OpenAI affirme avoir déjoué une campagne d'extraction de raisonnement liée à des proches de Moonshot AI

OpenAI a révélé le 30 septembre 2026 avoir déjoué une campagne coordonnée visant à extraire le raisonnement caché que ses modèles utilisent pour résoudre les problèmes, et avoir pointé des personnes liées à Moonshot AI, le développeur chinois de la famille de modèles Kimi. Dans une publication intitulée « Disrupting a coordinated model-distillation campaign », l'entreprise indique que l'activité a commencé la première semaine de juillet et s'est arrêtée lorsqu'elle a mis fin à l'opération le 28 juillet.

À lire aussi: OpenAI déplace l'entraînement de ses modèles de frontière hors d'Internet, vers une copie en cache du Web · Des revenus d'OpenAI sous les attentes font chuter les valeurs liées à l'IA.

La divulgation est intervenue dans un différend grandissant sur la distillation, la pratique consistant à utiliser les sorties d'un modèle pour en entraîner un autre. OpenAI qualifie ce cas de distillation adverse, car elle affirme que les opérateurs ont violé ses conditions d'utilisation et ciblé un raisonnement que l'entreprise garde délibérément hors de vue.

Ce qu'OpenAI dit s'être passé

OpenAI dit avoir remarqué pour la première fois une activité de faible ampleur le 1er juillet. Le volume est resté faible jusqu'aux 24 et 25 juillet, quand l'entreprise a enregistré 16 000 requêtes de plus de 4 000 utilisateurs correspondant à ce qu'elle appelle un schéma d'extraction pertinent. Un examen plus attentif a révélé une activité de prompts liée sur un ensemble de plus de 15 000 comptes. Au 28 juillet, OpenAI dit avoir entièrement déjoué l'opération.

L'entreprise a assorti ces chiffres d'une note de bas de page : ils décrivent des tentatives d'extraction, pas nécessairement des succès. OpenAI n'a pas dit quelle quantité de raisonnement, le cas échéant, les opérateurs ont récupérée, et cette lacune traverse toute la divulgation.

Le ciblage était précis. OpenAI masque de plus en plus le raisonnement qu'un modèle produit avant de répondre, si bien que les opérateurs se sont attaqués à un endroit où ce raisonnement peut encore affleurer : les données chiffrées qu'un modèle utilise pour transporter son état interne entre les messages.

La méthode : un raisonnement chiffré, déplacé entre conversations

OpenAI a qualifié la technique de nouvelle. Les opérateurs copiaient les données de raisonnement chiffrées d'une conversation, puis ouvraient une conversation séparée et demandaient au modèle de déchiffrer le contenu et de l'écrire en texte clair. Selon l'entreprise, les opérateurs n'ont ni cassé son chiffrement, ni compromis une base de données, ni atteint les conversations stockées des utilisateurs. Ils ont manipulé des interactions avec le modèle, à une échelle qui violait les conditions d'utilisation.

La cause immédiate était un bug : le système permettait à un utilisateur de prendre des données chiffrées d'une conversation et de les déchiffrer dans une autre. OpenAI dit avoir fermé cette voie et ajouté des contrôles pour retenir une sortie en flux susceptible de révéler le raisonnement.

La faille n'était pas propre à OpenAI. Des chercheurs de MATS Research, de l'ELLIS Institute Tübingen et de Synk ont signalé une vulnérabilité architecturale similaire en août 2026, constatant que des traces de raisonnement chiffrées pouvaient être rejouées entre sessions, utilisateurs et modèles au sein de l'écosystème d'un même fournisseur. Un modèle plus faible et moins protégé, selon les chercheurs, pouvait être amené à décoder la trace d'un modèle plus fort sans jailbreak direct de ce dernier. The Hacker News a rapporté qu'OpenAI a reproduit les conclusions des chercheurs et confirmé les voies d'attaque. OpenAI a déclaré que la même vulnérabilité existait dans d'autres modèles d'IA.

Pourquoi le bug compte au-delà d'un fournisseur

La campagne expose une tension de conception. Les fournisseurs ont commencé à cacher leur raisonnement parce qu'il peut être copié et qu'il peut révéler des informations qu'un modèle retient par ailleurs. Mais un modèle doit encore transmettre ce raisonnement entre les tours, si bien que le système le chiffre et le renvoie au client. Le bug corrigé par OpenAI se trouvait dans ce transfert.

