Mistral Large 4:s Django-demo med 133 agenter: Den återskapade en bugg som Django redan hade åtgärdat

Mistral Large 4, modellen med öppna vikter och 1,05 biljoner parametrar som Mistral AI gav smeknamnet Le Chonk, presenterades den 4 november 2026 som en säkerhetsforskare för hela kedjan. Ett inlägg från Mistrals officiella X-konto frågade om modellen kunde "hitta en kritisk sårbarhet, bevisa den och åtgärda den" och svarade sedan med 133 agenter, en Django-kodbas och en 90×-snabbfilm. Inlägget namnger ingen CVE. Det publicerar ingen patch. Det anger ingen körtid, inget antal tokens, inget antal falska positiva och ingen länk till en teknisk genomgång.

Tidpunkten begränsar urvalet. Djangos säkerhetsteam hade dagen innan, den 3 november 2026, släppt rättningar för sex CVE:er i 6.1.3, 6.0.10 och 5.2.19 (för ett problem anges ingen 5.2-patch). Om den omgången var målet – och det är den enda Django-CVE-omgången i nyheterna den veckan – kan demon inte ha upptäckt en okänd sårbarhet, eftersom alla sex var offentliga och patchade innan videon publicerades. Det var inte heller en kritisk sårbarhet. En hade en måttlig klassning; de övriga fem bedömdes som låga.

Det gör inte demon värdelös. Det gör den till en demonstration av arbetsflödet snarare än ett påstående om upptäckt, och distinktionen spelar roll för alla som avgör om en öppenviktsmodell kan ta en plats i ett säkerhetsteams triagekö.

Vad Mistral faktiskt visade

Inlägget är kort: "Kan Mistral Large 4 hitta en kritisk sårbarhet, bevisa den och åtgärda den? Vi testade det på en nyligen publicerad Django-CVE. 133 agenter kartlägger koden, letar efter brister, testar attackscenarier och bekräftar buggen. Sedan patchar Le Chonk den. Triage, repro, patch. Visas i 90x hastighet." Vid skrivandet hade det 540 gilla-markeringar, 94 omdelningar, 107 svar och omkring 21 000 visningar – ett respektabelt produktinlägg, inte ett avslöjande.

Mistrals egna versionsanteckningar beskriver samma arbetsflöde mer i detalj. Tillkännagivandet om öppna vikter listar en agent för "Cyber Vulnerability Triage" som läser inkommande sårbarhetsrapporter, återskapar felen i en isolerad sandlåda, skriver och itererar på en patch och fortsätter "tills en kanarieexploit inte längre fungerar". Det är en dokumenterad funktion hos modellen, skriven före videon. Körningen med 133 agenter är en offentlig demonstration av den.

Siffran 90× är en uppspelningshastighet, inte ett resultat. Utan källvideons längd eller körningens väggklockstid kan den inte omvandlas till en varaktighet. En 90×-timelapse av en körning på två timmar och en 90×-timelapse av en körning på två dygn ser identiska ut på en tidslinje.

Django-batchen, och varför "kritisk" inte passar

Djangos säkerhetsrådgivning den 3 november är ovanligt specifik, vilket är det som gör den användbar som en kontroll. Den listar sex problem, vart och ett med en CVE, en rapportör, en uppsättning drabbade grenar och en åtgärdscommit. Allvarlighetsgraderna är inte nära kritiska:

• CVE-2026-111362 — måttlig. En crs-medlem i en GeoJSON-geometri skulle kunna få GDAL att skicka nätverksförfrågningar eller läsa lokala filer vid validering, sparning eller frågekörning: en väg för SSRF och lokal filläsning.

• CVE-2026-108147 — låg. Base64-kodade multipart-uppladdningar buffrades innan uppladdningshanterarna kördes, vilket kringgick FILE_UPLOAD_MAX_MEMORY_SIZE och möjliggjorde minnesutmattning.

• CVE-2026-111211 — låg. Kontrolltecken i ogiltiga värden i geometriformulär loggades utan escaping, vilket möjliggjorde logginjektion eller förfalskning.

