Anthropic et OpenAI contre la distillation : blocages de comptes, chaînes de pensée cachées, mais une défense impossible

Auteur : Wang Ziyi, LatePost

Éditeur : Cheng Manqi

La logique commerciale prime sur la logique technique.

Le 10 septembre 2026, Anthropic a publié un rapport de 154 pages affirmant avoir identifié et bloqué une distillation à grande échelle de Claude menée par sept laboratoires d'IA chinois.

La distillation est une méthode d'entraînement de modèles courante : les développeurs utilisent un modèle plus puissant pour générer des données, puis entraînent leur propre modèle à imiter le modèle de pointe. Anthropic qualifie de « distillation illicite » toute extraction non autorisée, à grande échelle et dissimulée des capacités d'un modèle.

Selon Anthropic, les institutions concernées ont eu recours à des moyens manifestement frauduleux pour extraire les sorties du modèle de pointe : utilisation de cartes de crédit volées, d'identifiants de connexion et de clés API pour créer en masse de faux comptes.

Le rapport indique également que certaines entreprises chinoises de modèles transféraient les requêtes des utilisateurs vers Claude, ou achetaient des conversations d'utilisateurs auprès de services de routage tiers, puis utilisaient ces données pour entraîner leurs modèles. Certaines conversations contenaient des noms, des données d'entreprise et des identifiants d'accès valides.

Ce n'est pas la première fois qu'Anthropic accuse des « attaques par distillation ». En février 2026, l'entreprise affirmait que DeepSeek, Moonshot AI et MiniMax avaient interagi plus de 16 millions de fois avec Claude via environ 24 000 faux comptes. Depuis, Anthropic a renforcé ses défenses. OpenAI et Google identifient et contrent également en continu les attaques par distillation.

Ces mesures peuvent-elles empêcher la distillation ?

Liu Yi, professeur assistant à l'Université Griffith en Australie, en doute. Chercheur de longue date en intelligence artificielle et cybersécurité, il a été chercheur scientifique en IA chez Quantstamp. Ses travaux de 2023 sur l'injection de prompt sont cités en référence dans l'entrée LLM 01 de l'organisation mondiale de sécurité OWASP. Il a par ailleurs reçu deux primes de bug bounty d'Anthropic et a étudié les attaques par vol de chaîne de pensée sur les modèles commerciaux de pointe.

Liu Yi partage son analyse principale :

En prenant Anthropic comme exemple, les entreprises américaines de modèles de pointe ont actuellement mis en place trois lignes de défense contre la distillation :

(1) Utiliser des classificateurs spécialisés dans la détection d'extraction de données adverses pour que le modèle refuse de manière endogène les requêtes suspectes ;

(2) Masquer ou compresser la chaîne de pensée au niveau de l'architecture avant de la produire ;

(3) Utiliser des détecteurs externes pour identifier l'extraction de données, puis interrompre la requête ou bannir le compte.

L'anti-distillation est une fausse problématique. En théorie, la distillation est difficile à éradiquer ; l'objectif plus réaliste des entreprises américaines de modèles de pointe est d'augmenter le coût de la collecte de données, de ralentir les concurrents et de prolonger leur avance.

Pour les entreprises américaines de modèles de pointe, l'anti-distillation ne protège pas seulement les capacités des modèles ; elles défendent aussi la valeur commerciale fondée sur leur avance technologique.

Selon Liu Yi, pour comprendre les actions anti-distillation des entreprises américaines de modèles de pointe, la logique commerciale prime sur la logique technique.

Anthropic peut identifier des comportements suspects de distillation, mais il est très difficile d'obtenir une preuve formelle

LatePost : Le 10 septembre, Anthropic a publié un rapport accusant sept laboratoires d'IA chinois de distillation illicite. Que désigne précisément cette « attaque par distillation » ?

Liu Yi : Les grands modèles de langage actuels se composent de trois parties : l'entrée de l'utilisateur, la chaîne de pensée intermédiaire du raisonnement, et la sortie du modèle. Aujourd'hui, Anthropic et OpenAI masquent la chaîne de pensée intermédiaire et ne fournissent que la réponse finale. Pour les tâches de raisonnement complexes, extraire la chaîne de pensée est une forme d'attaque par distillation.

LatePost : Pourquoi les données telles que les trajectoires de raisonnement et les trajectoires complètes d'agents sont-elles si importantes pour améliorer les capacités des modèles ?

Liu Yi : On peut comprendre la chaîne de pensée comme la solution déjà élaborée par un modèle plus puissant ; c'est une donnée de haute qualité utilisable pour l'entraînement de modèles.

