La demo de Django con 133 agentes de Mistral Large 4: reprodujo un error que Django ya había corregido

Mistral Large 4, el modelo de pesos abiertos de 1,05 billones de parámetros al que Mistral AI apodó Le Chonk, fue presentado el 4 de noviembre de 2026 como un investigador de seguridad de extremo a extremo. Una publicación de la cuenta oficial de Mistral en X preguntaba si el modelo podía «encontrar una vulnerabilidad crítica, demostrarla y corregirla», y luego respondía con 133 agentes, una base de código de Django y un time-lapse de 90×. La publicación no nombra ningún CVE. No publica ningún parche. No ofrece tiempo de ejecución, recuento de tokens, recuento de falsos positivos ni enlace a un informe técnico.

El momento reduce las posibilidades. El equipo de seguridad de Django había publicado correcciones para seis CVE el día anterior, el 3 de noviembre de 2026, en las versiones 6.1.3, 6.0.10 y 5.2.19 (uno de los problemas no tiene ningún parche de 5.2 listado). Si ese lote era el objetivo —y es el único lote de CVE de Django que apareció en las noticias esa semana—, la demostración no puede haber descubierto una vulnerabilidad desconocida, porque las seis eran públicas y estaban parcheadas antes de que se publicara el vídeo. Tampoco se trataba de una vulnerabilidad crítica. Una tenía una calificación moderada; las otras cinco se calificaron como bajas.

Eso no hace que la demo sea inútil. La convierte en una demostración de flujo de trabajo en lugar de una afirmación de descubrimiento, y la distinción importa para cualquiera que decida si un modelo de pesos abiertos puede ocupar un lugar en la cola de triaje de un equipo de seguridad.

Lo que Mistral realmente mostró

La publicación es corta: «¿Puede Mistral Large 4 encontrar una vulnerabilidad crítica, demostrarla y corregirla? Lo probamos con un CVE reciente de Django. 133 agentes mapean el código, buscan fallos, prueban escenarios de ataque y confirman el error. Luego Le Chonk lo parchea. Triaje, reproducción, parche. Mostrado a velocidad 90x». En el momento de escribir esto tenía 540 me gusta, 94 reposteos, 107 respuestas y unas 21.000 visualizaciones: una publicación de producto respetable, no una divulgación.

Las propias notas de la versión de Mistral describen el mismo flujo de trabajo con más detalle. El anuncio de pesos abiertos incluye un agente de "Cyber Vulnerability Triage" que lee los informes de vulnerabilidad entrantes, reproduce los fallos en un sandbox aislado, escribe e itera sobre un parche y continúa "hasta que un exploit canario deja de funcionar". Es una característica documentada del modelo, escrita antes del vídeo. La ejecución de 133 agentes es una demostración pública de ello.

La cifra de 90× es una velocidad de reproducción, no un resultado. Sin la duración del video original ni el tiempo real de la ejecución, no puede convertirse en una duración. Un time-lapse a 90× de una ejecución de dos horas y un time-lapse a 90× de una ejecución de dos días se ven idénticos en una línea de tiempo.

El lote de Django, y por qué «crítico» no encaja

El aviso del 3 de noviembre de Django es inusualmente específico, y eso es lo que lo hace útil como control. Enumera seis problemas, cada uno con un CVE, un reportante, un conjunto de ramas afectadas y un commit de corrección. Las severidades no se acercan a críticas:

CVE-2026-111362 — moderada. El miembro crs de una geometría GeoJSON podría hacer que GDAL emita solicitudes de red o lea archivos locales durante la validación, el guardado o la consulta: una vía de SSRF y de lectura de archivos locales.

• CVE-2026-108147 — baja. Las cargas multipart codificadas en Base64 se almacenaban en búfer antes de que se ejecutaran los controladores de carga, omitiendo FILE_UPLOAD_MAX_MEMORY_SIZE y permitiendo el agotamiento de memoria.

• CVE-2026-111211 — baja. Los caracteres de control en valores no válidos del formulario de geometría se registraban sin escape, lo que permitía la inyección o falsificación de registros.