The Hacker News a rapporté que les chercheurs extérieurs ont décrit les traces chiffrées comme « entièrement compatibles et interchangeables entre différentes sessions, utilisateurs et modèles au sein de l'écosystème d'un fournisseur ». Si cela se vérifie, la faiblesse n'est pas propre à OpenAI ni à un modèle. C'est une propriété du fait de traiter le raisonnement chiffré comme un état portable, et elle place dans la même catégorie tous les laboratoires qui procèdent ainsi. La remarque d'OpenAI selon laquelle la vulnérabilité existe ailleurs va dans ce sens.

La lacune de l'attribution

OpenAI attribue un noyau central de l'activité à des individus associés à Moonshot AI, le développeur de la famille de modèles Kimi. L'entreprise dit aussi qu'il n'est pas clair que toute l'activité observée provienne d'un seul acteur, ce qui laisse place à des utilisateurs sans lien qui ont déclenché le même schéma par hasard.

L'entreprise n'a publié aucune preuve technique du lien avec Moonshot. CyberScoop a rapporté que la publication ne cite aucune preuve technique ni raisonnement pour l'attribution. OpenAI a déclaré au média qu'elle ne partagerait pas davantage « pour des raisons de sécurité ». Moonshot n'a pas répondu immédiatement aux demandes de commentaire de CyberScoop ni de CNBC.

Cette lacune compte. « Des individus associés à Moonshot AI » est plus étroit que « Moonshot AI a fait cela », et le langage d'OpenAI maintient lui-même les deux à part. L'implication est sérieuse, mais le dossier public n'est pour l'instant qu'une accusation sans les preuves sous-jacentes attachées.

Contexte : une bataille grandissante autour de la distillation

La divulgation d'OpenAI est arrivée dans un différend qui couvait depuis des mois. Le 8 septembre 2026, la CISA, la NSA et le FBI ont publié un avis conjoint, AA26-251A, décrivant ce qu'il appelle une distillation à l'échelle industrielle par des entreprises d'IA basées en Chine. L'avis nomme DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI. Il indique que Moonshot AI a extrait d'importantes données de Claude Fable 5 pour entraîner son modèle Kimi-K3 et des données de GPT-4o pour entraîner Kimi-K2, et décrit des « stations de transfert », des réseaux proxy qui revendent l'accès à des modèles de frontière et aident les acheteurs à contourner les restrictions régionales et les garde-fous.

La distillation elle-même n'est pas la cible, et l'avis le dit. Entraîner un modèle plus petit sur les sorties d'un modèle plus grand est une technique courante et utile en recherche sur l'IA. Ce que l'avis et OpenAI décrivent est une activité différente : rassembler les sorties d'un rival à l'échelle industrielle, contre les conditions d'utilisation, pour combler rapidement un écart de capacités.

L'avis recommandait trois grandes réponses : une meilleure détection des prompts, des comptes et des réseaux anormaux ; des changements qui dégradent discrètement la valeur des requêtes de distillation présumées ; et un partage de renseignements entre fournisseurs, plateformes cloud et agrégateurs d'API pour rendre visibles les campagnes distribuées.

Le récit d'OpenAI correspond à un schéma décrit par l'avis fédéral : des comptes frauduleux, des abonnements partagés et une infrastructure proxy, avec des requêtes réparties entre fournisseurs afin qu'aucune entreprise ne voie la campagne entière. C'est pourquoi l'avis appelle à corréler l'activité entre entreprises.

Deux jours après l'avis fédéral, Anthropic a publié son rapport de renseignement sur les menaces de septembre 2026. Dans un cas suivi sous le nom GTG-16002, Anthropic a déclaré que Moonshot AI transférait silencieusement les requêtes de ses clients vers Claude au lieu de les traiter avec Kimi, puis affichait les réponses de Claude à des utilisateurs qui croyaient parler à Kimi. Sur une période de dix jours, Anthropic a indiqué que Moonshot avait relayé près de 300 000 requêtes clients via un réseau de 5 380 comptes frauduleux. Anthropic a aussi déclaré que Moonshot avait construit un pipeline pour extraire les transcriptions du raisonnement de Claude à partir des échanges sauvegardés.

