미스트랄이 30억 파라미터 안전 분류기 실드스트랄을 아파치 2.0으로 공개했다: 정책을 학습이 아니라 프롬프트로 바꾼다

미스트랄 AI는 2026년 8월 4일 30억 파라미터 멀티모달 안전 분류기 실드스트랄(Shieldstral-1.0-3B)을 아파치 2.0 라이선스로 공개했다. 실드스트랄은 콘텐츠 모더레이션을 하나의 예·아니오 질문으로 환원하는 이진 질의응답 과제로 정의하고, 판정 기준이 되는 정책을 재학습 없이 추론 시점의 프롬프트로 받는다. 미스트랄은 이 모델이 텍스트 안전 벤치마크에서 약 7배 큰 모델과 대등하거나 그 이상이며 멀티모달 안전 분류에서 새로운 최고 성능을 세웠다고 밝혔고, 학습 데이터는 약 5,410만 건이다. ASAP은 미스트랄 공식 발표와 허깅페이스 모델 카드, arXiv 논문 2607.25857을 1차 출처로 이 설계가 실제로 무엇을 바꾸는지 정리한다.

설계의 핵심은 모더레이션을 예·아니오 한 문제로 환원한 것이다

실드스트랄의 입력은 고정된 시스템 메시지 하나와 세 칸으로 나뉜 사용자 메시지 하나로 구성된다. 세 칸은 인스트럭트(Instruct), 쿼리(Query), 도큐먼트(Document)다. 인스트럭트는 판정의 맥락과 엄격도를 정하고, 쿼리는 정책을 예·아니오로 답할 수 있는 질문 한 문장으로 옮기며, 도큐먼트에는 판정 대상 콘텐츠가 들어간다. 미스트랄이 예시로 든 질문은 "이 콘텐츠가 보호 대상 집단에 대한 폭력을 조장하는가", "이 이미지를 미성년자에게 보여도 안전한가", "어시스턴트가 요청을 거부했는가" 같은 형태다.

출력 방식도 같은 단순함을 따른다. 모델은 추론 시점에 예(yes)와 아니오(no) 두 토큰의 로짓만 읽어 소프트맥스로 정규화하고, 그 결과를 연속 안전 점수로 내놓는다. 순전파 한 번으로 보정된 확률이 나오므로 운영자는 등급표를 받는 대신 임계값을 직접 정해 쓴다. 사내 정책이 엄격한 영역에서는 임계값을 낮추고 허용 폭이 넓은 영역에서는 올리는 조정이 모델 교체 없이 성립한다.

이 구조가 논문에서 강조되는 이유는 학습 쪽에 있다. 서로 다른 택소노미를 쓰는 안전 데이터셋들은 라벨 체계가 달라 하나로 합치기 어려운데, 모든 과제를 예·아니오 하나로 환원하면 이질적인 데이터셋을 단일 학습 틀 아래로 모을 수 있다. 미스트랄이 약 5,410만 건 규모의 학습 표본을 구성할 수 있었던 것이 이 환원의 직접적 결과다.

고정 택소노미를 버리면 운영 비용의 위치가 바뀐다

기존 가드 모델의 제약은 성능이 아니라 택소노미가 학습에 박혀 있다는 점이었다. 폭력, 증오, 성적 콘텐츠 같은 범주 목록이 모델 안에 고정돼 있으면, 서비스가 자기만의 판정 기준을 갖는 순간 두 갈래 중 하나를 골라야 한다. 모델의 범주에 서비스를 끼워 맞추거나, 서비스의 범주에 맞춰 모델을 다시 학습시키는 것이다. 앞쪽은 판정이 어긋나고 뒤쪽은 데이터 라벨링과 학습 비용을 매번 새로 치른다.

정책을 추론 시점 문장으로 옮기면 이 비용이 다른 자리로 간다. 서비스가 기준을 바꿀 때 드는 작업은 쿼리 문장을 고쳐 쓰는 일이 되고, 새 정책의 검증은 학습 파이프라인이 아니라 평가 세트에서 이뤄진다. 규제가 바뀌거나 커뮤니티 가이드라인이 개정될 때 반영 주기가 주 단위에서 시간 단위로 내려가는 지점이 여기다.

대신 새 부담이 생긴다. 판정의 품질이 정책 문장을 얼마나 정확히 쓰느냐에 직접 매달리게 된다. 고정 택소노미 시절에는 범주 정의를 모델 제작자가 책임졌지만, 정책 적응형 구조에서는 그 문장을 서비스 운영자가 쓴다. 미스트랄이 인스트럭트 칸을 따로 두고 맥락과 엄격도를 지정하게 한 것도 질문 한 줄만으로는 판정 기준이 충분히 좁혀지지 않기 때문이다. 실드스트랄을 도입하는 조직에 실제로 필요한 역량은 GPU가 아니라 정책을 문장으로 정확히 쓰는 능력이다.

