Demo Django com 133 agentes do Mistral Large 4: reproduziu um bug que o Django já havia corrigido

O Mistral Large 4, o modelo de pesos abertos com 1,05 trilhão de parâmetros que a Mistral AI apelidou de Le Chonk, foi apresentado em 4 de novembro de 2026 como um pesquisador de segurança de ponta a ponta. Uma publicação da conta oficial da Mistral no X perguntou se o modelo conseguiria “encontrar uma vulnerabilidade crítica, comprová-la e corrigi-la”, e então respondeu com 133 agentes, uma base de código Django e um time-lapse de 90×. A publicação não cita nenhum CVE. Não publica nenhum patch. Não informa tempo de execução, contagem de tokens, contagem de falsos positivos nem link para um relatório técnico.

O momento reduz o campo de possibilidades. A equipe de segurança do Django havia lançado correções para seis CVEs no dia anterior, 3 de novembro de 2026, nas versões 6.1.3, 6.0.10 e 5.2.19 (um problema não tem patch para a 5.2 listado). Se esse lote era o alvo — e é o único lote de CVEs do Django nas notícias naquela semana —, a demonstração não pode ter descoberto uma falha desconhecida, porque todas as seis eram públicas e já haviam sido corrigidas antes de o vídeo ser publicado. Também não era uma vulnerabilidade crítica. Uma tinha classificação moderada; as outras cinco foram classificadas como baixa.

Isso não torna a demonstração inútil. Torna-a uma demonstração de fluxo de trabalho, e não uma alegação de descoberta, e a distinção é importante para quem está a decidir se um modelo de pesos abertos pode ocupar um lugar na fila de triagem de uma equipa de segurança.

O que a Mistral realmente mostrou

O post é curto: "O Mistral Large 4 consegue encontrar uma vulnerabilidade crítica, prová-la e corrigi-la? Testamo-lo numa CVE recente do Django. 133 agentes mapeiam o código, procuram falhas, testam cenários de ataque e confirmam o bug. Depois, o Le Chonk aplica o patch. Triagem, reprodução, patch. Mostrado em velocidade 90x." No momento da escrita, tinha 540 curtidas, 94 reposts, 107 respostas e cerca de 21.000 visualizações — um post de produto respeitável, não uma divulgação.

As notas de versão da própria Mistral descrevem o mesmo fluxo de trabalho com mais detalhes. O anúncio do modelo de pesos abertos lista um agente de "Cyber Vulnerability Triage" que lê relatórios de vulnerabilidade recebidos, reproduz as falhas em um sandbox isolado, escreve e itera em um patch, e continua "até que um exploit canário não funcione mais." Isso é um recurso documentado do modelo, escrito antes do vídeo. A execução com 133 agentes é uma demonstração pública disso.

O valor de 90× é uma velocidade de reprodução, não um resultado. Sem a duração do vídeo de origem ou o tempo real de execução, não é possível convertê-lo em uma duração. Um time-lapse de 90× de uma execução de duas horas e um time-lapse de 90× de uma execução de dois dias parecem idênticos em uma linha do tempo.

O lote Django, e por que "crítico" não se encaixa

O aviso de 3 de novembro do Django é incomumente específico, e é isso que o torna útil como controle. Ele lista seis problemas, cada um com um CVE, um relator, um conjunto de branches afetadas e um commit de correção. As severidades não chegam nem perto de críticas:

• CVE-2026-111362 — moderada. O membro crs de uma geometria GeoJSON pode fazer o GDAL emitir solicitações de rede ou ler arquivos locais durante validação, salvamento ou consulta: uma via de SSRF e leitura de arquivos locais.

• CVE-2026-108147 — baixa. Uploads multipart codificados em Base64 eram armazenados em buffer antes da execução dos manipuladores de upload, contornando FILE_UPLOAD_MAX_MEMORY_SIZE e permitindo o esgotamento de memória.

