clausola/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com