Anthropic affirme que sept laboratoires chinois ont pratiqué une distillation « à l’échelle industrielle » de Claude
Un avis conjoint américain et un rapport d’Anthropic détaillent des attaques de distillation à l’échelle industrielle contre Claude et ses données exposées.
Sur cette page
Les États-Unis et Anthropic ont accentué la même bataille cette semaine. Le 8 septembre 2026, la National Security Agency, la Cybersecurity and Infrastructure Security Agency (CISA) et le FBI ont publié un avis conjoint avertissant que des entreprises d’IA basées en Chine mènent des campagnes de « distillation de connaissances » à l’échelle industrielle contre les modèles de frontière américains. Deux jours plus tard, Anthropic a publié son rapport de renseignement sur les menaces de septembre, affirmant avoir détecté et déjoué des attaques de distillation de sept laboratoires basés en Chine : Alibaba, Moonshot, DeepSeek, Zhipu (Z.ai), Xiaomi, SenseTime et MiniMax.
À lire aussi: Anthropic coupe l'accès internet en direct à ses évaluations internes après que ses agents ont enfreint les règles · Claude Duet d'Anthropic travaille en arrière-plan et demande avant d'agir.
Les deux documents décrivent un même mode opératoire depuis deux points de vue : un avertissement gouvernemental sur un drainage stratégique du leadership américain en IA, et le récit médico-légal d’un fournisseur sur des milliers de comptes frauduleux, des « stations de transfert » proxy et des centaines de millions d’échanges de modèles. Certains de ces échanges, selon Anthropic, contenaient des secrets commerciaux d’autres entreprises et des identifiants actifs de gouvernements.
Ce qu’est la distillation, et quand elle devient illicite
La distillation est en soi une technique d’entraînement légitime et très répandue. Un petit modèle « élève » est entraîné sur les sorties d’un « professeur » plus grand et plus capable, ce qui permet d’atteindre une capacité donnée avec moins de calcul et moins d’argent. Les laboratoires de frontière distillent constamment leurs propres modèles.
Le litige porte sur le consentement, l’échelle et la fraude. Le rapport d’Anthropic définit le problème sans détour : « Nous définissons la distillation illicite comme une campagne industrielle et clandestine visant à extraire les capacités d’un modèle et à les reproduire dans un autre sans autorisation. » En pratique, selon l’entreprise, cela signifie des services proxy qui créent des milliers de nouveaux comptes avec de fausses identités, des cartes bancaires falsifiées ou volées et des clés API dérobées, contournant le fait que Claude n’est pas vendu en Chine continentale ni à Hong Kong.
Une campagne de 151 millions d’échanges
Anthropic attribue la plus grande campagne jamais mesurée à des opérateurs liés au laboratoire Qwen / Tongyi d’Alibaba. Entre mai et juillet 2026, elle a observé plus de 151 millions d’échanges avec Claude, avec des pics proches de 3 millions par jour depuis plus de 3 500 comptes frauduleux. La cible était le raisonnement en chaîne de pensée d’Opus 4.6 et 4.7 : un prompt fixe forçait Claude à écrire ses traces de raisonnement dans des balises en ligne, ensuite enregistrées et converties en données de réglage fin supervisé. Selon Anthropic, ces données ont servi à entraîner les modèles Qwen 3.5, 3.6 et 3.7 d’Alibaba.
L’opération passait par deux grands bassins de comptes : le premier, près de 5 000 comptes, utilisait des proxys résidentiels, des e-mails jetables et des cartes virtuelles. Lorsqu’Anthropic a bloqué ce bassin, le trafic s’est reporté sur un second. Certains comptes acheminaient aussi des requêtes pour DeepSeek et Xiaomi, preuve que différents laboratoires exploitent la même infrastructure proxy.
Moonshot et DeepSeek servaient Claude à leurs propres utilisateurs
La conclusion la plus lourde de conséquences n’est pas la collecte massive, mais la tromperie. Moonshot AI, créatrice du chatbot Kimi, réacheminait discrètement les requêtes de ses clients vers Claude et affichait les réponses de Claude, si bien que les utilisateurs croyaient parler à Kimi, selon Anthropic. Sur une période de dix jours, près de 300 000 requêtes ont été relayées, la plupart vers Opus, via un réseau de 5 380 comptes frauduleux qu’Anthropic situe principalement à Singapour et au Japon. Entre mai et juillet, Anthropic a attribué à Moonshot plus de 23 millions d’échanges.