Plus tôt, le directeur du Bureau de la politique scientifique et technologique de la Maison-Blanche, Michael Kratsios, avait accusé Moonshot de distillation à grande échelle et d'avoir acquis des puces Nvidia soumises à restrictions pour construire Kimi K3, comme l'a noté Quartz. Moonshot n'a pas répondu publiquement aux dernières allégations.

Le différend porte aussi sur l'économie. Les laboratoires de frontière traitent de plus en plus le raisonnement caché comme l'actif qui sépare une réponse du modèle d'un concurrent, ce qui explique qu'il soit désormais retenu. La distillation offre un raccourci : récolter le raisonnement d'un autre laboratoire, s'entraîner dessus et sauter des années d'essais et d'erreurs.

Ce qu'OpenAI a changé

OpenAI a décrit sa réponse en plusieurs couches. Elle a banni ou restreint des comptes frauduleux, renforcé les contrôles des inscriptions et de l'infrastructure, et élargi la surveillance des réseaux liés. Elle a aussi renforcé les protections du raisonnement caché, le correctif destiné à empêcher quiconque détient le raisonnement chiffré d'un autre utilisateur d'en récupérer le contenu.

L'entreprise dit avoir partagé ses conclusions avec le Frontier Model Forum, un groupe sectoriel, et via des canaux gouvernementaux de partage d'informations. Elle dit poursuivre son travail dans trois domaines : des protections techniques plus fortes contre l'extraction, une meilleure détection et application face aux campagnes coordonnées, et un partage plus profond de renseignements sur les menaces entre l'industrie et le gouvernement. La publication ne dit pas combien de comptes ont été bannis, quels modèles étaient visés, ni si OpenAI a contacté Moonshot AI directement.

Les opérateurs n'ont pas cassé notre chiffrement, compromis une base de données ni obtenu un accès direct aux conversations stockées des utilisateurs.

C'est la description de la campagne par OpenAI elle-même, tirée de sa publication du 30 septembre.

Réserves

• Les chiffres de juillet sont des tentatives, pas des succès confirmés. La note de bas de page d'OpenAI est explicite, et l'entreprise n'a pas dit ce que la campagne a réellement obtenu.
• L'attribution s'arrête avant l'entreprise. OpenAI lie un noyau central à des individus associés à Moonshot AI, pas à la société en tant qu'institution, et dit qu'une partie de ce qu'elle a vu peut ne pas être liée.
• Aucune preuve technique n'est publique. La source la plus solide du lien avec Moonshot est la caractérisation d'OpenAI elle-même, reprise par des médias qui notent aussi l'absence de détail à l'appui.
• Le correctif n'est peut-être pas complet partout. The Decoder a rapporté que des chercheurs extérieurs ont constaté que la même classe de technique fonctionnait encore sur des plateformes cloud pendant des semaines, certains garde-fous arrivant tard. Si cela se confirme, la faiblesse est un problème architectural partagé, pas un bug corrigé.

Ce qu'il faut surveiller

Trois choses façonneront la suite.

Premièrement, la réponse de Moonshot. L'entreprise est restée silencieuse jusqu'ici. Un démenti, une réfutation technique ou un silence prolongé n'ont pas le même poids, et aucun ne trancherait à lui seul la question de fond.

Deuxièmement, la publication par OpenAI de davantage d'éléments. Son refus de partager des preuves « pour des raisons de sécurité » est compréhensible quand des attaquants sont encore actifs, mais une conclusion non attribuée est difficile à exploiter pour le reste du secteur. Le Frontier Model Forum est l'endroit le plus probable où davantage de détails apparaîtraient d'abord.

Troisièmement, la réglementation. L'avis fédéral inscrit déjà la distillation dans les préoccupations de sécurité nationale, et l'attention politique portée au développement des modèles chinois ne cesse de croître. De nouvelles règles ou mesures d'application pourraient suivre, et elles tomberaient sur un secteur qui a jusqu'ici géré la distillation par les conditions d'utilisation et les bannissements de comptes.

Aucun de ces trois développements ne trancherait la question factuelle centrale : les preuves d'OpenAI résisteraient-elles à un examen extérieur à l'entreprise. Tant qu'elle n'en publie pas davantage, la divulgation est le récit d'un seul laboratoire sur une réelle défaillance technique, associé à une attribution qu'aucune partie extérieure n'a encore pu vérifier.

Couverture : le PDG d'OpenAI, Sam Altman. Image : Village Global / Wikimedia Commons, CC BY 2.0.