• CVE-2026-111211 — baixa. Caracteres de controle em valores de formulário de geometria inválidos foram registrados sem escape, permitindo injeção ou falsificação de logs.

• CVE-2026-113593 — baixa. Valores ausentes e vazios do cabeçalho Vary produziam a mesma chave de cache, arriscando a exposição de respostas privadas em cache.

• CVE-2026-113733 — baixa. Usuários administradores com acesso somente para visualização podiam ver hashes de senha completos de determinados modelos de usuário personalizados.

• CVE-2026-114582 — baixa. A entrada de string SpatialReference pode acionar buscas de URL ou leituras de arquivos pelo GDAL; a proteção completa exige GDAL 3.9 ou posterior.

Todos os seis foram corrigidos no mesmo dia. Esse é o processo normal do Django: o aviso, os patches e os registros CVE são publicados juntos. Um modelo que "confirma o bug" um dia depois está confirmando um bug cuja correção já está no repositório e cujos passos de reprodução estão no relatório público. Reproduzir um bug relatado é a primeira tarefa de uma fila de triagem, então isso é trabalho de verdade — mas não é o mesmo que encontrar um.

A Mistral não nomeou a CVE, portanto a alegação não pode ser verificada em relação a um aviso específico. Se o alvo estava fora do lote de novembro, a publicação não oferece meio de identificá-lo, datá-lo ou comparar o patch gerado com a correção upstream. O próprio patch não foi publicado.

133 agentes é um número de orquestração

O número de agentes é uma escolha de design, não uma pontuação. Um pipeline pode usar 133 agentes porque se ramifica em um por arquivo, um por hipótese ou um por caminho de ataque; o mesmo trabalho pode ser feito com cinco agentes e mais turnos. O que muda com o número é o custo, a latência e o número de tentativas independentes — não a capacidade do modelo por token.

Faltam justamente as métricas que tornariam a contagem significativa: quantas falhas candidatas foram levantadas, quantas eram falsos positivos, quantos agentes foram necessários por bug confirmado e quanto custou a execução em tokens. Um sistema que levanta 200 candidatos para confirmar um único bug real é um produto diferente de outro que levanta três e confirma um, e ambos podem ser descritos com honestidade como “133 agentes”.

A descrição publicada da Mistral sugere um ciclo estreito e verificável, em vez de descoberta aberta: reproduzir em um sandbox, iterar em um patch e parar quando o exploit canário falhar. Esse ciclo é exatamente o que a demonstração do Django mostra. É um bom ciclo. Também é o ciclo que um triador humano executa com um depurador e uma suíte de testes.

Os números de segurança que a Mistral realmente publica

A publicação de pesos abertos da Mistral coloca o Mistral Large 4 em 51% no Artificial Analysis Cyber Index, em um gráfico produzido pelo fornecedor que posiciona o MiMo-V2.6-Pro em 56% e o DeepSeek-V4.1-Flash 1017 em 57%, com o Kimi K3 em 41% e o GLM-5.3 em 36%. O índice testa se um modelo consegue descobrir vulnerabilidades em uma base de código, reproduzi-las e validá-las, e corrigi-las — os mesmos três verbos da demonstração.

A mesma publicação relata uma taxa média de recusa de 96,6% em solicitações cibernéticas maliciosas, que a Mistral afirma ser a mais alta que mede entre modelos abertos, e 97,1% de resistência a ataques no benchmark de segurança de agentes B3, acima dos 93,3% na prévia. A página de prévia de outubro também listava uma pontuação de 82% no teste de reprodução e correção de vulnerabilidades da própria Mistral e 93% dos 40 desafios do Cybench; a publicação sobre pesos abertos não repete nenhum dos dois números.

Todos eles são informados pelo fornecedor. Nenhum foi reproduzido de forma independente, e o gráfico do Cyber Index é uma renderização da Mistral de um índice de terceiros, e não uma captura de um leaderboard. Isso não torna os números errados. Torna-os alegações, e o vídeo de demonstração é outra alegação da mesma série.