• CVE-2026-113593 — baja. Los valores faltantes y vacíos del encabezado Vary producían la misma clave de caché, lo que arriesgaba la exposición de respuestas privadas almacenadas en caché.

• CVE-2026-113733 — baja. Los usuarios administradores con acceso de solo lectura podían ver los hashes completos de contraseñas de ciertos modelos de usuario personalizados.

• CVE-2026-114582 — baja. Una cadena de entrada de SpatialReference podría provocar que GDAL realice solicitudes de URL o lecturas de archivos; la protección completa requiere GDAL 3.9 o una versión posterior.

Los seis se corrigieron el mismo día. Ese es el proceso normal de Django: el aviso, los parches y los registros CVE se publican a la vez. Un modelo que «confirma el error» un día después está confirmando un error cuya corrección ya está en el repositorio y cuyos pasos de reproducción están en el informe público. Reproducir un error reportado es la primera tarea de una cola de triaje, así que esto es trabajo real, pero no es lo mismo que encontrarlo.

Mistral no nombró el CVE, por lo que la afirmación no puede verificarse contra un aviso específico. Si el objetivo estaba fuera del lote de noviembre, la publicación no ofrece forma de identificarlo, fecharlo ni comparar el parche generado con la corrección upstream. El parche en sí no se publicó.

133 agentes es un número de orquestación

El número de agentes es una decisión de diseño, no una puntuación. Una pipeline puede usar 133 agentes porque se ramifica uno por archivo, uno por hipótesis o uno por ruta de ataque; el mismo trabajo se puede hacer con cinco agentes y más turnos. Lo que cambia con el número es el coste, la latencia y el número de intentos independientes, no la capacidad del modelo por token.

Las métricas que harían que el recuento fuera significativo son las que faltan: cuántos defectos candidatos se plantearon, cuántos fueron falsos positivos, cuántos agentes se necesitaron por error confirmado y cuánto costó la ejecución en tokens. Un sistema que plantea 200 candidatos para confirmar un error real es un producto distinto de uno que plantea tres y confirma uno, y ambos pueden describirse honestamente como «133 agentes».

La descripción publicada de Mistral sugiere un bucle estrecho y verificable en lugar de un descubrimiento abierto: reproducir en un entorno aislado, iterar sobre un parche y detenerse cuando falla el exploit canario. Ese bucle es exactamente lo que muestra la demostración de Django. Es un buen bucle. También es el bucle que ejecuta un triador humano con un depurador y una suite de pruebas.

Las cifras de seguridad que Mistral sí publica

La publicación de Mistral sobre modelos de pesos abiertos sitúa a Mistral Large 4 en un 51% en el Artificial Analysis Cyber Index, en un gráfico elaborado por el proveedor que coloca a MiMo-V2.6-Pro en un 56% y a DeepSeek-V4.1-Flash 1017 en un 57%, con Kimi K3 en un 41% y GLM-5.3 en un 36%. El índice evalúa si un modelo puede descubrir vulnerabilidades en una base de código, reproducirlas y validarlas, y parchearlas; los mismos tres verbos que la demostración.

La misma publicación informa una tasa media de rechazo del 96,6 % ante solicitudes cibernéticas maliciosas, que Mistral califica como la más alta que mide entre los modelos abiertos, y un 97,1 % de resistencia a ataques en el benchmark de seguridad de agentes B3, frente al 93,3 % de la vista previa. La página de vista previa de octubre también indicaba una puntuación del 82 % en la propia prueba de reproducción y parcheo de vulnerabilidades de Mistral y un 93 % de 40 desafíos de Cybench; la publicación sobre pesos abiertos no repite ninguna de las dos cifras.

Todos estos son reportados por el proveedor. Ninguno ha sido reproducido de forma independiente, y el gráfico de Cyber Index es una representación de Mistral de un índice de terceros, no una captura de una tabla de clasificación. Eso no hace que las cifras sean incorrectas. Las convierte en afirmaciones, y el video de demostración es otra afirmación de la misma serie.

