Microsoft IKE CVE-2026-33824 : quand une IA autonome pilote la campagne d'exploitation

> En bref : CVE-2026-33824 (CVSS 9.8) est une vulnérabilité double-free dans les extensions du service Microsoft Internet Key Exchange (IKE), permettant une exécution de code à distance sans authentification. Ce qui rend ce cas particulièrement notable n'est pas la faille elle-même, mais la façon dont elle a été exploitée : un acteur chinois a laissé l'IA DeepSeek, via le framework Hermes Agent, identifier et cibler de manière largement autonome plus de 460 organisations.

La faille technique

Une vulnérabilité double-free (libération mémoire en double) dans les extensions du service IKE de Microsoft — un composant central des VPN basés sur IPsec — permet à un attaquant distant non authentifié d'exécuter du code arbitraire. La CISA l'a ajoutée à son catalogue des vulnérabilités activement exploitées le 18 août 2026.

Ce qui rend cette campagne différente : l'autonomie de l'IA offensive

Selon l'analyse de Palo Alto Networks Unit 42, l'acteur — basé à Zhuhai en Chine et opérant sous les pseudonymes knaithe et KnYuan — a utilisé DeepSeek comme opérateur offensif autonome. Le déroulé observé est révélateur :

Au total, l'acteur a tenté de compromettre plus de 460 cibles en combinant techniques autonomes et manuelles.

Pourquoi c'est un signal d'alarme pour tous les éditeurs, pas juste les cibles directes

Cette campagne illustre un changement de nature de la menace que nous documentons régulièrement : les agents IA ne se contentent plus d'assister un opérateur humain, ils prennent des décisions autonomes de reconnaissance, de sélection de cible et d'adaptation face à un échec. Le délai entre l'échec d'une tentative d'exploitation et le pivot vers une autre cible se compte en minutes, pas en jours. Pour toute organisation exposée sur internet, cela signifie que la surface d'attaque tout entière (pas seulement les systèmes les plus évidents) peut être testée de façon quasi instantanée et systématique.

Ce qu'il faut faire

Ce que CleanIssue vérifie

Nos audits intègrent une revue de l'exposition de vos composants réseau et d'automatisation, en tenant compte du fait que les délais entre divulgation et exploitation se raccourcissent, notamment sous l'effet d'outils d'attaque assistés par IA.

À retenir