Demo Django z 133 agentami Mistral Large 4: odtworzyło błąd, który Django już naprawiło

Mistral Large 4, model o otwartych wagach z 1,05 biliona parametrów, któremu Mistral AI nadał przydomek Le Chonk, został zaprezentowany 4 listopada 2026 r. jako kompleksowy badacz bezpieczeństwa. W poście z oficjalnego konta Mistral AI na X zapytano, czy model potrafi „znaleźć krytyczną lukę, udowodnić ją i ją naprawić”, a następnie odpowiedziano 133 agentami, bazą kodu Django i 90-krotnie przyspieszonym zapisem poklatkowym. Post nie wymienia żadnego CVE. Nie publikuje żadnej poprawki. Nie podaje czasu wykonania, liczby tokenów, liczby fałszywych trafień ani linku do opisu technicznego.

Chronologia zawęża pole. Zespół ds. bezpieczeństwa Django wydał poprawki dla sześciu CVE poprzedniego dnia, 3 listopada 2026 r., w wersjach 6.1.3, 6.0.10 i 5.2.19 (dla jednego problemu nie wymieniono poprawki w 5.2). Jeśli celem była ta partia — a to jedyna partia CVE Django w wiadomościach w tym tygodniu — demo nie mogło odkryć nieznanej luki, ponieważ wszystkie sześć były publiczne i załatane przed opublikowaniem filmu. Nie była to też luka krytyczna. Jedna miała ocenę umiarkowaną; pozostałe pięć oceniono jako niskie.

To nie czyni tego demo bezwartościowym. Czyni je raczej demonstracją przepływu pracy niż twierdzeniem o odkryciu, a ta różnica ma znaczenie dla każdego, kto decyduje, czy model z otwartymi wagami może zająć miejsce w kolejce triażu zespołu bezpieczeństwa.

Co Mistral faktycznie pokazał

Wpis jest krótki: „Czy Mistral Large 4 potrafi znaleźć krytyczną lukę, udowodnić ją i naprawić? Przetestowaliśmy go na niedawnej luce CVE w Django. 133 agentów mapuje kod, szuka wad, testuje scenariusze ataków i potwierdza błąd. Następnie Le Chonk go łata. Triage, reprodukcja, poprawka. Pokazane przy 90x prędkości”. W momencie pisania miał 540 polubień, 94 reposty, 107 odpowiedzi i około 21 000 wyświetleń — porządny wpis produktowy, a nie ujawnienie luki.

W notatkach wydania samego Mistrala ten sam tok pracy opisano bardziej szczegółowo. W ogłoszeniu o modelach z otwartymi wagami wymieniono agenta „Cyber Vulnerability Triage”, który czyta napływające raporty o podatnościach, odtwarza błędy w izolowanej piaskownicy, pisze poprawkę i iteruje nad nią oraz kontynuuje „aż exploit canary przestanie działać”. To udokumentowana funkcja modelu, opisana przed nagraniem wideo. Uruchomienie 133 agentów jest jej publiczną demonstracją.

Wartość 90× to prędkość odtwarzania, a nie wynik. Bez długości źródłowego wideo lub czasu rzeczywistego przebiegu nie można jej przeliczyć na czas trwania. Przyspieszone nagranie 90× z dwugodzinnego przebiegu i przyspieszone nagranie 90× z dwudniowego przebiegu wyglądają na osi czasu identycznie.

Partia Django i dlaczego „critical" nie pasuje

Biuletyn Django z 3 listopada jest nietypowo konkretny, co czyni go użytecznym jako punkt odniesienia. Wymienia sześć problemów, każdy z CVE, osobą zgłaszającą, zestawem objętych gałęzi i commitem poprawki. Poziomy ważności nie są bliskie krytycznym:

• CVE-2026-111362 — umiarkowany. Składowa crs geometrii GeoJSON mogła powodować, że GDAL wykonuje żądania sieciowe lub odczytuje pliki lokalne podczas walidacji, zapisywania lub odpytywania: ścieżka ataku SSRF i odczytu plików lokalnych.

• CVE-2026-108147 — niski. Przesyłane pliki wieloczęściowe zakodowane w Base64 były buforowane przed uruchomieniem procedur obsługi przesyłania, omijając FILE_UPLOAD_MAX_MEMORY_SIZE i umożliwiając wyczerpanie pamięci.

• CVE-2026-111211 — niski. Znaki sterujące w nieprawidłowych wartościach formularza geometrii były rejestrowane bez escapowania, co umożliwiało wstrzykiwanie lub fałszowanie logów.

• CVE-2026-113593 — niski. Brakujące i puste wartości nagłówka Vary tworzyły ten sam klucz pamięci podręcznej, co groziło ujawnieniem prywatnych odpowiedzi z pamięci podręcznej.