Hay una tensión real en el posicionamiento. Un modelo ajustado para rechazar el 96,6 % de las solicitudes cibernéticas maliciosas también se comercializa por su capacidad de reproducir exploits y escribir parches. La respuesta de Mistral es una variante especializada para pruebas de penetración y ejercicios de red team, restringida mediante evaluación previa y límites contractuales a sistemas propios o autorizados. El checkpoint de pesos abiertos es el modelo general, con mecanismos de protección que el host puede ajustar; y precisamente por eso la cuestión del doble uso sigue a los pesos en lugar de a la API.

¿Qué convertiría la demo en evidencia?

Una afirmación creíble de extremo a extremo requiere seis cosas. Ninguna es exótica; todas están ausentes de la publicación.

• Un CVE con nombre, o un fallo sin informe público — para que el lector pueda distinguir el descubrimiento de la reproducción.

• El commit vulnerable y el commit parcheado, para que se pueda revisar el diff.

• Una reproducción de antes y después en el mismo entorno, incluidos el exploit que falla y el que pasa.

• El recuento de falsos positivos: cuántos candidatos propusieron los agentes antes de que uno sobreviviera.

• Tiempo real de reloj y coste en tokens de la ejecución completa, no un multiplicador de reproducción.

• Una repetición independiente por parte de alguien que no es Mistral.

Publícalos y el argumento cambia. Hasta entonces, la descripción honesta es «Mistral demostró su agente de triaje en un bug público de Django», lo cual es una demo de producto útil y una afirmación mucho más modesta que la primera frase de la publicación.

Ejecutar el patrón en tu propio código base

Los pesos abiertos son la parte que importa para los equipos de seguridad. Mistral publicó el checkpoint el 29 de octubre de 2026 bajo la Mistral Ecosystem Open-Weight License, una licencia MIT modificada que permite el uso, la modificación, el ajuste fino y la comercialización, pero exige una licencia independiente para cualquiera que opere un negocio de modelo como servicio. El checkpoint tiene 1,05 billones de parámetros, con 49.000 millones activos por token, un contexto de 1 millón de tokens y una variante NVFP4 para GPU Blackwell. Alojarlo por cuenta propia es una compra de clúster, no una descarga para portátil, pero mantiene el código fuente y los hallazgos dentro de tu perímetro: la razón por la que un equipo de seguridad lo elegiría en lugar de una API.

El flujo de trabajo es más portátil que el modelo: mapear el código, generar fallos candidatos, simular el ataque, reproducirlo en un entorno aislado, aplicar el parche y luego verificar que el exploit ya no se dispare. El paso débil en toda implementación es el verificador. El mismo modelo que escribió el parche es un mal juez de él; un segundo modelo de una familia diferente, al que se le dan el diff y la reproducción, detecta una parte significativa de los parches malos que el primer modelo defenderá.

Ahí es donde el enrutamiento ayuda. Mistral Large 4 no está en el catálogo de OrcaRouter —se sirve en la propia API de Mistral y puede descargarse para autoalojamiento—, pero OrcaRouter ponemás de 200 otros modelos detrás de una única clave compatible con OpenAI con un 0 % de recargo sobre el precio de lista del proveedor, conmutación por error automática y un DSL de enrutamiento capaz de componer un verificador de segunda opinión dentro de la misma llamada. Una canalización de triaje no necesita que un solo modelo sea bueno en todo; necesita que el escritor de parches y el revisor de parches sean distintos, y una sola clave es una forma más barata de conseguirlo que dos contratos con proveedores.

La afirmación a la que hay que prestar atención

Mistral tiene las piezas de un producto de seguridad creíble: pesos abiertos, un bucle de triaje documentado, sólidas métricas de rechazo y un benchmark que mide los verbos correctos. Lo que no tiene, en público, es un caso en el que el modelo haya encontrado algo que no estuviera ya corregido. La próxima demo debería nombrar el bug, publicar el diff y dejar que alguien más lo ejecute. Hasta entonces, el vídeo de 133 agentes es una demostración de orquestación, no una prueba de descubrimiento —y la palabra «critical» está haciendo más trabajo del que respalda el lote de Django.