Mistral Large 4's Django-demo met 133 agents: deze reproduceerde een bug die Django al had opgelost

Mistral Large 4, het open-weight model met 1,05 biljoen parameters dat Mistral AI de bijnaam Le Chonk gaf, werd op 4 november 2026 gepresenteerd als een end-to-end beveiligingsonderzoeker. Een bericht op het officiële X-account van Mistral vroeg of het model "een kritieke kwetsbaarheid kon vinden, aantonen en verhelpen", en antwoordde vervolgens met 133 agents, een Django-codebase en een tijdversnelling van 90×. Het bericht noemt geen CVE. Het publiceert geen patch. Het geeft geen runtime, geen tokental, geen aantal valse positieven en geen link naar een technische uiteenzetting.

De timing vernauwt de mogelijkheden. Het beveiligingsteam van Django had de dag ervoor, op 3 november 2026, oplossingen uitgebracht voor zes CVE's in 6.1.3, 6.0.10 en 5.2.19 (voor één probleem is geen 5.2-patch vermeld). Als die batch het doelwit was — en het is de enige Django-CVE-batch in het nieuws die week — dan kan de demo geen onbekende fout hebben ontdekt, omdat alle zes openbaar en gepatcht waren voordat de video werd geplaatst. Het was ook geen kritieke kwetsbaarheid. Eén had een matige beoordeling; de andere vijf werden als laag beoordeeld.

Dat maakt de demo niet waardeloos. Het maakt er een workflowdemonstratie van in plaats van een ontdekkingsclaim, en dat onderscheid is belangrijk voor iedereen die beslist of een open-weightmodel een plek kan krijgen in de triagewachtrij van een securityteam.

Wat Mistral eigenlijk liet zien

De post is kort: "Kan Mistral Large 4 een kritieke kwetsbaarheid vinden, bewijzen en verhelpen? We hebben het getest op een recente Django-CVE. 133 agents brengen de code in kaart, jagen op fouten, testen aanvalscenario's en bevestigen de bug. Daarna patcht Le Chonk het. Triage, repro, patch. Getoond op 90x snelheid." Op het moment van schrijven had de post 540 likes, 94 reposts, 107 reacties en ongeveer 21.000 weergaven — een respectabele productpost, geen onthulling.

De eigen release notes van Mistral beschrijven dezelfde workflow in meer detail. De open-weight-aankondiging noemt een "Cyber Vulnerability Triage"-agent die binnenkomende kwetsbaarheidsmeldingen leest, de fouten reproduceert in een geïsoleerde sandbox, een patch schrijft en er iteratief aan werkt, en doorgaat "totdat een canary-exploit niet meer werkt." Dat is een gedocumenteerde functie van het model, geschreven vóór de video. De run met 133 agents is een publieke demonstratie daarvan.

Het getal 90× is een afspeelsnelheid, geen resultaat. Zonder de lengte van de bronvideo of de kloktijd van de run kan het niet worden omgezet in een duur. Een 90×-timelapse van een run van twee uur en een 90×-timelapse van een run van twee dagen zien er op een tijdlijn identiek uit.

De Django-batch, en waarom "kritiek" niet past

Django's advies van 3 november is ongewoon specifiek, waardoor het nuttig is als controlemiddel. Het somt zes problemen op, elk met een CVE, een melder, een reeks getroffen branches en een fix-commit. De ernstniveaus liggen niet in de buurt van kritiek:

• CVE-2026-111362 — matig. Het crs-lid van een GeoJSON-geometrie zou GDAL ertoe kunnen brengen netwerkverzoeken uit te voeren of lokale bestanden te lezen tijdens validatie, opslaan of opvragen: een SSRF- en local-file-read-pad.

• CVE-2026-108147 — laag. Base64-gecodeerde multipart-uploads werden gebufferd voordat upload-handlers werden uitgevoerd, waardoor FILE_UPLOAD_MAX_MEMORY_SIZE werd omzeild en geheugenuitputting mogelijk was.

• CVE-2026-111211 — laag. Stuurtekens in ongeldige waarden van geometrieformulieren werden zonder escaping gelogd, waardoor log-injectie of vervalsing mogelijk was.

• CVE-2026-113593 — laag. Ontbrekende en lege waarden van de Vary-header leverden dezelfde cachesleutel op, waardoor privé gecachte responses konden worden blootgesteld.

