Dans un atelier de mécanique, une pièce se contrôle de deux manières. Le calibre entre-n’entre pas ne mesure rien : il passe ou il ne passe pas. La machine tridimensionnelle produit un rapport opposable au client, mais elle immobilise la pièce et occupe un métrologue. L’un tient la cadence, l’autre tient devant un litige.
Les organisations qui ouvrent un assistant génératif à leurs salariés ou à leurs clients retombent sur le même dilemme. Chaque échange passe deux fois sous inspection, la demande avant qu’elle n’atteigne le modèle et la réponse avant qu’elle ne parte, et rien de cette double lecture n’ajoute la moindre fonction que l’utilisateur ait réclamée.
Mistral a livré le 4 août 2026 sa réponse à cette contrainte : Shieldstral, un modèle de sécurité multimodal de trois milliards de paramètres, en poids ouverts sous licence Apache 2.0 et téléchargeable sur Hugging Face. Restent à examiner cette livraison, la mécanique de la question fermée, ce que les scores taisent, la filiation d’une idée née ailleurs et le calendrier réglementaire où le modèle atterrit.
Un classificateur de trois milliards de paramètres livré en poids ouverts
Ce que Mistral dépose n’est pas un service mais un fichier : des poids que chacun télécharge, intègre et retouche, sans point d’accès hébergé ni grille tarifaire. L’éditeur parle d’un classificateur multimodal adaptatif aux politiques, chargé de repérer ce qui relève du risque et de faire respecter les règles qu’une organisation s’est données. Douze langues sont couvertes, de l’anglais au russe en passant par l’arabe, le chinois et le coréen : la liste de l’API Mistral Moderation de novembre 2024, augmentée du néerlandais.
Un modèle qui tient derrière le pare-feu
Une seule carte graphique Nvidia de 16 Go de mémoire vidéo suffit à le faire tourner. La ligne est une spécification juridique autant que matérielle : pour une banque ou un hôpital, le problème n’a jamais été de trouver un modérateur, mais d’accepter d’expédier les requêtes de ses usagers vers une interface hébergée outre-Atlantique. Shieldstral dérive de Ministral-3-3B-Base-2512 augmenté de l’encodeur visuel Pixtral : la famille Mistral 3 du 2 décembre 2025 avait posé cette base sous Apache 2.0.
La politique écrite à la main plutôt que la taxonomie figée
Un filtre traditionnel apprend une nomenclature arrêtée d’avance, violence, haine, fraude, sexualité explicite, et ne voit rien au-delà. Il tient tant que le danger redouté a été prévu par le catalogue. Shieldstral déplace ce catalogue dans la requête, en trois champs : le contexte d’analyse et la sévérité attendue, la politique tenant en une question fermée, enfin le contenu soumis, texte ou image. Mistral en donne pour exemple une règle rédigée ainsi : ce contenu incite-t-il à la violence physique ?
Un seul jeton, et le coût qui en découle
Le verdict revient sous forme binaire et tient dans une seule position de sortie : l’écart entre la probabilité affectée au oui et celle affectée au non donne un score continu, tranché par défaut à 0,5. Aucune boucle de décodage ne s’enclenche, et la dépense se réduit au remplissage de contexte d’un modèle de trois milliards de paramètres. Le contrôle se place indifféremment en amont, avant que la demande n’atteigne le modèle génératif, ou en aval, avant que la réponse ne soit servie. Sa décision est quasi instantanée, et muette : une valeur, jamais un motif.
Une question par passage
Une seule question par passage signifie qu’une politique comptant huit règles se traduit par huit appels : le coût croît avec le nombre de règles, non avec la taille du modèle. Le guide d’usage publié par OpenAI neuf mois plus tôt recommande des politiques de 400 à 600 jetons, conseille de préfiltrer par classificateurs rapides en ne routant que les cas ambigus, et signale que cumuler plusieurs politiques dans un appel dégrade la précision. Le chiffre à demander à un intégrateur n’est pas le nombre de paramètres, mais celui des questions par message.
