La démo Django à 133 agents de Mistral Large 4 : elle a reproduit un bug que Django avait déjà corrigé

Mistral Large 4, le modèle à poids ouverts de 1,05 billion de paramètres que Mistral AI a surnommé Le Chonk, a été présenté le 4 novembre 2026 comme un chercheur en sécurité de bout en bout. Une publication du compte X officiel de Mistral demandait si le modèle pouvait « trouver une vulnérabilité critique, la prouver et la corriger », puis répondait avec 133 agents, une base de code Django et un time-lapse 90×. La publication ne nomme aucune CVE. Elle ne publie aucun correctif. Elle ne donne ni durée d’exécution, ni nombre de tokens, ni nombre de faux positifs, et aucun lien vers un article technique.

Le calendrier restreint le champ des possibilités. L’équipe de sécurité de Django avait publié la veille, le 3 novembre 2026, des correctifs pour six CVE dans 6.1.3, 6.0.10 et 5.2.19 (aucun correctif 5.2 n’est indiqué pour un des problèmes). Si c’est ce lot qui était visé — et c’est le seul lot de CVE Django dans l’actualité cette semaine-là —, la démo n’a pas pu découvrir une faille inconnue, car les six étaient publiques et corrigées avant la publication de la vidéo. Il ne s’agissait pas non plus d’une vulnérabilité critique. L’une était classée modérée ; les cinq autres étaient classées faibles.

Cela ne rend pas la démo sans valeur. Cela en fait une démonstration de flux de travail plutôt qu’une affirmation de découverte, et cette distinction compte pour quiconque doit décider si un modèle à poids ouverts peut prendre place dans la file de triage d’une équipe de sécurité.

Ce que Mistral a réellement montré

Le post est court : « {{1}}Mistral Large 4{{/1}} peut-il trouver une vulnérabilité critique, la prouver et la corriger ? Nous l’avons testé sur une {{3}}CVE{{/3}} récente de {{2}}Django{{/2}}. {{4}}133 agents{{/4}} cartographient le code, traquent les failles, testent des scénarios d’attaque et confirment le bug. Ensuite, {{5}}Le Chonk{{/5}} le corrige. Triage, reproduction, correctif. Montré à une vitesse de 90x. » Au moment de la rédaction, il avait 540 likes, 94 repartages, 107 réponses et environ 21 000 vues — un post produit respectable, pas une divulgation.

Les notes de version de Mistral décrivent le même flux de travail plus en détail. L’annonce des modèles à poids ouverts mentionne un agent « Cyber Vulnerability Triage » qui lit les rapports de vulnérabilité entrants, reproduit les failles dans un bac à sable isolé, rédige et améliore itérativement un correctif, et continue « jusqu’à ce qu’un exploit canari ne fonctionne plus ». Il s’agit d’une fonctionnalité documentée du modèle, rédigée avant la vidéo. L’exécution à 133 agents en est une démonstration publique.

Le chiffre 90× est une vitesse de lecture, pas un résultat. Sans la durée de la vidéo source ni le temps réel écoulé de l’exécution, il ne peut pas être converti en une durée. Un time-lapse 90× d’une exécution de deux heures et un time-lapse 90× d’une exécution de deux jours apparaissent identiques sur une chronologie.

Le lot Django, et pourquoi « critique » ne convient pas

L’avis publié par Django le 3 novembre est d’une précision inhabituelle, ce qui en fait un contrôle utile. Il répertorie six problèmes, chacun avec un CVE, un rapporteur, un ensemble de branches concernées et un commit de correction. Les niveaux de gravité sont loin d’être critiques :

• CVE-2026-111362 — modérée. Le membre crs d'une géométrie GeoJSON pouvait amener GDAL à émettre des requêtes réseau ou à lire des fichiers locaux lors de la validation, de l'enregistrement ou de l'interrogation : une voie de SSRF et de lecture de fichiers locaux.

• CVE-2026-108147 — faible. Les téléversements multipart encodés en Base64 étaient mis en mémoire tampon avant l'exécution des gestionnaires de téléversement, contournant FILE_UPLOAD_MAX_MEMORY_SIZE et permettant un épuisement de la mémoire.

• CVE-2026-111211 — faible. Des caractères de contrôle présents dans des valeurs non valides de formulaires de géométrie étaient journalisés sans échappement, ce qui permettait une injection ou une falsification de journal.