Há uma tensão real no posicionamento. Um modelo ajustado para recusar 96,6% das solicitações cibernéticas maliciosas também é vendido por sua capacidade de reproduzir exploits e escrever patches. A resposta da Mistral é uma variante especializada para testes de penetração e red-teaming, condicionada a verificação e a limites contratuais para sistemas próprios ou autorizados. O checkpoint de pesos abertos é o modelo geral, com salvaguardas que o host pode ajustar — e é exatamente por isso que a questão do duplo uso acompanha os pesos, e não a API.

O que transformaria a demo em evidência

Uma alegação credível de ponta a ponta requer seis coisas. Nenhuma delas é exótica; todas estão ausentes da publicação.

• Um CVE nomeado, ou um bug sem relatório público — para que o leitor possa distinguir a descoberta da reprodução.

• O commit vulnerável e o commit corrigido, para que o diff possa ser revisado.

• Uma reprodução de antes e depois no mesmo ambiente, incluindo o exploit que falha e o que passa.

• A contagem de falsos positivos: quantos candidatos os agentes apresentaram antes que um sobrevivesse.

• Tempo real e custo de tokens para a execução completa, não um multiplicador de reprodução.

• Uma nova execução independente feita por alguém que não é a Mistral.

Publique isso e o argumento muda. Até lá, a descrição honesta é "a Mistral demonstrou seu agente de triagem em um bug público do Django", o que é uma demonstração de produto útil e uma alegação muito menor do que a primeira frase do post.

Executando o padrão em sua própria base de código

Os pesos abertos são a parte que importa para as equipes de segurança. A Mistral lançou o checkpoint em 29 de outubro de 2026 sob a Mistral Ecosystem Open-Weight License, uma licença MIT modificada que permite uso, modificação, ajuste fino e comercialização, mas exige uma licença separada para quem opera um negócio de modelo como serviço. O checkpoint tem 1,05 trilhão de parâmetros, com 49 bilhões ativos por token, contexto de 1 milhão de tokens e uma variante NVFP4 para GPUs Blackwell. Hospedá-lo por conta própria é uma compra de cluster, não um download para laptop, mas mantém o código-fonte e as descobertas dentro do seu perímetro — o motivo pelo qual uma equipe de segurança o escolheria em vez de uma API.

O fluxo de trabalho é mais portável que o modelo: mapear o código, gerar falhas candidatas, simular o ataque, reproduzir em sandbox, aplicar o patch e então verificar que o exploit não dispara mais. A etapa fraca em toda implementação é o verificador. O mesmo modelo que escreveu o patch é um mau juiz dele; um segundo modelo de uma família diferente, recebendo o diff e a reprodução, detecta uma parcela significativa de patches ruins que o primeiro modelo defenderá.

É aí que o roteamento ajuda. O Mistral Large 4 não está no catálogo do OrcaRouter — ele é servido na API própria da Mistral e pode ser baixado para auto-hospedagem — mas o OrcaRouter coloca mais de 200 outros modelos por trás de uma única chave compatível com OpenAI com 0% de markup sobre o preço de tabela do provedor, failover automático e uma DSL de roteamento que pode compor um verificador de segunda opinião na mesma chamada. Um pipeline de triagem não precisa que um modelo seja bom em tudo; ele precisa que o autor do patch e o revisor do patch sejam diferentes, e uma chave é uma forma mais barata de chegar lá do que dois contratos com fornecedores.

A alegação para ficar de olho

A Mistral tem as peças de um produto de segurança credível: pesos abertos, um ciclo de triagem documentado, fortes métricas de recusa e um benchmark que mede os verbos certos. O que não tem, em público, é um caso em que o modelo tenha encontrado algo que ainda não estivesse corrigido. A próxima demonstração deveria nomear o bug, publicar o diff e deixar outra pessoa executá-lo. Até lá, o vídeo dos 133 agentes é uma demonstração de orquestração, não evidência de descoberta — e a palavra "critical" está a fazer mais trabalho do que o lote do Django suporta.