• CVE-2026-113733 — laag. Beheerders met alleen-lezen toegang konden volledige wachtwoordhashes zien voor bepaalde aangepaste gebruikersmodellen.

• CVE-2026-114582 — laag. Invoer van een SpatialReference-tekenreeks kan GDAL-URL-opvragingen of bestandslezingen activeren; volledige bescherming vereist GDAL 3.9 of later.

Alle zes werden op dezelfde dag opgelost. Dat is het normale Django-proces: de beveiligingsmelding, de patches en de CVE-records worden samen gepubliceerd. Een model dat een dag later "de bug bevestigt", bevestigt een bug waarvan de fix al in de repository staat en waarvan de reproductiestappen in het openbare rapport staan. Het reproduceren van een gerapporteerde bug is de eerste taak van een triagewachtrij, dus dit is echt werk — maar het is niet hetzelfde als er een vinden.

Mistral noemde de {{1}}CVE{{/1}} niet, dus de bewering kan niet tegen een specifiek advies worden gecontroleerd. Als het doelwit buiten de {{2}}novemberbatch{{/2}} viel, biedt het bericht geen mogelijkheid om het te identificeren, te dateren of de gegenereerde patch met de upstream-fix te vergelijken. De patch zelf werd niet gepubliceerd.

133 agenten is een orkestratienummer

Het aantal agents is een ontwerpkeuze, geen score. Een pipeline kan 133 agents gebruiken omdat het er één per bestand, één per hypothese of één per aanvalspad uitwaaiert; hetzelfde werk kan met vijf agents en meer beurten worden gedaan. Wat met het aantal verandert, zijn kosten, latentie en het aantal onafhankelijke pogingen — niet de per-token capaciteit van het model.

De maatstaven die de telling betekenisvol zouden maken, ontbreken juist: hoeveel kandidaat-fouten er werden gemeld, hoeveel daarvan valse positieven waren, hoeveel agents er per bevestigde bug nodig waren, en wat de run aan tokens kostte. Een systeem dat 200 kandidaten oplevert om één echte bug te bevestigen, is een ander product dan een systeem dat er drie oplevert en er één bevestigt, en beide kunnen eerlijk worden beschreven als "133 agents."

Mistrals gepubliceerde beschrijving suggereert een nauwe, verifieerbare lus in plaats van open-ended ontdekking: reproduceren in een sandbox, itereren op een patch, stoppen wanneer de canary-exploit faalt. Die lus is precies wat de Django-demo laat zien. Het is een goede lus. Het is ook de lus die een menselijke triager doorloopt met een debugger en een testsuite.

De beveiligingscijfers die Mistral wél publiceert

Een open-weightbericht van Mistral zet Mistral Large 4 op 51% in de Artificial Analysis Cyber Index, in een door de leverancier geproduceerde grafiek die MiMo-V2.6-Pro op 56% en DeepSeek-V4.1-Flash 1017 op 57% plaatst, met Kimi K3 op 41% en GLM-5.3 op 36%. De index test of een model kwetsbaarheden in een codebase kan ontdekken, reproduceren en valideren, en patchen — dezelfde drie werkwoorden als in de demo.

Dezelfde post meldt een gemiddeld weigeringspercentage van 96,6% bij kwaadwillige cyberverzoeken, wat Mistral het hoogste noemt dat het meet onder open modellen, en 97,1% weerstand tegen aanvallen op de B3-agentbeveiligingsbenchmark, tegen 93,3% bij de preview. De previewpagina van oktober vermeldde ook een score van 82% op Mistral's eigen reproduceer-en-patch-test voor kwetsbaarheden en 93% van de 40 Cybench-uitdagingen; de open-weight-post herhaalt geen van beide cijfers.

Al deze zijn door de leverancier gerapporteerd. Geen ervan is onafhankelijk gereproduceerd, en de Cyber Index-grafiek is Mistral's weergave van een index van een derde partij in plaats van een vastlegging van een ranglijst. Dat maakt de cijfers niet onjuist. Het maakt ze tot beweringen, en de demovideo is een andere bewering in dezelfde reeks.