벤치마크 표에서 이긴 곳과 진 곳을 갈라 읽어야 한다

미스트랄이 공개한 F1 점수에서 실드스트랄의 우위가 가장 뚜렷한 영역은 멀티모달 안전이며, 거부 탐지에서는 20B 모델에 뒤진다. 멀티모달 표에서 실드스트랄은 VLGuard 97.7로 옴니가드 7B(OmniGuard-7B)의 88.5를, 언세이프벤치(UnsafeBench) 81.8로 72.6을 앞섰다. 파라미터가 절반 이하인 모델이 두 자릿수 차이로 앞선 결과다.

영역 · 벤치마크	실드스트랄 3B	비교 모델 최고치
멀티모달 VLGuard	**97.7**	옴니가드 7B 88.5
멀티모달 언세이프벤치	**81.8**	옴니가드 7B 72.6
멀티모달 라바가드	72.0	라바가드 7B **81.4**
프롬프트 HarmBench	**99.4**	Qwen3Guard 8B 99.3
프롬프트 ToxicChat	**84.1**	GPT-OSS-세이프가드 20B 79.8
프롬프트 OpenAI Moderation	81.4	GPT-OSS-세이프가드 20B **84.0**
응답 Aegis v2	**87.2**	Qwen3Guard 8B 86.2
거부 탐지 와일드가드테스트	90.3	GPT-OSS-세이프가드 20B **93.9**
다국어 PolyGuard 프롬프트	**84.6**	Qwen3Guard 8B 84.3
다국어 RTP-LX 프롬프트	70.3	Nemotron 3.5 4B **86.1**

표를 정직하게 읽으면 실드스트랄은 전 영역 1위 모델이 아니다. 거부 탐지 세 항목은 모두 GPT-OSS-세이프가드 20B가 앞섰고, 다국어 RTP-LX 프롬프트에서는 70.3으로 네모트론 3.5 4B의 86.1에 15.8점 뒤졌다. 라바가드(LlavaGuard) 벤치마크에서도 같은 이름의 라바가드 7B가 81.4로 앞선다. 미스트랄의 주장은 모든 항목에서 이겼다는 것이 아니라 7배 큰 모델과 대등하거나 그 이상이라는 것이며, 표는 그 주장의 범위 안에서 정확하다.

주목할 대목은 승패의 분포다. 실드스트랄이 확실히 앞서는 곳은 이미지가 들어간 판정이고, 확실히 뒤지는 곳은 다국어 텍스트의 특정 구간이다. 이미지 안전 분류는 학습 데이터가 상대적으로 적고 기존 모델의 성숙도가 낮은 영역이라, 새로 설계한 모델이 큰 폭으로 앞설 여지가 남아 있던 자리다. 반대로 다국어 텍스트는 오래 다뤄진 문제이고 기존 모델들의 점수가 이미 높다. 실드스트랄의 성과는 작은 모델이 큰 모델을 전면적으로 넘어섰다는 이야기가 아니라, 이진 질문이라는 단일 형식으로 텍스트와 이미지를 함께 다룰 때 이미지 쪽에서 얻는 이득이 크다는 이야기로 읽는 편이 정확하다.

30억 파라미터라는 크기가 운영 구조를 바꾼다

실드스트랄은 16GB GPU 한 장에서 돌아가며, 이 사양이 안전 분류기의 배치 위치를 바꾼다. 모더레이션은 성격상 모든 요청에 붙는다. 사용자 입력 한 건, 모델 응답 한 건마다 판정이 필요하고, 멀티턴 대화에서는 이 횟수가 대화 길이에 비례해 늘어난다. 본 모델보다 큰 안전 모델을 앞뒤로 세우는 구성이 현실적이지 않은 이유가 여기 있다.

크기가 만드는 두 번째 차이는 배치 위치다. 12B나 20B급 가드 모델은 사실상 중앙 서버에 두고 API로 호출하는 형태가 되지만, 3B는 서비스 인스턴스마다 얹는 선택지가 열린다. 판정 대상 콘텐츠가 외부로 나가지 않는 구성이 가능해진다는 뜻이며, 이 점은 의료·금융처럼 원문 반출 자체가 제약인 도메인에서 성능 수치보다 먼저 따지는 조건이다.

세 번째는 판정 형식이 만드는 이득이다. 실드스트랄은 라벨 텍스트를 생성하지 않고 두 토큰의 로짓만 읽는다. 출력 토큰을 여러 개 만들어내는 생성형 가드 모델과 달리 순전파 한 번으로 끝나므로, 응답 지연에서 모더레이션이 차지하는 몫이 구조적으로 작아진다. 안전 분류기를 붙이면 느려진다는 통념이 성립하지 않는 설계다.

아파치 2.0 공개가 가르는 선

실드스트랄은 아파치 2.0으로 풀렸고, 이는 상업적 사용과 수정, 재배포가 모두 허용된다는 뜻이다. 안전 분류기 영역에서 이 라이선스 조건이 갖는 무게는 일반 모델과 다르다. 모더레이션은 서비스의 판단 기준을 대신 집행하는 계층이므로, 이 계층을 외부 API에 맡기면 판정 기준과 로그가 함께 나간다.