Ce que valent les scores annoncés face à des modèles plus lourds
L’éditeur revendique de faire jeu égal, voire mieux, avec des modèles de garde ouverts pesant jusqu’à sept fois son poids, sur la sûreté des textes, la reconnaissance d’un refus et l’examen du multimodal. La moyenne générale s’établit à 84,9 % en sécurité textuelle et à 83,8 % sur les épreuves multimodales, analyse d’images comprise. Ce 84,9 % égale exactement GPT-OSS-Safeguard-20B, quand Qwen3Guard-8B se tient à 84,0 % et LlamaGuard-4-12B à 69,1 %. La détection de refus, qui consiste à reconnaître qu’un modèle a décliné une demande, est l’une des trois tâches du jeu WildGuard et culmine ici à 91,5 %.
Le détail par benchmark, plus contrasté que la moyenne
Épreuve par épreuve, les écarts deviennent inégaux. Sur HarmBench en entrée, le modèle atteint 99,4 contre 94,5 pour GPT-OSS-Safeguard-20B ; sur ToxicChat, 84,1 contre 51,0 pour LlamaGuard-4-12B ; sur VLGuard, 97,7 contre 61,3 pour ShieldGemma-2-4B, lequel ne couvre que trois catégories d’image ; sur UnsafeBench, 81,8 contre 54,9. Mais il tombe à 72,0 sur LlavaGuard là où LlavaGuard-7B obtient 81,4, et à 81,4 sur OpenAI Moderation contre 84,0.
Là où le modèle décroche
Le point faible se situe là où l’origine du fournisseur laissait attendre une force. Sur RTP-LX en entrée, le F1 tombe à 70,3 contre 83,9 pour GPT-OSS-Safeguard-20B et 86,1 pour Nemotron-3.5-CS-4B, et Mistral l’écrit dans ses limites : la couverture est inégale selon les langues. Plus révélateur, sur le banc mesurant l’adaptabilité aux politiques, c’est-à-dire la capacité de tenir une règle jamais rencontrée à l’entraînement, Shieldstral obtient 91,3 % quand le 20B d’OpenAI en affiche 94,1 %. C’est la promesse commerciale du produit, et le seul terrain où le petit modèle cède.
D’où vient l’idée de confier la politique au moment de l’inférence
La catégorie naît en décembre 2023 avec Llama Guard, un Llama2-7B instruit sur une taxonomie figée et chargé de classifier en amont comme en aval. Suivent l’API Mistral Moderation du 7 novembre 2024, bâtie sur Ministral 8B, neuf catégories fixes, onze langues ; ShieldGemma 2 puis Llama Guard 4 12B en avril 2025 ; Qwen3Guard le 28 septembre 2025, pour 119 langues. Le tournant intervient le 29 octobre 2025, lorsque OpenAI publie gpt-oss-safeguard en 20 et 120 milliards de paramètres sous Apache 2.0, dérivé d’un outil interne nommé Safety Reasoner.
Comment un modèle de trois milliards rattrape un modèle de vingt
Le concurrent avait lui-même désigné la brèche : des classificateurs classiques peuvent encore battre son approche sur les risques complexes, et le raisonnement coûte trop de calcul pour tenir en temps réel. Ce que la maison française apporte n’est pas le concept, c’est la taille. L’article scientifique associé, déposé sur arXiv le 28 juillet 2026 puis révisé le 4 août, formule la modération comme une question-réponse binaire, ce qui permet de fusionner des taxonomies incompatibles. Sur les 54,1 millions d’échantillons rassemblés, ce sont les paires contrastives synthétiques qui pèsent le plus lourd : 23,3 points de F1.
Les modes de défaillance que les moyennes ne montrent pas
L’arithmétique du sur-blocage
Ce que les utilisateurs subissent n’est pas le contenu dangereux qui passe, c’est la demande légitime qui ne passe pas. XSTest, publié en août 2023, a introduit la notion de sécurité exagérée en opposant 250 requêtes sûres mais d’apparence inquiétante à 200 contre-exemples réellement dangereux. À 4 % de faux positifs, un assistant traitant un million de messages par mois en bloque 40 000 à tort. Le banc d’essai publié le 11 juin 2026 par Artificial Analysis traite d’ailleurs la part de contenus sûrs laissés passer comme un axe de mesure à part entière.
Un garde-fou reste attaquable
Une étude d’avril 2025 a soumis six systèmes de protection déployés, dont Azure Prompt Shield et Meta Prompt Guard, à de l’injection de caractères, homoglyphes Unicode, caractères de largeur nulle et contrebande par emoji, jusqu’à 100 % d’évasion réussie. Le juge lui-même est une surface d’attaque : un travail de mai 2025 rapporte plus de 30 % de succès d’injection contre des architectures de jugement bâties sur des modèles de trois milliards de paramètres. Un modèle qui lit sa politique et le contenu suspect dans la même fenêtre lit aussi ce que l’attaquant y glisse.