Moonshot conservait aussi ces échanges et utilisait une astuce de « rejeu entre sessions » (sauvegarder la référence au raisonnement caché de Claude, ouvrir une nouvelle session et lui demander de reconstituer la trace complète) pour récolter des données de raisonnement que les contrôles techniques étaient censés protéger. Le trafic relayé contenait des éléments sensibles. Un utilisateur, jugé probablement lié à l’Armée populaire de libération, a chargé une archive de surveillance composée d’images de vidéosurveillance de centaines de caméras à Chengdu et a demandé à ce qu’il croyait être Kimi d’analyser si une cible « se comportait anormalement ». Un ingénieur d’une entreprise publique chinoise a exposé du code interne et des identifiants actifs.
DeepSeek exploitait un pipeline de relais et d’extraction similaire, selon le rapport. Anthropic a compté plus de 12,1 millions d’échanges sur 14 jours en juillet 2026 et affirme que les requêtes relayées ont exposé la documentation interne d’une entreprise technologique chinoise, des identifiants actifs d’une base de données d’une agence de défense russe, et le travail d’ingénieurs construisant un outil policier de gestion des affaires qui compare les déplacements d’une personne aux archives de police via son numéro d’identité national. Anthropic dit ignorer si Moonshot ou DeepSeek ont informé leurs clients que leurs données étaient transmises à un tiers.
Zhipu, Xiaomi et l’économie des revendeurs
Trois autres campagnes complètent le tableau. Zhipu, qui se présente sous le nom de Z.ai hors de Chine, exploitait un pipeline d’extraction et de « nettoyage » de chaîne de pensée pour ses modèles GLM, en tournant sur 273 comptes frauduleux en dix jours et en faisant passer 770 609 échanges par le nettoyeur. Anthropic a attribué à l’opération plus de 3,4 millions d’échanges sur 17 jours en juin et juillet. Avant la sortie de GLM 5.3, Zhipu a aussi utilisé des jeux publics de vulnérabilités pour créer des défis de capture du drapeau et lancé une attaque de distillation contre les capacités cyber d’un autre grand laboratoire américain, Claude Opus 4.6 servant à noter les réponses. Quand le modèle Fable de Claude a tenu, Zhipu s’est tourné vers des modèles jugés moins bien protégés.
Xiaomi rejouait les conversations d’utilisateurs et les sessions de codage de ses propres modèles MiMo à travers Claude, en conservant les échanges pour l’apprentissage supervisé et par renforcement. Anthropic a observé plus de 400 000 requêtes sur plus de 1 500 comptes pendant 20 jours en mars et avril 2026. SenseTime achetait des transcriptions d’utilisateurs à des vendeurs de données tiers et utilisait Claude pour écrire et surveiller son pipeline; MiniMax a bâti un réseau proxy via une société écran qui ne proposait que des modèles d’Anthropic et d’OpenAI.
Anthropic décrit sept laboratoires au total. Les cinq plus grandes campagnes totalisent près de 200 millions d’échanges, selon TechCrunch, et environ 190 millions selon Business Insider.
Pourquoi les données d’utilisateurs pourraient survivre au combat sur la propriété intellectuelle
Les chiffres de distillation sont frappants, mais l’exposition des données est la partie à la traîne la plus longue. Selon Anthropic, les sessions relayées contenaient des noms, des adresses e-mail et des données d’entreprise de centaines d’utilisateurs finaux dans au moins une douzaine de langues, des données que ces utilisateurs n’ont jamais accepté d’envoyer à un modèle américain. « Ces pratiques sont probablement incompatibles avec les lois sur la vie privée et les propres conditions d’utilisation des laboratoires », indique le rapport.
Washington passe à l’action
Le gouvernement américain n’a pas attendu le rapport d’un seul fournisseur. L’avis conjoint publié le 8 septembre nomme DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI, affirme que les campagnes durent « au moins depuis fin 2024 » et souligne que « l’ampleur même de ces campagnes et leur sophistication indiquent que la distillation n’est pas un complément au développement des modèles d’IA de ces entreprises, mais leur cœur critique ». Il ajoute que l’activité se fait « probablement avec la connaissance du gouvernement chinois ».
L’avis recommande trois mesures immédiates aux entreprises américaines d’IA : détecter les prompts, comptes et réseaux anormaux; modifier subtilement les réponses aux présumés distilleurs, par exemple en dégradant ou en diversifiant les sorties pour que les transcriptions volées soient moins utiles; et partager le renseignement entre fournisseurs de modèles, plateformes cloud et agrégateurs d’API. Il rattache les tactiques au cadre MITRE ATLAS et cite la confidentialité différentielle et l’obfuscation des réponses comme mesures d’atténuation.