• CVE-2026-113733 — niski. Użytkownicy administracyjni z uprawnieniami tylko do wglądu mogli zobaczyć pełne hashe haseł dla niektórych niestandardowych modeli użytkowników.

• CVE-2026-114582 — niski. Dane wejściowe w postaci ciągu znaków SpatialReference mogą wywołać pobieranie adresów URL lub odczyt plików przez GDAL; pełna ochrona wymaga GDAL 3.9 lub nowszego.

Wszystkie sześć naprawiono tego samego dnia. To normalny proces Django: biuletyn, poprawki i rekordy CVE pojawiają się razem. Model, który „potwierdza błąd” dzień później, potwierdza błąd, którego poprawka jest już w repozytorium, a którego kroki reprodukcji znajdują się w publicznym raporcie. Odtworzenie zgłoszonego błędu to pierwsze zadanie kolejki triażu, więc to prawdziwa praca — ale nie to samo co znalezienie go.

Mistral nie podał nazwy CVE, więc tego twierdzenia nie można zweryfikować wobec konkretnego biuletynu bezpieczeństwa. Jeśli cel znajdował się poza listopadową partią, wpis nie daje żadnego sposobu, by go zidentyfikować, datować ani porównać wygenerowanej poprawki z poprawką upstream. Sama poprawka nie została opublikowana.

133 agentów to liczba orkiestracyjna

Liczba agentów to wybór projektowy, a nie wynik. Potok może korzystać ze 133 agentów, ponieważ rozdziela po jednym na plik, po jednym na hipotezę lub po jednym na ścieżkę ataku; tę samą pracę można wykonać za pomocą pięciu agentów i większej liczby tur. Wraz z liczbą zmieniają się koszt, opóźnienie i liczba niezależnych prób — a nie możliwości modelu w przeliczeniu na token.

Brakuje właśnie tych wskaźników, które nadałyby tej liczbie znaczenie: ile zgłoszono potencjalnych błędów, ile było fałszywych alarmów, ilu agentów potrzeba na potwierdzony błąd i ile tokenów kosztowało uruchomienie. System, który zgłasza 200 kandydatów, by potwierdzić jeden prawdziwy błąd, to inny produkt niż taki, który zgłasza trzy i potwierdza jeden, a oba można uczciwie opisać jako „133 agentów”.

Opublikowany opis Mistrala sugeruje wąską, weryfikowalną pętlę, a nie otwarte odkrywanie: odtworzyć w sandboxie, iterować nad poprawką, zatrzymać się, gdy exploit kanarkowy zawiedzie. Ta pętla to dokładnie to, co pokazuje demonstracja Django. To dobra pętla. To także pętla, którą uruchamia ludzki triager z debuggerem i zestawem testów.

Liczby dotyczące bezpieczeństwa, które Mistral publikuje

Wpis Mistrala o modelach z otwartymi wagami przypisuje Mistral Large 4 wynik 51% w Artificial Analysis Cyber Index — na wykresie przygotowanym przez dostawcę, który plasuje MiMo-V2.6-Pro na poziomie 56%, a DeepSeek-V4.1-Flash 1017 na 57%, podczas gdy Kimi K3 ma 41%, a GLM-5.3 — 36%. Indeks sprawdza, czy model potrafi wykryć podatności w bazie kodu, odtworzyć je i zweryfikować, a następnie załatać — te same trzy czasowniki co w demonstracji.

Ten sam wpis podaje średni odsetek odmów wynoszący 96,6% w przypadku złośliwych żądań cybernetycznych — Mistral nazywa go najwyższym, jaki mierzy wśród modeli otwartych — oraz 97,1% odporności na ataki w benchmarku bezpieczeństwa agentów B3, w porównaniu z 93,3% w wersji zapoznawczej. Październikowa strona wersji zapoznawczej wymieniała także wynik 82% w opracowanym przez Mistral teście odtwarzania i łatania podatności oraz 93% w przypadku 40 wyzwań Cybench; wpis o modelu z otwartymi wagami nie powtarza żadnej z tych liczb.

Wszystkie pochodzą od dostawców. Żadna nie została niezależnie odtworzona, a wykres Cyber Index to odwzorowanie indeksu strony trzeciej przygotowane przez Mistrala, a nie zrzut rankingu. To nie czyni tych liczb błędnymi. Czyni je twierdzeniami, a film demonstracyjny to kolejne twierdzenie z tej samej serii.