Reste un arbitrage que la course à la latence occulte. Le règlement européen sur l’IA impose journalisation et suivi après commercialisation, or un jeton unique fournit une valeur, pas une justification opposable, quand le modèle qui raisonne cite la section de politique qu’il applique. Mistral concède du reste une fiabilité réduite sur les entrées obfusquées.
Le calendrier réglementaire dans lequel ce modèle atterrit
Shieldstral sort deux jours après le 2 août 2026, date à laquelle deviennent applicables les obligations de transparence de l’article 50 du règlement sur l’IA : informer la personne qu’elle interagit avec une intelligence artificielle et marquer de façon lisible par machine les contenus synthétiques, avec un délai de grâce jusqu’au 2 décembre 2026 pour les systèmes déjà commercialisés. Huit jours plus tôt entrait en vigueur le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, qui repousse les obligations des systèmes à haut risque au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I.
L’échéance qui aurait contraint à documenter les contrôles a donc reculé, quand la transparence et les sanctions mordent immédiatement. Le même texte ajoute deux pratiques interdites applicables au 2 décembre 2026 : la génération de représentations réalistes de parties intimes ou d’actes sexuels de personnes identifiables sans consentement, et les mêmes actes portant sur du matériel pédocriminel. Elles portent sur l’image, ce qui fait de la brique multimodale la ligne réglementaire du produit. Ce qui se jouera d’ici décembre est de savoir si les fournisseurs internalisent ce filtrage ou s’en remettent à des tiers.
Le garde-fou lui-même échappe au régime qu’il aide à respecter : les lignes directrices de la Commission du 18 juillet 2025 fixent des seuils indicatifs de 10^23 FLOP pour la qualification de modèle à usage général et de 10^25 pour le risque systémique, qu’un modèle de trois milliards de paramètres ne franchit pas.
Ce que Mistral vend en donnant ses poids
Le modèle économique se lit en creux. Mistral AI Studio, ouvert en bêta privée le 24 octobre 2025 et dont le volet Workflows est passé en préversion publique le 28 avril 2026, unifie agents, outils, connecteurs, garde-fous, juges et évaluations, avec observabilité et télémétrie. Les poids sont gratuits parce que la couche de gouvernance est le produit : ce qui se facture, c’est le journal d’audit, pas le classificateur, dont la licence libre coche au passage les conditions de l’exemption open source du règlement.
Le marché visé n’est pas mince : les services de modération de contenus sont estimés entre 11,6 et 12,5 milliards de dollars en 2025, et Meta dépenserait à elle seule plus de 2,5 milliards par an. Ce secteur repose sur une main-d’œuvre externalisée dont les conditions font l’objet d’un contentieux ouvert au Kenya depuis 2022 et 2023 contre Meta et son sous-traitant Sama. Un classificateur local ne remplace pas le jugement humain sur les cas limites, mais il déplace le point où l’humain intervient et met une fonction de confiance et sécurité à portée de plateformes européennes que le règlement sur les services numériques oblige sans leur en donner les moyens.
La question n’est donc pas de savoir lequel, du petit modèle muet ou du grand modèle qui argumente, mérite le titre de meilleur garde-fou. Les deux tiennent des positions cohérentes sur un même axe, et l’écart de 91,3 à 94,1 sur l’adaptabilité aux politiques chiffre le prix de la vitesse. Une organisation qui filtre un flux de messages courts et une qui doit justifier chaque blocage devant une autorité n’achètent pas le même instrument.
Trois inconnues subsistent : aucun banc indépendant n’a mesuré ce modèle hors des conditions de son fournisseur, la latence réelle du remplissage de contexte reste à établir en production, et le seuil que chaque déployeur retiendra produira un taux de faux refus qu’aucun benchmark ne mesure à sa place.
