Собирайте строку и вместо переменных пишите %, попутно собирая список переменных, потом через execute выполняйте, orm сделает все сама. В драйвере Mysql для python есть функция escape_string(), если у вас так прямо все тяжело.