Bản demo Django với 133 tác nhân của Mistral Large 4: Nó đã tái hiện một lỗi mà Django đã sửa từ trước

Mistral Large 4, mô hình trọng số mở 1,05 nghìn tỷ tham số mà Mistral AI đặt biệt danh Le Chonk, đã được giới thiệu vào ngày 4 tháng 11 năm 2026 với tư cách là một nhà nghiên cứu bảo mật toàn trình. Một bài đăng từ tài khoản X chính thức của Mistral đã hỏi liệu mô hình có thể "tìm ra một lỗ hổng nghiêm trọng, chứng minh nó và khắc phục nó" hay không, rồi trả lời bằng 133 tác tử, một cơ sở mã Django và một đoạn tua nhanh 90×. Bài đăng không nêu tên CVE nào. Nó không công bố bản vá nào. Nó không đưa ra thời gian chạy, số token, số dương tính giả và không có liên kết đến bài viết kỹ thuật.

Thời điểm này giúp thu hẹp phạm vi. Đội ngũ bảo mật của Django đã phát hành bản sửa cho sáu CVE vào ngày hôm trước, 3 tháng 11 năm 2026, trong 6.1.3, 6.0.10 và 5.2.19 (một vấn đề không có bản vá 5.2 nào được liệt kê). Nếu lô đó là mục tiêu — và đó là lô CVE Django duy nhất xuất hiện trên tin tức trong tuần đó — thì bản demo không thể đã phát hiện ra một lỗ hổng chưa biết, vì cả sáu đều đã công khai và được vá trước khi video được đăng. Đó cũng không phải là một lỗ hổng nghiêm trọng. Một lỗ hổng được xếp mức trung bình; năm lỗ hổng còn lại được xếp mức thấp.

Điều đó không làm cho bản demo trở nên vô giá trị. Nó khiến bản demo trở thành một minh chứng về quy trình làm việc thay vì một tuyên bố về phát hiện, và sự phân biệt này có ý nghĩa với bất kỳ ai đang cân nhắc liệu một mô hình trọng số mở có thể đảm nhận một vị trí trong hàng đợi phân loại sự cố của đội ngũ bảo mật hay không.

Mistral thực sự đã cho thấy điều gì

Bài đăng rất ngắn: "Mistral Large 4 có thể tìm ra một lỗ hổng nghiêm trọng, chứng minh và sửa nó không? Chúng tôi đã thử nó trên một CVE Django gần đây. 133 agent lập bản đồ mã nguồn, săn tìm lỗ hổng, kiểm thử các kịch bản tấn công và xác nhận lỗi. Sau đó Le Chonk vá lỗi đó. Phân loại, tái hiện, vá. Hiển thị ở tốc độ 90x." Vào thời điểm viết bài, bài đăng có 540 lượt thích, 94 lượt đăng lại, 107 câu trả lời và khoảng 21.000 lượt xem — một bài đăng sản phẩm đáng nể, không phải một công bố lỗ hổng.

Ghi chú phát hành của chính Mistral mô tả cùng quy trình này chi tiết hơn. Thông báo về mô hình trọng số mở liệt kê một tác nhân "Cyber Vulnerability Triage" đọc các báo cáo lỗ hổng gửi đến, tái tạo các lỗi trong một sandbox cô lập, viết và tinh chỉnh một bản vá, rồi tiếp tục "cho đến khi một exploit canary không còn hoạt động nữa." Đó là một tính năng đã được tài liệu hóa của mô hình, được viết trước video. Lần chạy 133 tác nhân là một minh chứng công khai về tính năng đó.

Con số 90× là tốc độ phát lại, không phải kết quả. Nếu không có độ dài của video gốc hoặc thời gian thực tế của lần chạy, thì không thể chuyển nó thành một thời lượng. Một đoạn tua nhanh 90× của lần chạy hai giờ và một đoạn tua nhanh 90× của lần chạy hai ngày trông giống hệt nhau trên dòng thời gian.