가중치가 공개되면 그 계층이 내부로 들어온다. 조직은 자체 정책으로 임계값을 정하고, 판정 근거를 자체 로그로 남기고, 필요하면 자체 데이터로 추가 학습까지 한다. 미스트랄이 학습 데이터 구성 레시피와 정책 적응성 평가 세트를 논문에 함께 공개한 것도 같은 방향이며, 논문 arXiv 2607.25857은 2026년 7월 28일 최초 게재된 뒤 8월 4일 개정판이 올라왔다.

여기서 갈리는 것은 성능이 아니라 통제권이다. 상용 모더레이션 API는 범주 정의와 갱신 주기를 공급자가 정하고, 오탐과 미탐의 책임 경계도 계약서 안에 있다. 열린 가중치는 그 결정을 전부 도입 조직으로 옮긴다. 편의를 넘기고 통제를 받는 거래이며, 어느 쪽이 유리한지는 조직이 자기 정책을 문장으로 쓸 준비가 돼 있는지에 달렸다.

한국어 서비스에 붙이기 전에 확인할 것

실드스트랄이 지원한다고 명시한 12개 언어에 한국어가 포함된다. 나머지는 영어, 프랑스어, 스페인어, 독일어, 이탈리아어, 포르투갈어, 네덜란드어, 중국어, 일본어, 아랍어, 러시아어다. 한국어가 지원 목록에 처음부터 들어간 가드 모델은 국내 서비스가 별도 번역 계층 없이 원문 그대로 판정을 붙일 수 있다는 점에서 실무적 의미가 있다.

다만 모델 카드에 공개된 벤치마크에는 한국어 단독 점수가 없다. 다국어 성능은 PolyGuard와 RTP-LX 같은 집계 벤치마크로만 보고됐고, 그중 RTP-LX 프롬프트는 70.3으로 이 모델의 약한 구간이다. 미스트랄 자신도 언어와 도메인에 따른 커버리지가 고르지 않다고 모델 카드에 적었다. 한국어 서비스에 도입할 때 공개 점수를 그대로 기대치로 삼는 것은 근거가 없고, 자사 도메인의 실제 데이터로 만든 평가 세트에서 임계값을 정하는 절차가 도입의 첫 단계가 되어야 한다.

길이 조건도 함께 봐야 한다. 실드스트랄은 최대 3만 2,000토큰 시퀀스로 학습됐고, 이론상 25만 6,000토큰까지 지원하지만 미스트랄은 학습 범위 안에서 쓰라고 권고한다. 긴 문서 전체를 한 번에 넘기는 방식보다 판정 단위를 쪼개는 설계가 안전한 선택이며, 미스트랄이 향후 과제로 꼽은 항목에도 다국어 커버리지와 긴 문서 견고성이 들어 있다.

한계와 열린 질문

미스트랄이 모델 카드에 직접 적은 한계는 세 가지다. 언어와 도메인에 따른 커버리지 불균형, 학습 데이터에 남은 라벨 잡음, 그리고 적대적으로 가공되거나 난독화된 입력과 아주 긴 문서에서 떨어지는 신뢰도다. 세 번째 항목은 모더레이션 모델의 실전 조건과 정확히 겹치는 자리라 도입 전에 가장 먼저 시험해야 할 구간이다.

여기에 정책 적응형 구조 자체가 던지는 질문이 하나 더 있다. 판정 기준이 학습된 가중치가 아니라 프롬프트 안의 문장으로 들어간다는 것은, 판정 대상 콘텐츠와 판정 기준이 같은 입력 창에 함께 놓인다는 뜻이다. 도큐먼트 칸에 담기는 것은 사용자가 만든 콘텐츠이고, 쿼리 칸에 담기는 것은 운영자의 정책이다. 두 문장이 같은 맥락 창을 공유하는 설계에서 사용자 콘텐츠가 정책 해석에 얼마나 간섭할 수 있는지는 공개된 벤치마크가 답하지 않는 항목이며, 프롬프트 주입에 대한 별도 시험이 필요한 지점이다.

마지막으로 남는 것은 비교 대상의 문제다. 이번 표에 오른 비교 모델은 모두 열린 가드 모델이고, 상용 모더레이션 API는 표에 없다. OpenAI Moderation 벤치마크는 그 API가 아니라 해당 데이터셋을 뜻한다. 실드스트랄이 상용 서비스를 대체할 수 있는지는 이번 공개로 판정되지 않으며, 조직이 자기 데이터로 두 축을 직접 재보는 것 말고 다른 확인 경로는 없다.

출처: 미스트랄 AI 공식 발표 "Shieldstral"(2026년 8월 4일), 허깅페이스 모델 카드 mistralai/Shieldstral-1.0-3B, arXiv 논문 2607.25857 기반 ASAP 정리