Un déplacement plus discret se lit derrière ces chiffres. Une taxonomie figée était publique, donc critiquable : chacun pouvait en contester les catégories et en documenter les biais. Une politique écrite dans un champ de requête est privée, réécrite sans préavis, et n’apparaît nulle part. La configurabilité transfère le pouvoir éditorial vers l’intégrateur. Le 2 décembre 2026 rendra applicables des interdictions portant sur l’image, qui exigeront autre chose qu’un jeton de sortie : une décision documentée, reproductible, défendable devant un tiers.
Aller plus loin
La recette de données, la formulation en question fermée et le score calibré issu d’un unique passage avant sont exposés dans l’annonce de Shieldstral par Mistral AI, qui assume aussi une feuille de route sur le multilinguisme, les documents longs et l’élargissement du multimodal. C’est là que se sépare ce que le fournisseur revendique de ce qu’il reconnaît ne pas couvrir.
La thèse méthodologique complète se trouve dans l’article Shieldstral, arXiv:2607.25857, déposé une semaine avant l’annonce et révisé le jour même, seul texte à expliquer pourquoi reformuler la modération en question-réponse binaire permet de fusionner des corpus aux taxonomies incompatibles.
Les moyennes s’effondrent ou s’envolent dès qu’on ouvre la carte de modèle mistralai/Shieldstral-1.0-3B, qui donne les tableaux épreuve par épreuve plutôt qu’en agrégat, la liste exacte des douze langues, le format des trois champs, le seuil, la fenêtre de contexte et une section de limites rédigée par le fournisseur.
Vingt-et-un mois séparent cette livraison de l’API Mistral Moderation de novembre 2024, classificateur fermé bâti sur Ministral 8B avec neuf catégories fixes et onze langues, dont l’annonce reconnaissait qu’il modérait l’assistant maison. La trajectoire de l’industrie s’y lit en miniature.
L’acte de naissance de la catégorie reste Llama Guard: LLM-based Input-Output Safeguard for Human-AI Conversations, de décembre 2023, où un Llama2-7B instruit sur une taxonomie figée classifie en amont et en aval. Le lire à côté de la carte de Shieldstral revient à mesurer, en trente-deux mois, le passage de la catégorie prédéfinie à la question libre.
Ce que coûte concrètement une règle rédigée en langage naturel est documenté par le guide d’usage de gpt-oss-safeguard publié par OpenAI, manuel écrit par celui qui a lancé l’approche neuf mois plus tôt : longueur recommandée des politiques, préfiltrage par classificateurs rapides, dégradation mesurée quand les politiques se cumulent.
Le contrepoint indispensable aux scores tient dans XSTest: A Test Suite for Identifying Exaggerated Safety Behaviours in Large Language Models, qui oppose 250 requêtes sûres d’apparence inquiétante à 200 contre-exemples réellement dangereux. Le 93,5 que Shieldstral inscrit sur ce test ne signifie rien sans la méthode qui le produit.
La question que les communiqués n’abordent jamais est traitée frontalement par Bypassing LLM Guardrails: An Empirical Analysis of Evasion Attacks, où six protections commerciales cèdent jusqu’à 100 % du temps devant des homoglyphes, des caractères de largeur nulle et de la contrebande par emoji, sans qu’aucune ne résiste à toutes les familles d’attaque.
Un point de comparaison extérieur se trouve dans le banc d’essai des modèles de garde publié par Artificial Analysis en juin 2026, qui passe une vingtaine de systèmes au F1, au rappel, à la proportion de contenus sûrs laissés passer et à la latence de bout en bout, et énonce la contrainte que les fournisseurs éludent : un garde-fou n’ajoute aucune fonctionnalité demandée, seulement du délai et du coût. Antérieur de deux mois à Shieldstral, il ne le contient pas.
Le cadre juridique dans lequel tout cela atterrit est décrypté par l’analyse du Digital Omnibus on AI publié au Journal officiel de l’Union, qui suit le calendrier révisé article par article et isole les deux interdictions applicables au 2 décembre 2026 sur les représentations intimes non consenties et les contenus pédocriminels générés.
Lus ensemble, ces documents déplacent la question. Un garde-fou n’est ni un produit fini ni une garantie : c’est un curseur entre une décision instantanée et une décision motivée, entre le contenu bloqué à tort et celui qui passe, entre ce qu’un fournisseur affiche en moyenne et ce qu’une organisation constatera sur sa langue et son domaine. Les poids sont gratuits ; le choix du seuil, la rédaction de la règle et la trace qu’il faudra produire devant un régulateur ne le sont pas.