Lô Django, và vì sao “critical” không phù hợp

Bản khuyến cáo ngày 3 tháng 11 của Django đặc biệt cụ thể, và chính điều đó khiến nó hữu ích như một đối chứng. Nó liệt kê sáu vấn đề, mỗi vấn đề kèm một CVE, một người báo cáo, một tập nhánh bị ảnh hưởng và một commit sửa lỗi. Các mức độ nghiêm trọng không gần mức critical:

• CVE-2026-111362 — {{1}}trung bình{{/1}}. Thành phần crs của một hình học GeoJSON có thể khiến GDAL phát sinh yêu cầu mạng hoặc đọc tệp cục bộ trong quá trình xác thực, lưu hoặc truy vấn: một đường dẫn SSRF và đọc tệp cục bộ.

• CVE-2026-108147 — thấp. Các tệp tải lên multipart được mã hóa Base64 đã bị đệm trước khi các trình xử lý tải lên chạy, bỏ qua FILE_UPLOAD_MAX_MEMORY_SIZE và cho phép cạn kiệt bộ nhớ.

• CVE-2026-111211 — thấp. Các ký tự điều khiển trong giá trị biểu mẫu hình học không hợp lệ đã được ghi nhật ký mà không được thoát, cho phép chèn hoặc làm giả nhật ký.

• CVE-2026-113593 — mức thấp. Giá trị tiêu đề Vary bị thiếu và rỗng tạo ra cùng một khóa bộ nhớ đệm, có nguy cơ làm lộ các phản hồi riêng tư đã được lưu trong bộ nhớ đệm.

• CVE-2026-113733 — thấp. Người dùng quản trị chỉ có quyền xem có thể thấy toàn bộ mã băm mật khẩu của một số mô hình người dùng tùy chỉnh nhất định.

• CVE-2026-114582 — thấp. Đầu vào chuỗi SpatialReference có thể kích hoạt việc tải URL hoặc đọc tệp của GDAL; bảo vệ đầy đủ yêu cầu GDAL 3.9 trở lên.

Cả sáu đều được sửa trong cùng một ngày. Đó là quy trình bình thường của Django: bản khuyến cáo, các bản vá và hồ sơ CVE được công bố cùng lúc. Một mô hình “xác nhận lỗi” sau một ngày là đang xác nhận một lỗi mà bản sửa đã có trong kho mã, và các bước tái hiện đã nằm trong báo cáo công khai. Tái hiện một lỗi đã được báo cáo là công việc đầu tiên của hàng đợi phân loại, nên đây là công việc thực sự — nhưng nó không giống với việc tìm ra một lỗi.

Mistral không nêu tên CVE, nên không thể đối chiếu tuyên bố này với một bản tư vấn bảo mật cụ thể. Nếu mục tiêu nằm ngoài đợt tháng 11, bài đăng không đưa ra cách nào để xác định mục tiêu đó, xác định ngày của nó, hoặc so sánh bản vá được tạo với bản sửa lỗi từ upstream. Bản thân bản vá cũng không được công bố.

133 agent là một con số điều phối.

Số lượng agent là một lựa chọn thiết kế, không phải điểm số. Một pipeline có thể dùng 133 agent vì nó phân nhánh mỗi tệp một agent, mỗi giả thuyết một agent hoặc mỗi đường tấn công một agent; công việc tương tự có thể được thực hiện với năm agent và nhiều lượt hơn. Điều thay đổi theo số lượng là chi phí, độ trễ và số lần thử độc lập — không phải năng lực trên mỗi token của mô hình.