• CVE-2026-113593 — låg. Saknade och tomma Vary-huvudvärden gav samma cachenyckel, vilket riskerade att privata cachade svar exponerades.

• CVE-2026-113733 — låg. Adminanvändare med endast visningsbehörighet kunde se fullständiga lösenordshashar för vissa anpassade användarmodeller.

• CVE-2026-114582 – låg. Strängindata för SpatialReference skulle kunna utlösa GDAL-URL-hämtningar eller filläsningar; fullt skydd kräver GDAL 3.9 eller senare.

Alla sex åtgärdades samma dag. Det är den normala Django-processen: säkerhetsmeddelandet, patcharna och CVE-posterna publiceras tillsammans. En modell som "bekräftar buggen" en dag senare bekräftar en bugg vars fix redan finns i repositoriet och vars reproduktionssteg finns i den offentliga rapporten. Att reproducera en rapporterad bugg är det första jobbet i en triagekö, så det är riktigt arbete — men det är inte samma sak som att hitta en.

Mistral namngav inte CVE:n, så påståendet kan inte kontrolleras mot en specifik säkerhetsrådgivning. Om målet låg utanför novemberbatchen ger inlägget ingen möjlighet att identifiera det, datera det eller jämföra den genererade patchen med uppströmsfixen. Själva patchen publicerades inte.

133 agenter är ett orkestreringsnummer

Antalet agenter är ett designval, inte en poäng. En pipeline kan använda 133 agenter eftersom den sprider ut en per fil, en per hypotes eller en per attackväg; samma arbete kan utföras med fem agenter och fler turer. Det som förändras med antalet är kostnad, latens och antalet oberoende försök – inte modellens förmåga per token.

De mätvärden som skulle göra antalet meningsfullt är de som saknas: hur många kandidatfel som rapporterades, hur många som var falska positiva, hur många agenter som behövdes per bekräftad bugg och vad körningen kostade i tokens. Ett system som rapporterar 200 kandidater för att bekräfta en riktig bugg är en annan produkt än ett som rapporterar tre och bekräftar en, och båda kan ärligt beskrivas som "133 agenter."

Mistrals publicerade beskrivning antyder en snäv, verifierbar loop snarare än öppen upptäckt: reproducera i en sandlåda, iterera på en patch, stoppa när kanarieexploateringen misslyckas. Den loopen är exakt vad Django-demon visar. Det är en bra loop. Det är också loopen som en mänsklig triagerare kör med en debugger och en testsvit.

Säkerhetssiffrorna som Mistral faktiskt publicerar

Mistrals inlägg om öppna vikter placerar Mistral Large 4 på 51 % i Artificial Analysis Cyber Index, i ett leverantörsproducerat diagram som placerar MiMo-V2.6-Pro på 56 % och DeepSeek-V4.1-Flash 1017 på 57 %, med Kimi K3 på 41 % och GLM-5.3 på 36 %. Indexet testar huruvida en modell kan upptäcka sårbarheter i en kodbas, reproducera och validera dem samt patcha dem – samma tre verb som i demon.

Samma inlägg rapporterar en genomsnittlig avvisningsfrekvens på 96,6 % för skadliga cyberförfrågningar, vilket Mistral kallar den högsta den mäter bland öppna modeller, och 97,1 % attackmotståndskraft i B3-agent-säkerhetsbenchmarken, upp från 93,3 % i förhandsversionen. Oktoberförhandsvisningssidan listade också en poäng på 82 % i Mistrals eget test för att reproducera och patcha sårbarheter samt 93 % av 40 Cybench-utmaningar; inlägget om öppna vikter upprepar inte någon av siffrorna.

Alla dessa är rapporterade av leverantören. Ingen av dem har oberoende återskapats, och diagrammet Cyber Index är Mistrals återgivning av ett tredjepartsindex snarare än en avbildning av en resultattabell. Det gör inte siffrorna felaktiga. Det gör dem till påståenden, och demovideon är ännu ett påstående i samma serie.

