Fato, o django escapa os códigos SQL na camada do driver também[1]. Pensei que essa limpeza de input era responsabilidade dos forms.

[1]https://docs.djangoproject.com/en/1.5/topics/security/#sql-injection-protection