Mistral Large 4의 133개 에이전트 Django 데모: Django가 이미 수정한 버그를 재현했다

Mistral Large 4는 Mistral AI가 'Le Chonk'라는 별명을 붙인 1.05조 매개변수 오픈 가중치 모델로, 2026년 11월 4일 엔드투엔드 보안 연구자로 소개되었다. Mistral의 공식 X 계정 게시물은 이 모델이 "치명적인 취약점을 찾아내고, 이를 입증하고, 수정할 수 있는가"라고 물은 뒤 133개의 에이전트, Django 코드베이스, 90× 타임랩스로 답했다. 이 게시물은 어떤 CVE도 명시하지 않는다. 어떤 패치도 공개하지 않는다. 런타임, 토큰 수, 오탐 수, 기술 문서 링크도 제시하지 않는다.

시점이 후보 범위를 좁힌다. Django 보안팀은 전날인 2026년 11월 3일, 6.1.3, 6.0.10, 5.2.19에서 6개 CVE에 대한 수정 사항을 공개했다(한 이슈는 5.2 패치가 목록에 없다). 그 묶음이 대상이었다면 — 그리고 그것은 그 주 뉴스에 나온 유일한 Django CVE 묶음이다 — 데모가 알려지지 않은 결함을 발견했을 수는 없다. 여섯 개 모두 영상이 게시되기 전에 공개되고 패치되었기 때문이다. 또한 치명적 취약점도 아니었다. 하나는 보통 등급이었고, 나머지 다섯 개는 낮음 등급이었다.

그렇다고 해서 그 데모가 무가치해지는 것은 아닙니다. 그것은 발견에 대한 주장이 아니라 워크플로 시연이 되게 하며, 오픈 웨이트 모델이 보안 팀의 트리아지 대기열에서 한 자리를 차지할 수 있는지 판단하는 모든 사람에게 이 구분은 중요합니다.

Mistral이 실제로 보여준 것

게시물은 짧습니다: "Mistral Large 4가 치명적인 취약점을 찾아내고, 증명하고, 수정할 수 있을까? 우리는 최근 Django CVE로 이를 테스트했다. 133개의 에이전트가 코드를 매핑하고, 결함을 찾아내고, 공격 시나리오를 테스트하고, 버그를 확인한다. 그다음 Le Chonk가 패치한다. 트리아지, 재현, 패치. 90배속으로 보여준다." 글을 쓰는 시점에 이 게시물은 좋아요 540개, 리포스트 94개, 답글 107개, 조회수 약 21,000회를 기록했다. 정보 공개가 아니라, 제법 잘 만든 제품 게시물인 셈이다.

Mistral 자체 릴리스 노트는 동일한 워크플로를 더 자세히 설명한다. 오픈 웨이트 발표문에는 들어오는 취약점 보고서를 읽고, 격리된 샌드박스에서 결함을 재현하고, 패치를 작성하고 반복 개선하며, "카나리 익스플로잇이 더 이상 작동하지 않을 때까지" 계속하는 "Cyber Vulnerability Triage" 에이전트가 언급되어 있다. 이는 영상이 나오기 전에 작성된, 모델의 문서화된 기능이다. 133개 에이전트 실행은 그에 대한 공개 시연이다.

90×라는 수치는 재생 속도일 뿐, 결과가 아닙니다. 원본 영상의 길이나 실행의 실제 경과 시간(wall-clock time)이 없으면 이를 재생 시간으로 환산할 수 없습니다. 두 시간짜리 실행의 90배 타임랩스와 이틀짜리 실행의 90배 타임랩스는 타임라인 위에서 똑같이 보입니다.

Django 배치, 그리고 "critical"이 왜 적합하지 않은지

Django의 11월 3일 보안 권고문은 유난히 구체적이어서 통제 기준으로 유용하다. 여기에는 여섯 가지 이슈가 나열되어 있으며, 각각 CVE, 보고자, 영향을 받는 브랜치 집합, 수정 커밋이 있다. 심각도는 치명적 수준과 거리가 멀다:

• CVE-2026-111362 — 보통. GeoJSON 지오메트리의 crs 멤버로 인해 GDAL이 검증, 저장 또는 쿼리 중에 네트워크 요청을 보내거나 로컬 파일을 읽을 수 있습니다. SSRF 및 로컬 파일 읽기 경로입니다.

• CVE-2026-108147 — {{1}}낮음{{/1}}. Base64로 인코딩된 멀티파트 업로드가 업로드 핸들러가 실행되기 전에 버퍼링되어 FILE_UPLOAD_MAX_MEMORY_SIZE를 우회하고 메모리 고갈을 초래할 수 있었습니다.

• CVE-2026-111211 — 낮음. 유효하지 않은 지오메트리 폼 값에 포함된 제어 문자가 이스케이프 처리 없이 로그에 기록되어, 로그 주입 또는 위조가 가능했습니다.

• CVE-2026-113593 — 낮음. Vary 헤더 값이 누락된 경우와 비어 있는 경우가 동일한 캐시 키를 생성하여 비공개 캐시 응답이 노출될 위험이 있었습니다.