L’arrière-plan est un affrontement politique antérieur à cette semaine. La Maison-Blanche a diffusé un mémorandum sur la distillation adverse en avril 2026, et la commission spéciale de la Chambre sur la Chine a exhorté le Congrès à traiter l’extraction de modèles comme de l’espionnage industriel au titre de l’Economic Espionage Act et du Computer Fraud and Abuse Act. Anthropic a défendu un argument similaire dans une lettre du 10 juin aux sénateurs Tim Scott et Elizabeth Warren, décrivant 28,8 millions d’échanges via environ 25 000 comptes frauduleux. Le ministère chinois des Affaires étrangères a déclaré à Reuters ne pas connaître le rapport d’Anthropic, ajoutant que l’IA doit être développée pour le bien et que la Chine rejette les déformations et les calomnies.
Ce qu’Anthropic a changé
Anthropic affirme avoir réagi sur plusieurs fronts. Claude résume désormais son raisonnement interne avant de répondre, ce qui rend les traces capturées moins utiles comme données d’entraînement. Avec Fable 5.1, l’entreprise a ajouté la « pensée préservée », qui empêche les nouveaux comptes API de modifier le prompt système, les outils ou les messages qui précèdent le raisonnement du modèle dans une conversation à plusieurs tours, une astuce courante pour faire ressortir le raisonnement. Elle a aussi renforcé les classificateurs détectant l’extraction adverse et exige désormais une vérification d’identité des comptes semblant opérer depuis des pays non pris en charge comme la Chine, la Russie ou l’Iran. Son argument est simple : « Les solides garde-fous qui empêchent Claude d’être détourné par des acteurs malveillants ne se transfèrent pas lorsque nos modèles sont distillés par un laboratoire non autorisé. »
La distillation n’est pas illégale, et « illicite » se définit ici par les conditions d’utilisation, la fraude et l’échelle, non par une loi. C’est précisément pourquoi le combat se déplace désormais au Congrès.
Réserves et points à surveiller
Le récit provient presque entièrement de la télémétrie d’une seule entreprise, et les chiffres doivent être lus ainsi. Les attributions d’Anthropic reposent sur ses propres journaux et analyses d’infrastructure; les chercheurs indépendants ne peuvent pas voir les données sous-jacentes. Alibaba, Moonshot, DeepSeek, Xiaomi et Anthropic n’ont pas répondu aux demandes de la presse, et aucun des laboratoires accusés n’a confirmé les conclusions. La distillation est une technique à double usage (la même méthode alimente des modèles plus petits légitimes), qualifier une campagne d’« illicite » est donc un jugement sur le consentement et la fraude, non l’affirmation qu’une loi précise a été violée.
S’ajoute une dimension de crédibilité qu’Anthropic ne maîtrise pas. L’entreprise a passé l’année à presser Washington d’adopter des règles plus dures, et ses motivations sont autant commerciales que sécuritaires : si ses modèles peuvent être copiés à bas coût, son pouvoir de fixation des prix s’érode. Son propre bilan en matière d’usage des données n’est pas irréprochable non plus, après l’accord conclu en 2025 avec des auteurs sur la manière dont elle s’est procuré les livres d’entraînement.
Quatre points méritent d’être suivis. La législation américaine qu’implique l’avis avancera-t-elle vraiment. D’autres laboratoires de frontière corroboreront-ils des campagnes similaires et publieront-ils leurs propres chiffres. Les nouveaux garde-fous d’Anthropic augmentent-ils réellement le coût de l’extraction, ou poussent-ils simplement les laboratoires vers de nouvelles techniques. Et l’exposition des données d’utilisateurs (ces sessions sensibles passées en silence par des relais tiers) deviendra-t-elle un problème réglementaire et juridique à part entière, tant pour les laboratoires chinois que pour les intermédiaires qui ont conservé et vendu ces conversations.
Pour l’instant, la principale leçon de la semaine est structurelle. Le débat sur les contrôles des exportations a longtemps supposé que priver la Chine de puces avancées limitait la vitesse à laquelle ses modèles progressent. Le rapport d’Anthropic soutient qu’une part significative de ces progrès vient directement de modèles américains, et que les pipelines concernés sont désormais assez industriels pour justifier, la même semaine, une alerte gouvernementale et un rapport médico-légal de fournisseur.
Image de couverture : un centre de données du CERN. Photo de Hugovanmeijeren, via Wikimedia Commons, CC BY-SA 3.0.
Étiquettes
TPW Editorial
Rédaction
L'équipe éditoriale de TechPastWeek enquête et édite chaque article publié. Chaque sujet est recoupé avec des sources primaires et secondaires fiables, et un éditeur le relit avant publication.