W pozycjonowaniu występuje realne napięcie. Model dostrojony do odmowy realizacji 96,6% złośliwych żądań cybernetycznych jest jednocześnie sprzedawany za zdolność do odtwarzania exploitów i pisania poprawek. Odpowiedzią Mistrala jest wyspecjalizowany wariant do testów penetracyjnych i red-teamingu, dostępny po weryfikacji i obwarowany umownymi ograniczeniami dotyczącymi systemów będących własnością lub autoryzowanych. Checkpoint z otwartymi wagami to model ogólny, z zabezpieczeniami, które gospodarz może dostroić — i właśnie dlatego kwestia podwójnego zastosowania podąża za wagami, a nie za API.

Co zamieniłoby demo w dowód

Wiarygodne twierdzenie obejmujące cały proces wymaga sześciu rzeczy. Żadna z nich nie jest egzotyczna; wszystkich brakuje w poście.

• Wskazany CVE lub błąd bez publicznego zgłoszenia — dzięki czemu czytelnik może odróżnić odkrycie od reprodukcji.

• Commit z podatnością i commit z poprawką, aby można było przejrzeć diff.

• Odtworzenie stanu „przed i po” w tym samym środowisku, w tym exploit kończący się niepowodzeniem i powodzeniem.

• Liczba fałszywych trafień: ile kandydatów agenci zgłosili, zanim jeden przetrwał.

• Czas zegarowy i koszt tokenów dla całego przebiegu, a nie mnożnik odtwarzania.

{{1}}Niezależne ponowne uruchomienie przez osobę, która nie jest z Mistrala.{{/1}}

Opublikuj je, a argumentacja się zmieni. Do tego czasu uczciwy opis brzmi: „Mistral zademonstrował swojego agenta do triage’u na publicznym błędzie Django”, co jest użytecznym demem produktu i znacznie mniejszym twierdzeniem niż pierwsze zdanie posta.

Uruchamianie wzorca we własnej bazie kodu

Otwarte wagi to część, która ma znaczenie dla zespołów bezpieczeństwa. Mistral udostępnił checkpoint 29 października 2026 r. na licencji Mistral Ecosystem Open-Weight License, zmodyfikowanej licencji MIT, która pozwala na użytkowanie, modyfikację, dostrajanie i komercjalizację, ale wymaga oddzielnej licencji od każdego, kto prowadzi działalność model-as-a-service. Checkpoint ma 1,05 biliona parametrów, z czego 49 miliardów aktywnych na token, kontekst 1 mln tokenów oraz wariant NVFP4 dla GPU Blackwell. Hostowanie go samodzielnie to zakup klastra, a nie pobranie na laptopa, ale pozwala utrzymać kod źródłowy i wyniki w obrębie własnego obwodu — powód, dla którego zespół bezpieczeństwa wybrałby go zamiast API.

Przepływ pracy jest bardziej przenośny niż model: zmapuj kod, wygeneruj potencjalne luki, zasymuluj atak, odtwórz go w piaskownicy, załatnij, a następnie zweryfikuj, że exploit już nie zadziała. Słabym ogniwem w każdej implementacji jest weryfikator. Ten sam model, który napisał łatkę, słabo ją ocenia; drugi model z innej rodziny, któremu przekazano diff i odtworzenie, wychwytuje znaczącą część złych łatek, których pierwszy model będzie bronić.

Tu z pomocą przychodzi routing. Mistral Large 4 nie znajduje się w katalogu OrcaRoutera — jest udostępniany przez własne API Mistrala i można go pobrać do samodzielnego hostowania — ale OrcaRouter umieszcza ponad 200 innych modeli za jednym kluczem zgodnym z OpenAI z marżą 0% względem ceny katalogowej dostawcy, automatycznym przełączaniem awaryjnym i DSL routingu, który potrafi wkomponować weryfikator drugiej opinii w to samo wywołanie. Potok triage nie potrzebuje jednego modelu, który jest dobry we wszystkim; potrzebuje, aby autor patcha i recenzent patcha byli różni, a jeden klucz to tańszy sposób, aby to osiągnąć, niż dwie umowy z dostawcami.

Twierdzenie, któremu warto się przyjrzeć

Mistral ma elementy wiarygodnego produktu bezpieczeństwa: otwarte wagi, udokumentowaną pętlę triażu, mocne metryki odmów i benchmark, który mierzy właściwe czasowniki. Czego natomiast nie ma publicznie, to przypadku, w którym model znalazł coś, co nie zostało wcześniej naprawione. Następne demo powinno nazwać błąd, opublikować diff i pozwolić komuś innemu go uruchomić. Do tego czasu wideo o 133 agentach jest demonstracją orkiestracji, a nie dowodem odkrycia — a słowo „critical” robi więcej roboty, niż uzasadnia partia Django.