• CVE-2026-113733 — 낮음. 읽기 전용 관리자 사용자는 특정 사용자 지정 사용자 모델의 전체 비밀번호 해시를 볼 수 있었습니다.

• CVE-2026-114582 — 낮음. SpatialReference 문자열 입력으로 인해 GDAL URL 가져오기 또는 파일 읽기가 트리거될 수 있으며, 완전한 보호를 위해서는 GDAL 3.9 이상이 필요합니다.

여섯 개 모두 같은 날 수정되었다. 그것이 일반적인 Django 프로세스다: 권고문, 패치, CVE 기록이 함께 나온다. 하루 뒤에 "버그를 확인했다"고 하는 모델은 이미 수정 사항이 저장소에 들어와 있고 재현 단계가 공개 보고서에 있는 버그를 확인하는 것이다. 보고된 버그를 재현하는 것은 트리아지 큐의 첫 번째 작업이므로 이는 실제 작업이다 — 그러나 버그를 찾는 것과는 같지 않다.

Mistral은 CVE를 명시하지 않았으므로 그 주장은 특정 권고문과 대조해 검증할 수 없다. 대상이 11월 배치 밖에 있었다면, 이 게시물은 그것을 식별하거나 날짜를 특정하거나 생성된 패치를 업스트림 수정과 비교할 방법을 제공하지 않는다. 패치 자체는 공개되지 않았다.

133개 에이전트는 오케스트레이션 숫자입니다.

에이전트 수는 점수가 아니라 설계 선택이다. 파이프라인은 파일마다 하나, 가설마다 하나, 공격 경로마다 하나씩 팬아웃할 수 있기 때문에 133개의 에이전트를 사용할 수 있다; 같은 작업은 다섯 개의 에이전트와 더 많은 턴으로도 수행할 수 있다. 수에 따라 달라지는 것은 비용, 지연 시간, 독립적 시도 횟수이지 모델의 토큰당 능력이 아니다.

그 숫자를 의미 있게 만들어 줄 지표들이 바로 빠져 있다: 얼마나 많은 후보 결함이 제기되었는지, 얼마나 많은 것이 오탐이었는지, 확정된 버그 하나당 얼마나 많은 에이전트가 필요했는지, 그리고 실행에 토큰이 얼마나 들었는지. 실제 버그 하나를 확정하기 위해 후보 200개를 제기하는 시스템은 후보 3개를 제기해 하나를 확정하는 시스템과는 다른 제품이며, 둘 다 정직하게 "133개의 에이전트"라고 설명될 수 있다.

Mistral이 공개한 설명은 개방형 발견이라기보다 좁고 검증 가능한 루프를 시사합니다: 샌드박스에서 재현하고, 패치를 반복 수정하며, 카나리 익스플로잇이 실패하면 멈추는 것입니다. 그 루프는 바로 Django 데모가 보여주는 것입니다. 좋은 루프입니다. 또한 사람 트리아저가 디버거와 테스트 스위트를 갖고 돌리는 루프이기도 합니다.

Mistral이 실제로 공개하는 보안 수치

Mistral의 오픈 가중치 관련 게시물은 공급업체가 제작한 차트에서 Mistral Large 4를 Artificial Analysis Cyber Index 기준 51%로 표시하며, 같은 차트에서 MiMo-V2.6-Pro는 56%, DeepSeek-V4.1-Flash 1017은 57%, Kimi K3는 41%, GLM-5.3은 36%로 나타낸다. 이 지수는 모델이 코드베이스에서 취약점을 발견하고, 이를 재현 및 검증하며, 패치할 수 있는지를 테스트한다 — 데모와 동일한 세 가지 동사다.

같은 게시물은 악성 사이버 요청에 대한 평균 거부율이 96.6%라고 보고하는데, Mistral은 이를 오픈 모델 중 자사가 측정한 수치 가운데 가장 높은 수치라고 말하며, B3 에이전트 보안 벤치마크에서는 공격 저항성이 97.1%로 프리뷰 당시의 93.3%에서 상승했다고 밝힌다. 10월 프리뷰 페이지에는 또한 Mistral 자체의 취약점 재현 및 패치 테스트에서 82% 점수와 40개 Cybench 과제 중 93%를 기재했지만, 오픈 웨이트 게시물은 두 수치 모두 다시 언급하지 않는다.

이 모든 것은 벤더가 보고한 것입니다. 어느 것도 독립적으로 재현되지 않았으며, Cyber Index 차트는 리더보드 캡처가 아니라 Mistral이 제3자 지수를 렌더링한 것입니다. 그렇다고 해서 숫자가 틀린 것은 아닙니다. 그것은 숫자를 주장으로 만들 뿐이며, 데모 영상은 같은 계열의 또 다른 주장입니다.