• CVE-2026-113593 — faible. Des valeurs d’en-tête Vary manquantes ou vides produisaient la même clé de cache, avec un risque d’exposition de réponses privées mises en cache.

• CVE-2026-113733 — faible. Les utilisateurs administrateurs en lecture seule pouvaient voir les hachages complets des mots de passe de certains modèles d’utilisateur personnalisés.

• CVE-2026-114582 — faible. Une entrée de chaîne SpatialReference pourrait déclencher des récupérations d'URL ou des lectures de fichiers par GDAL ; une protection complète nécessite GDAL 3.9 ou une version ultérieure.

Les six ont été corrigés le même jour. C’est le processus normal de Django : l’avis, les correctifs et les fiches CVE sont publiés ensemble. Un modèle qui « confirme le bug » un jour plus tard confirme un bug dont le correctif est déjà dans le dépôt et dont les étapes de reproduction figurent dans le rapport public. Reproduire un bug signalé est la première tâche d’une file de triage, donc c’est un vrai travail — mais ce n’est pas la même chose que d’en trouver un.

Mistral n’a pas nommé la CVE, de sorte que l’affirmation ne peut pas être vérifiée par rapport à un avis spécifique. Si la cible ne faisait pas partie du lot de novembre, l’article ne permet ni de l’identifier, ni de la dater, ni de comparer le correctif généré avec le correctif amont. Le correctif lui-même n’a pas été publié.

133 agents est un nombre d’orchestration

Le nombre d’agents est un choix de conception, pas un score. Un pipeline peut utiliser 133 agents parce qu’il se déploie en éventail à raison d’un par fichier, d’un par hypothèse ou d’un par chemin d’attaque ; le même travail peut être accompli avec cinq agents et davantage de tours. Ce qui change avec le nombre, ce sont le coût, la latence et le nombre de tentatives indépendantes — pas la capacité du modèle par token.

Les métriques qui rendraient ce décompte significatif sont justement celles qui manquent : combien de défauts candidats ont été signalés, combien étaient des faux positifs, combien d’agents étaient nécessaires par bug confirmé, et combien de tokens l’exécution a coûté. Un système qui signale 200 candidats pour confirmer un seul vrai bug est un produit différent d’un système qui en signale trois et en confirme un, et les deux peuvent honnêtement être décrits comme « 133 agents ».

La description publiée par Mistral suggère une boucle étroite et vérifiable plutôt qu’une découverte ouverte : reproduire dans un bac à sable, itérer sur un correctif, s’arrêter lorsque l’exploit canari échoue. Cette boucle est exactement ce que montre la démo Django. C’est une bonne boucle. C’est aussi la boucle qu’un humain chargé du triage exécute avec un débogueur et une suite de tests.

Les chiffres de sécurité que Mistral publie bel et bien

La publication de Mistral sur les modèles à poids ouverts place Mistral Large 4 à 51 % sur l’Artificial Analysis Cyber Index, dans un graphique produit par le fournisseur qui place MiMo-V2.6-Pro à 56 % et DeepSeek-V4.1-Flash 1017 à 57 %, avec Kimi K3 à 41 % et GLM-5.3 à 36 %. L’indice évalue si un modèle peut découvrir des vulnérabilités dans une base de code, les reproduire et les valider, puis les corriger — les trois mêmes verbes que dans la démonstration.

Le même billet rapporte un taux de refus moyen de 96,6 % sur les demandes cyber malveillantes, que Mistral qualifie de plus élevé qu'il mesure parmi les modèles ouverts, et une résistance aux attaques de 97,1 % sur le benchmark de sécurité des agents B3, contre 93,3 % lors de l'aperçu. La page d'aperçu d'octobre indiquait également un score de 82 % au test de reproduction et de correction de vulnérabilités de Mistral et 93 % des 40 défis Cybench ; le billet sur les modèles à poids ouverts ne reprend ni l'un ni l'autre de ces chiffres.

Tous ces éléments sont rapportés par le fournisseur. Aucun n’a été reproduit de manière indépendante, et le graphique Cyber Index est une représentation de Mistral d’un indice tiers, et non une capture de classement. Cela ne rend pas les chiffres faux. Cela en fait des affirmations, et la vidéo de démonstration est une autre affirmation de la même série.