Det finns en verklig spänning i positioneringen. En modell som är trimmad att avvisa 96,6 % av skadliga cyberförfrågningar säljs också på sin förmåga att reproducera exploits och skriva patchar. Mistrals svar är en specialiserad variant för penetrationstestning och red-teaming, tillgänglig först efter granskning och kontraktsmässiga begränsningar till ägda eller auktoriserade system. Checkpointen med öppna vikter är den allmänna modellen, med skyddsräcken som värden kan justera – vilket är precis därför dual-use-frågan följer vikterna snarare än API:et.

Vad skulle förvandla demon till bevis

Ett trovärdigt anspråk för hela kedjan kräver sex saker. Inget av dem är exotiskt; samtliga saknas i inlägget.

• En namngiven CVE, eller en bugg utan offentlig rapport – så att en läsare kan skilja upptäckt från reproduktion.

• Den sårbara commiten och den patchade commiten, så att diffen kan granskas.

• En före- och efterreproduktion i samma miljö, inklusive den misslyckade och den lyckade exploiten.

• Antalet falska positiver: hur många kandidater agenterna lade fram innan en klarade sig.

• Väggklockstid och tokenkostnad för hela körningen, inte en uppspelningsmultiplikator.

• En oberoende ny körning utförd av någon som inte är Mistral.

Publicera dem och argumentet förändras. Fram till dess är den ärliga beskrivningen "Mistral demonstrerade sin triageagent på en offentlig Django-bugg", vilket är en användbar produktdemo och ett mycket mindre påstående än första meningen i inlägget.

Att köra mönstret på din egen kodbas

De öppna vikterna är den del som spelar roll för säkerhetsteam. Mistral släppte checkpointen den 29 oktober 2026 under Mistral Ecosystem Open-Weight License, en modifierad MIT-licens som tillåter användning, modifiering, finjustering och kommersialisering, men som kräver en separat licens för den som driver en model-as-a-service-verksamhet. Checkpointen har 1,05 biljoner parametrar med 49 miljarder aktiva per token, en kontext på 1 miljon token och en NVFP4-variant för Blackwell-GPU:er. Att självhosta den är ett klusterköp, inte en nedladdning till en laptop, men det håller källkod och resultat inom din perimeter – vilket är anledningen till att ett säkerhetsteam skulle välja den framför ett API.

Arbetsflödet är mer portabelt än modellen: kartlägg koden, generera kandidatfel, simulera attacken, reproducera i en sandlåda, patch och verifiera sedan att exploaten inte längre utlöses. Den svaga länken i varje implementering är verifieraren. Samma modell som skrev patchen är dålig på att bedöma den; en andra modell från en annan familj, som får diffen och reproduktionen, fångar en betydande andel dåliga patchar som den första modellen försvarar.

Det är där routning hjälper. Mistral Large 4 finns inte i OrcaRouters katalog – den tillhandahålls via Mistrals eget API och kan laddas ned för egen drift – men OrcaRouter sätter 200+ andra modeller bakom en enda OpenAI-kompatibel nyckel med 0 % påslag på leverantörens listpris, automatisk redundans och ett routnings-DSL som kan komponera in en verifierare för en andra åsikt i samma anrop. En triage-pipeline behöver inte en enda modell som är bra på allt; den behöver att patchskrivaren och patchgranskaren är olika, och en nyckel är ett billigare sätt att nå dit än två leverantörsavtal.

Påståendet att hålla ögonen på

Mistral har beståndsdelarna i en trovärdig säkerhetsprodukt: öppna vikter, en dokumenterad triageloop, starka vägransmått och ett benchmark som mäter rätt verb. Det som saknas offentligt är ett fall där modellen hittade något som inte redan var åtgärdat. Nästa demo bör namnge buggen, publicera diffen och låta någon annan köra den. Fram till dess är videon med 133 agenter en demonstration av orkestrering, inte bevis på upptäckt – och ordet "critical" bär mer vikt än vad Django-batchen kan styrka.