Er zit een echte spanning in de positionering. Een model dat is afgestemd om 96,6% van kwaadaardige cyberverzoeken te weigeren, wordt ook verkocht op basis van zijn vermogen om exploits te reproduceren en patches te schrijven. Mistrals antwoord is een gespecialiseerde variant voor penetratietests en red-teaming, afgeschermd door screening en contractuele beperkingen tot systemen die men bezit of waarvoor men toestemming heeft. Het open-weightcheckpoint is het algemene model, met guardrails die de host kan afstellen — precies daarom volgt de dual-use-vraag de gewichten in plaats van de API.

Wat zou de demo in bewijs veranderen?

Een geloofwaardige end-to-end claim vereist zes dingen. Geen ervan is exotisch; ze ontbreken allemaal in het bericht.

• Een concrete CVE, of een bug zonder openbaar rapport — zodat een lezer ontdekking van reproductie kan onderscheiden.

• De kwetsbare commit en de gepatchte commit, zodat de diff kan worden beoordeeld.

• Een voor-en-na-reproductie in dezelfde omgeving, inclusief de falende en de slaagende exploit.

• Het aantal valse positieven: hoeveel kandidaten de agents aandroegen voordat er één overleefde.

• Kloktijd en tokenkosten voor de volledige uitvoering, niet een weergavevermenigvuldiger.

• Een onafhankelijke herhaling door iemand die niet van Mistral is.

Publiceer die en het argument verandert. Tot die tijd is de eerlijke beschrijving "Mistral heeft zijn triage-agent gedemonstreerd op een openbare Django-bug", wat een nuttige productdemo is en een veel kleinere claim dan de eerste zin van de post.

Het patroon toepassen op je eigen codebase

De open gewichten zijn het onderdeel dat ertoe doet voor securityteams. Mistral heeft het checkpoint op 29 oktober 2026 uitgebracht onder de Mistral Ecosystem Open-Weight License, een aangepaste MIT-licentie die gebruik, wijziging, fine-tuning en commercialisering toestaat, maar een afzonderlijke licentie vereist voor iedereen die een model-as-a-servicebedrijf exploiteert. Het checkpoint heeft 1,05 biljoen parameters, met 49 miljard actieve parameters per token, een contextvenster van 1M tokens en een NVFP4-variant voor Blackwell-GPU's. Zelf hosten is een clusteraankoop, geen download voor een laptop, maar het houdt broncode en bevindingen binnen je perimeter — de reden waarom een securityteam het boven een API zou verkiezen.

De workflow is beter overdraagbaar dan het model: breng de code in kaart, genereer kandidaatfouten, simuleer de aanval, reproduceer in een sandbox, patch en verifieer vervolgens dat de exploit niet meer afgaat. De zwakke schakel in elke implementatie is de verificateur. Hetzelfde model dat de patch schreef, is een slechte beoordelaar ervan; een tweede model uit een andere familie, dat de diff en de reproductie krijgt, vangt een aanzienlijk deel van de slechte patches op die het eerste model zal verdedigen.

Daar komt routing om de hoek kijken. Mistral Large 4 staat niet in de catalogus van OrcaRouter — het wordt aangeboden via Mistral's eigen API en is downloadbaar voor self-hosting — maar OrcaRouter zet200+ andere modellen achter één OpenAI-compatibele sleutelmet 0% opslag op de lijstprijs van de provider, automatische failover en een routing-DSL waarmee je een second-opinion-verifier in dezelfde call kunt samenstellen. Een triagepijplijn heeft niet één model nodig dat overal goed in is; hij heeft een patchschrijver en een patchreviewer nodig die van elkaar verschillen, en één sleutel is een goedkopere manier om daar te komen dan twee leverancierscontracten.

De claim om in de gaten te houden

Mistral heeft de onderdelen van een geloofwaardig beveiligingsproduct: open gewichten, een gedocumenteerde triagecyclus, sterke weigeringscijfers en een benchmark die de juiste werkwoorden meet. Wat het in het openbaar niet heeft, is een geval waarin het model iets vond dat nog niet was opgelost. De volgende demo zou de bug bij naam moeten noemen, de diff moeten publiceren en iemand anders het moeten laten uitvoeren. Tot dan is de video met 133 agenten een demonstratie van orkestratie, geen bewijs van ontdekking — en het woord "critical" doet meer werk dan de Django-batch kan dragen.