Il existe une véritable tension dans le positionnement. Un modèle ajusté pour refuser 96,6 % des requêtes cyber malveillantes est également vendu pour sa capacité à reproduire des exploits et à écrire des correctifs. La réponse de Mistral est une variante spécialisée pour les tests d’intrusion et le red teaming, conditionnée par une vérification préalable et des limites contractuelles aux systèmes détenus ou autorisés. Le checkpoint à poids ouverts est le modèle général, avec des garde-fous que l’hôte peut ajuster — c’est précisément pourquoi la question du double usage suit les poids plutôt que l’API.

Qu'est-ce qui transformerait la démo en preuve ?

Une affirmation crédible de bout en bout repose sur six éléments. Aucun n’a rien d’exotique ; tous sont absents du billet.

• Une CVE nommée, ou un bug sans rapport public — afin qu’un lecteur puisse distinguer la découverte de la reproduction.

• Le commit vulnérable et le commit corrigé, afin que le diff puisse être examiné.

• Une reproduction avant/après dans le même environnement, incluant l'exploit qui échoue et celui qui réussit.

• Le nombre de faux positifs : combien de candidats les agents ont proposés avant qu’un seul ne survive.

• Temps d'horloge réel et coût en tokens pour l'exécution complète, et non un multiplicateur de lecture.

• Une nouvelle exécution indépendante par une personne qui n’est pas Mistral.

Publiez-les et l’argument change. D’ici là, la description honnête est « Mistral a fait la démonstration de son agent de triage sur un bug Django public », ce qui est une démo produit utile et une affirmation bien plus modeste que la première phrase de l’article.

Appliquer le pattern à votre propre base de code

Les poids ouverts sont l’élément qui compte pour les équipes de sécurité. Mistral a publié le checkpoint le 29 octobre 2026 sous la Mistral Ecosystem Open-Weight License, une licence MIT modifiée qui autorise l’utilisation, la modification, le fine-tuning et la commercialisation, mais exige une licence distincte pour quiconque exploite une activité de modèle en tant que service. Le checkpoint compte 1,05 billion de paramètres avec 49 milliards actifs par token, un contexte de 1 million de tokens et une variante NVFP4 pour les GPU Blackwell. L’héberger soi-même représente l’achat d’un cluster, pas un téléchargement sur un ordinateur portable, mais cela permet de garder le code source et les conclusions à l’intérieur de votre périmètre — la raison pour laquelle une équipe de sécurité le choisirait plutôt qu’une API.

Le workflow est plus portable que le modèle : cartographier le code, générer des vulnérabilités candidates, simuler l’attaque, reproduire dans un bac à sable, corriger, puis vérifier que l’exploit ne se déclenche plus. L’étape faible de chaque implémentation est le vérificateur. Le modèle qui a écrit le correctif est un mauvais juge de celui-ci ; un second modèle d’une famille différente, à qui l’on fournit le diff et la reproduction, détecte une part non négligeable des mauvais correctifs que le premier modèle défendra.

C'est là que le routage entre en jeu. Mistral Large 4 ne figure pas au catalogue d'OrcaRouter — il est servi sur l'API propre de Mistral et téléchargeable pour l'auto-hébergement — mais OrcaRouter met plus de 200 autres modèles derrière une seule clé compatible OpenAI avec 0 % de marge sur le prix catalogue du fournisseur, un basculement automatique et un DSL de routage capable d'intégrer un vérificateur de second avis dans le même appel. Un pipeline de triage n'a pas besoin qu'un seul modèle soit bon en tout ; il a besoin que le rédacteur de correctif et le relecteur de correctif soient différents, et une seule clé est un moyen moins coûteux d'y parvenir que deux contrats fournisseurs.

L’affirmation à surveiller

Mistral possède les éléments d’un produit de sécurité crédible : des poids ouverts, une boucle de triage documentée, de solides métriques de refus et un benchmark qui mesure les bons verbes. Ce qui lui manque, en public, c’est un cas où le modèle a trouvé quelque chose qui n’avait pas déjà été corrigé. La prochaine démo devrait nommer le bug, publier le diff et laisser quelqu’un d’autre l’exécuter. D’ici là, la vidéo des 133 agents est une démonstration d’orchestration, pas une preuve de découverte — et le mot « critical » porte plus de poids que ce que le lot Django peut étayer.