Các chỉ số khiến con số đó trở nên có ý nghĩa lại chính là những chỉ số đang thiếu: có bao nhiêu lỗi ứng viên được nêu ra, bao nhiêu trong số đó là dương tính giả, cần bao nhiêu agent cho mỗi lỗi đã được xác nhận, và lần chạy đó tốn bao nhiêu token. Một hệ thống nêu ra 200 ứng viên để xác nhận một lỗi thật là một sản phẩm khác với một hệ thống nêu ra ba và xác nhận một, và cả hai đều có thể được mô tả một cách trung thực là "133 agent".

Mô tả đã công bố của Mistral gợi ý một vòng lặp hẹp, có thể kiểm chứng thay vì khám phá mở: tái hiện trong sandbox, lặp lại trên một bản vá, dừng khi canary exploit thất bại. Vòng lặp đó chính xác là điều mà bản demo Django thể hiện. Đó là một vòng lặp tốt. Đó cũng là vòng lặp mà một người làm công việc phân loại chạy với trình gỡ lỗi và một bộ kiểm thử.

Những số liệu bảo mật mà Mistral thực sự công bố

Bài đăng về trọng số mở của Mistral đặt Mistral Large 4 ở mức 51% trên Artificial Analysis Cyber Index, trong một biểu đồ do nhà cung cấp tự tạo, nơi MiMo-V2.6-Pro được xếp ở 56% và DeepSeek-V4.1-Flash 1017 ở 57%, còn Kimi K3 ở 41% và GLM-5.3 ở 36%. Chỉ số này kiểm tra liệu một mô hình có thể phát hiện lỗ hổng trong một cơ sở mã, tái tạo và xác thực chúng, rồi vá chúng hay không — đúng ba động từ như trong bản demo.

Cùng bài đăng đó báo cáo tỷ lệ từ chối trung bình 96,6% đối với các yêu cầu mạng độc hại, mà Mistral gọi là mức cao nhất mà họ đo được trong số các mô hình mở, và khả năng chống tấn công 97,1% trên bộ đánh giá an ninh tác nhân B3, tăng từ 93,3% ở bản xem trước. Trang xem trước tháng 10 cũng liệt kê điểm 82% trong bài kiểm tra tái tạo và vá lỗ hổng của chính Mistral và 93% trong số 40 thách thức Cybench; bài đăng về trọng số mở không nhắc lại con số nào trong hai con số đó.

Tất cả những điều này đều do nhà cung cấp tự báo cáo. Chưa có điều nào được tái lập một cách độc lập, và biểu đồ Cyber Index là cách Mistral thể hiện một chỉ số của bên thứ ba chứ không phải ảnh chụp bảng xếp hạng. Điều đó không khiến các con số trở nên sai. Nó khiến chúng trở thành những tuyên bố, và video demo là một tuyên bố khác trong cùng chuỗi.

Có một căng thẳng thực sự trong định vị. Một mô hình được tinh chỉnh để từ chối 96,6% yêu cầu mạng độc hại cũng đang được bán dựa trên khả năng tái tạo các khai thác và viết bản vá. Câu trả lời của Mistral là một biến thể chuyên dụng cho kiểm thử xâm nhập và red-teaming, được kiểm soát bằng thẩm định và các giới hạn hợp đồng đối với hệ thống thuộc sở hữu hoặc được cấp phép. Checkpoint trọng số mở là mô hình tổng quát, với các hàng rào bảo vệ mà bên triển khai có thể tinh chỉnh — đó chính xác là lý do câu hỏi về sử dụng kép gắn với trọng số thay vì API.

Điều gì sẽ biến bản demo thành bằng chứng?

Một tuyên bố xuyên suốt từ đầu đến cuối đáng tin cậy cần sáu thứ. Không thứ nào trong số đó là xa lạ; tất cả đều vắng mặt trong bài đăng.

• Một CVE được nêu tên, hoặc một lỗi không có báo cáo công khai — để người đọc có thể phân biệt giữa phát hiện và tái hiện.

• Commit có lỗ hổng và commit đã được vá, để có thể xem xét diff.

• Tái hiện trước và sau trong cùng một môi trường, bao gồm cả exploit thất bại và exploit thành công.