포지셔닝에는 실질적인 긴장이 있습니다. 악성 사이버 요청의 96.6%를 거부하도록 조정된 모델이 익스플로이트를 재현하고 패치를 작성하는 능력으로도 판매되고 있습니다. Mistral의 해답은 침투 테스트와 레드팀을 위한 특화 변형으로, 소유하거나 승인받은 시스템에 대해서만 사용하도록 하는 심사와 계약상 제한을 거쳐야 합니다. 오픈 웨이트 체크포인트는 호스트가 조정할 수 있는 가드레일을 갖춘 일반 모델이며, 바로 이 점 때문에 이중 용도 문제가 API가 아니라 가중치를 따라갑니다.

데모를 증거로 만들려면 무엇이 필요할까요?

신뢰할 수 있는 엔드투엔드 주장에는 여섯 가지 요소가 필요합니다. 그중 어느 것도 이국적인 것이 아니며, 모두 이 게시물에는 빠져 있습니다.

• 이름이 지정된 CVE, 또는 공개 보고서가 없는 버그 — 독자가 발견과 재현을 구분할 수 있도록.

• 취약한 커밋과 패치된 커밋으로, diff를 검토할 수 있습니다.

• 실패 및 성공 익스플로이트를 포함하여 동일한 환경에서의 전후 재현.

• 오탐 수: 후보 하나가 살아남기까지 에이전트들이 제기한 후보의 개수.

• 재생 배수가 아닌, 전체 실행에 대한 실제 경과 시간(wall-clock time)과 토큰 비용입니다.

• Mistral이 아닌 사람이 수행한 독립적인 재실행.

그것들을 공개하면 논거가 달라진다. 그때까지 정직한 표현은 "Mistral이 공개된 Django 버그에서 자사의 트리아지 에이전트를 시연했다"이며, 이는 유용한 제품 데모이자 게시글의 첫 문장보다 훨씬 축소된 주장이다.

자신의 코드베이스에서 이 패턴을 실행하기

보안 팀에 중요한 부분은 오픈 웨이트입니다. Mistral은 2026년 10월 29일 Mistral Ecosystem Open-Weight License로 체크포인트를 공개했습니다. 이는 사용, 수정, 파인튜닝 및 상업화를 허용하지만 모델 서비스(model-as-a-service) 사업을 운영하는 사람에게는 별도 라이선스를 요구하는 수정된 MIT 라이선스입니다. 체크포인트는 1.05조 파라미터에 토큰당 490억 개의 활성 파라미터, 100만 토큰 컨텍스트, Blackwell GPU용 NVFP4 변형을 갖췄습니다. 이를 자체 호스팅하는 것은 노트북 다운로드가 아니라 클러스터 구매이지만, 소스 코드와 조사 결과를 자체 경계 내에 유지할 수 있습니다 — 보안 팀이 API 대신 이를 선택하는 이유입니다.

워크플로는 모델보다 이식성이更高? Korean: 워크플로는 모델보다 이식성이 높다: 코드를 매핑하고, 후보 결함을 생성하고, 공격을 시뮬레이션하고, 샌드박스에서 재현하고, 패치한 다음, 익스플로잇이 더 이상 발동하지 않는지 검증한다. 모든 구현에서 취약한 단계는 검증기다. 패치를 작성한 동일한 모델은 그 패치를 제대로 판단하지 못한다. 다른 계열의 두 번째 모델이 diff와 재현 결과를 받으면, 첫 번째 모델이 옹호할 나쁜 패치 중 상당 부분을 잡아낸다.

바로 이 지점에서 라우팅이 도움이 됩니다. Mistral Large 4는 OrcaRouter의 카탈로그에 없습니다. 즉 Mistral 자체 API에서 제공되며 자체 호스팅용으로 다운로드할 수 있습니다. 하지만 OrcaRouter는 200개 이상의 다른 모델을 하나의 OpenAI 호환 키 뒤에 두며, 제공업체 정가에 0% 마크업, 자동 페일오버, 그리고 같은 호출에 세컨드 오피니언 검증기를 조합할 수 있는 라우팅 DSL을 갖추고 있습니다. 트리아지 파이프라인은 하나의 모델이 모든 것을 잘할 필요가 없습니다. 필요한 것은 패치 작성자와 패치 리뷰어가 서로 다르다는 것이며, 하나의 키는 두 개의 벤더 계약보다 그 지점에 도달하는 더 저렴한 방법입니다.

주목해야 할 주장

Mistral은 신뢰할 만한 보안 제품의 구성 요소들을 갖추고 있다. 오픈 웨이트, 문서화된 트리아지 루프, 강력한 거부 지표, 그리고 올바른 동사들을 측정하는 벤치마크다. 하지만 공개적으로 갖추지 못한 것은 모델이 이미 수정되지 않은 무언가를 발견한 사례다. 다음 데모는 버그를 명시하고 diff를 공개하며 다른 사람이 그것을 실행해 보게 해야 한다. 그때까지 133개 에이전트 영상은 오케스트레이션의 시연이지 발견의 증거가 아니며, "critical"이라는 단어는 Django 배치가 뒷받침하는 것보다 더 많은 역할을 하고 있다.