Shieldstral 1.0 3B: la politica di sicurezza è una frase che scrivete voi, non una clausola

Mistral ha pubblicato Shieldstral 1.0 3B con pesi aperti sotto licenza Apache 2.0: «Open weights for both commercial and non-commercial use». È un classificatore di sicurezza — decide se un contenuto rispetta una politica — costruito su Ministral-3-3B-Base-2512 «with a native Pixtral vision encoder», che produce il verdetto «from a single forward pass». La caratteristica che lo distingue da un moderatore tradizionale sta in una frase della scheda tecnica: invece di prevedere un elenco fisso di categorie decise a monte, «Shieldstral evaluates content against a safety policy expressed in natural language and returns a single continuous safety score». La politica non la fissa il fornitore in fabbrica: si può ridefinire «at inference time, without retraining» — al momento dell’uso, senza riaddestrare nulla.

Come funziona, in pratica

Ogni interrogazione è un messaggio di sistema fisso — «Judge whether the Document meets the requirements based on the Query and the Instruction provided. Note that the answer can only be “yes” or “no”» — più un messaggio utente in tre campi: <Instruct> fissa il contesto e la severità («high-level task framing»), <Query> pone un’unica domanda sì/no sul contenuto, <Document> porta il contenuto da valutare — testo, immagine, o coppia prompt-risposta. La scheda tecnica è netta su un punto: «One policy per query». Per controllare due politiche diverse si fanno due interrogazioni, non una sola con due regole mescolate. L’uscita è un singolo token, sì o no; dalle probabilità dei due token, renormalizzate, si ricava un punteggio continuo, che nei benchmark del produttore viene sogliato a 0,5 — ma quella soglia, a differenza del punteggio, non è un dato del modello: è un parametro che si imposta. Il modello è compatto — «a 3B checkpoint that runs on a single GPU», e la scheda precisa che «fits in 16GB of VRAM in BF16» — copre dodici lingue, italiano compreso, ed è stato addestrato «on sequences of up to 32k tokens»; per il contesto più ampio la scheda stessa avverte: «while it theoretically supports a 256k context window, we recommend keeping your context within the training range».

I numeri, per intero — non solo le vittorie

Sui benchmark di classificazione dei prompt, Shieldstral segna il massimo del confronto su HarmBench (99,4 di F1) e su ToxicChat (84,1); nel multimodale segna 97,7 su VLGuard. Sono risultati forti, e vanno detti. Ma sul benchmark multilingue RTP-LX Prompt segna 70,3, contro l’86,1 di Nemotron-3.5-Content-Safety-4B e l’83,9 di GPT-OSS-Safeguard-20B: su quel test è nettamente indietro, non di un decimale. E qui serve una precisazione che di solito manca: l’F1 non è un tasso di errore — è la media armonica di precisione e richiamo, e da 70,3 non si ricava «sbaglia una volta su cinque». Dice però una cosa netta: su quel test una quota consistente dei casi finisce dalla parte sbagliata, per falso allarme o per mancato allarme, e i due errori non costano uguale. Un falso allarme blocca un documento legittimo; un mancato allarme lo lascia passare. Questo non è un controllo che garantisce un esito — è un controllo che produce una prova, da verificare, non un muro su cui appoggiarsi senza guardare oltre. La scheda tecnica lo scrive da sola, alla voce limiti: «reliability varies across languages and domains represented unevenly in the training data»; «synthetic and public safety data retain some bias and noise»; e soprattutto — perché è la condizione in cui un classificatore di sicurezza viene attaccato davvero — «adversarial / obfuscated inputs (encoded or transliterated text) and very long documents can reduce reliability».

Un modello nuovo, non uno standard

Verificato da noi il 6 agosto 2026: il repository mistralai/Shieldstral-1.0-3B su Hugging Face segna 166 download e 128 like. Sono pochi. Non lo scriviamo per sminuirlo — la licenza è aperta, l’architettura è pulita, i benchmark forti dove sono forti — ma perché la nostra credibilità sta proprio in questa riga: è un modello nuovo, adottato ancora da pochissimi, e non lo presentiamo come uno standard di mercato. Lo è, semmai, un candidato da mettere alla prova sui propri dati prima di ogni altra cosa.

Il rovescio costruttivo di ieri

Ieri abbiamo scritto di contratti AI per la difesa statunitense in cui le garanzie vivono in clausole che nessuno riesce a farsi mostrare — nemmeno una senatrice degli Stati Uniti, che ha dovuto chiederle per lettera senza ottenerle. Questo pezzo è il rovescio costruttivo di quel problema, non la sua soluzione magica: qui la garanzia non è una clausola affidata alla parola di un fornitore. È un file che si scarica, si ispeziona riga per riga, si esegue su una macchina propria — «deployed locally», in 16 GB di memoria video. Non elimina l’errore, che resta misurato dai benchmark sopra. Elimina il punto cieco: nessuno deve credere sulla parola a chi ha scritto il classificatore, perché il classificatore lo si legge.

Tre conseguenze concrete

La politica è una frase che scrivete voi. Non un elenco di categorie deciso da un fornitore lontano, ma la vostra regola interna — «esce da qui qualcosa che identifica un fornitore?», «questa risposta cita un documento riservato?» — scritta in italiano, tenuta nel vostro repository, versionata come si versiona il codice.

L’uscita è un numero, e la soglia è vostra. Il modello non decide da solo dove passa il confine fra sicuro e non sicuro: restituisce un punteggio, e chi lo usa sceglie dove tagliarlo. È la differenza fra «il sistema ha bloccato» — un comportamento opaco di cui fidarsi — e «il sistema ha assegnato 0,72 con soglia a 0,50, il 6 agosto, su questa politica in questa versione» — una decisione documentata, che si può motivare a un’ispezione o a un cliente.

Gira dentro il perimetro, su una sola GPU. Il contenuto da esaminare non esce per essere esaminato. È il paradosso di ogni moderazione affidata a un servizio esterno: per sapere se un documento è riservato, con un servizio esterno bisognerebbe prima mandarlo fuori — esattamente il rischio che si voleva evitare.

I due assi, applicati qui

La regola interna scritta in <Instruct> e <Query> diventa un controllo che gira davvero sui documenti e sui sistemi del cliente, non un parere che si chiude in un file: la traccia da esibire a un’ispezione è data, documento, politica applicata e sua versione, punteggio, soglia in vigore, esito — prodotta dal sistema, non riassunta a mano dopo. Lo stesso impianto che verifica tiene insieme i dati sparsi dell’organizzazione — impianti, archivi, gestionali, sensori, documenti — in un modello operativo unico su cui agenti AI eseguono decisioni con un operatore al comando: per grandi imprese, difesa, pubblica amministrazione e sanità. I nostri sistemi restano multimodello — questo classificatore si sostituisce quando volete, anche solo per confrontarlo con un altro — perché il valore non sta nel modello di turno: sta nella vostra ontologia, nei vostri dati, nei vostri processi. Sempre in entrambe le modalità: on-premise su macchine autonome che non richiedono un’integrazione profonda nella vostra rete, oppure cloud dedicato con data center in Italia — e sempre con gestione condivisa, perché non dovete già avere in casa chi amministra un classificatore di sicurezza.

Volete verificare Shieldstral, o un altro classificatore, sui vostri documenti prima di scriverlo in un capitolato? Mezz’ora con un nostro esperto, senza costi: mettiamo alla prova la vostra politica scritta in italiano, non il benchmark del produttore.