• Số lượng dương tính giả: số ứng viên mà các agent đã đưa ra trước khi một ứng viên được giữ lại.

• Thời gian thực và chi phí token cho toàn bộ lần chạy, không phải hệ số phát lại.

• Một lần chạy lại độc lập do một người không phải Mistral thực hiện.

Công bố những thứ đó và lập luận sẽ thay đổi. Cho đến lúc đó, mô tả trung thực là “Mistral đã trình diễn tác nhân phân loại lỗi của mình trên một lỗi Django công khai”, đây là một bản demo sản phẩm hữu ích và là một tuyên bố nhỏ hơn nhiều so với câu đầu tiên của bài đăng.

Chạy mẫu trên codebase của riêng bạn

Trọng số mở là phần quan trọng đối với các nhóm bảo mật. Mistral đã phát hành checkpoint vào ngày 29 tháng 10 năm 2026 theo Mistral Ecosystem Open-Weight License, một giấy phép MIT sửa đổi cho phép sử dụng, sửa đổi, tinh chỉnh và thương mại hóa, nhưng yêu cầu giấy phép riêng cho bất kỳ ai vận hành doanh nghiệp model-as-a-service. Checkpoint có 1,05 nghìn tỷ tham số với 49 tỷ tham số hoạt động trên mỗi token, ngữ cảnh 1M token và một biến thể NVFP4 cho GPU Blackwell. Tự vận hành nó là một khoản mua cả cụm máy chủ, không phải tải xuống laptop, nhưng nó giữ mã nguồn và các kết quả phát hiện bên trong vành đai của bạn — lý do một nhóm bảo mật sẽ chọn nó thay vì API.

Quy trình có tính di động cao hơn mô hình: lập bản đồ mã, tạo các lỗ hổng ứng viên, mô phỏng cuộc tấn công, tái tạo trong sandbox, vá, rồi xác minh rằng exploit không còn kích hoạt nữa. Bước yếu trong mọi cách triển khai là thành phần xác minh. Chính mô hình đã viết bản vá lại là người đánh giá kém về nó; một mô hình thứ hai thuộc họ khác, khi được cung cấp diff và bản tái tạo, sẽ bắt được một phần đáng kể các bản vá tồi mà mô hình đầu tiên sẽ bảo vệ.

Đó là lúc định tuyến phát huy tác dụng. Mistral Large 4 không nằm trong danh mục của OrcaRouter — nó được cung cấp trên API riêng của Mistral và có thể tải về để tự vận hành — nhưng OrcaRouter đưa hơn 200 mô hình khác vào sau một khóa tương thích OpenAI duy nhất với mức phụ phí 0% trên giá niêm yết của nhà cung cấp, tự động chuyển đổi dự phòng và một DSL định tuyến có thể ghép một bộ xác minh ý kiến thứ hai vào cùng một lệnh gọi. Một pipeline phân loại không cần một mô hình giỏi mọi thứ; nó cần người viết bản vá và người đánh giá bản vá phải khác nhau, và một khóa là cách rẻ hơn để đạt được điều đó so với hai hợp đồng nhà cung cấp.

Tuyên bố đáng theo dõi

Mistral đã có những mảnh ghép của một sản phẩm bảo mật đáng tin cậy: trọng số mở, một vòng lặp phân loại được tài liệu hóa, các chỉ số từ chối mạnh và một bộ đánh giá đo đúng những động từ cần đo. Điều mà công chúng chưa thấy là một trường hợp mô hình tìm ra thứ chưa được sửa. Bản demo tiếp theo nên nêu tên lỗi, công bố diff và để người khác chạy nó. Cho đến lúc đó, video 133 tác nhân là minh chứng cho khả năng điều phối, không phải bằng chứng về việc phát hiện — và từ “critical” đang gánh vác nhiều hơn mức mà lô Django có thể chống đỡ.