La performance d'un grand modèle est déterminée par trois facteurs : le nombre de paramètres (N), le volume de données (D) et la puissance de calcul (C). Le nombre de paramètres augmente rapidement dans toutes les entreprises ; avec un temps et une puissance de calcul limités, pour améliorer plus vite les capacités du modèle, il faut davantage de données de haute qualité.

Mais il est très difficile de construire des données de qualité pour des tâches complexes et de longue haleine, et les données d'entraînement réellement utiles se raréfient. C'est pourquoi certaines entreprises de grands modèles distillent de diverses manières des modèles plus avancés.

LatePost : Comment extraire la chaîne de pensée et davantage de trajectoires de tâches ?

Liu Yi : Il existe diverses combinaisons de techniques. Par exemple, via l'encodage, le jailbreak, l'injection de prompt, puis par toutes sortes d'hypnose, on donne en permanence une personnalité à l'IA, on lui fait croire qu'elle est un chercheur en train d'accomplir une tâche difficile mais très significative, et qu'elle doit se concentrer sur la résolution du problème. Je n'ai pas beaucoup d'échanges avec les gens en Chine, mais je sais qu'à l'étranger, les praticiens de l'IA reconstituent ainsi les chaînes de pensée — il suffit de lire les articles pour comprendre les approches.

Outre l'extraction directe de la chaîne de pensée native, on peut aussi tenter de synthétiser la chaîne de pensée intermédiaire à partir des entrées et des sorties. Il paraît que certaines sociétés de données vendent des chaînes de pensée pour des tâches longues, à 800-1000 yuans pièce.

LatePost : Parmi Anthropic, OpenAI et Google, lequel est le plus distillé ?

Liu Yi : D'après les informations publiques actuelles, ce serait Anthropic. Mais je pense que c'est difficile à dire. J'ai examiné les textes réels des chaînes de pensée de DeepSeek, GLM, Kimi, Anthropic et OpenAI : les styles linguistiques ne diffèrent pas beaucoup. Difficile de dire qui distille qui ; il est possible qu'au début, ils aient aussi distillé DeepSeek.

LatePost : Techniquement, comment identifie-t-on généralement une attaque par distillation ? De « ce lot de requêtes ressemble à de la distillation » à « c'est la distillation de telle organisation », quelle chaîne de preuves faut-il ?

Liu Yi : Anthropic se fonde surtout sur le comportement d'appel. Par exemple, certains comptes envoient soudainement un grand nombre de requêtes et extraient de manière concentrée certains jeux de données fixes.

Anthropic localise d'abord les comptes anormaux, puis cherche des schémas partagés entre différents comptes, comme des prompts système identiques. Comme chaque entreprise utilise une architecture d'agent (harness) différente, les prompts système diffèrent, ce qui permet d'identifier l'entreprise derrière. Par exemple, grâce au cache de préfixes, Anthropic peut découvrir quels groupes de prompts partagent le même cache et ne correspondent pas aux prompts système connus ; il est alors facile de localiser le distillateur.

LatePost : Après avoir identifié les comptes anormaux, Anthropic peut-il prouver de manière irréfutable que ses données ont été utilisées pour entraîner un modèle spécifique ?

Liu Yi : Il est très difficile d'avoir une preuve à 100 %. On peut accuser une entreprise d'avoir tenté de distiller Claude, mais il est très difficile de prouver que certaines données sont réellement entrées dans le modèle adverse.

GLM, Kimi et DeepSeek sont des modèles open source, mais seuls les poids sont ouverts, pas les jeux de données. Or, à partir des poids d'un modèle, il est très difficile d'obtenir une preuve formelle de distillation. Sinon, Anthropic n'aurait pas eu besoin de s'exprimer de manière aussi allusive dans son rapport, en se concentrant sur le fonctionnement des services de relais — essentiellement parce qu'il est impossible d'analyser en boîte blanche.

Autre exemple : demandez à un grand modèle les 100 premiers mots du premier tome de Harry Potter, il vous les donnera probablement. Mais cela ne prouve pas qu'il a été entraîné directement sur l'œuvre originale ; cela peut provenir de blogs ou de critiques citant le texte original.

LatePost : Autrement dit, l'« attaque par distillation » est très difficile à prouver complètement, et tout aussi difficile à réfuter.

Liu Yi : Anthropic peut constituer des preuves d'attribution assez solides à partir des journaux d'appels côté plateforme, des associations de comptes et des informations d'infrastructure, mais c'est une question différente de prouver, à partir du modèle final lui-même, qu'un certain lot de données de Claude est bien entré dans l'entraînement. Cette dernière est techniquement bien plus difficile.

L'anti-distillation augmente le coût de collecte pour les concurrents, mais peut aussi « blesser » les utilisateurs ordinaires

LatePost : Quelles sont les méthodes techniques concrètes actuellement utilisées par les entreprises américaines d'IA de pointe pour contrer les attaques par distillation ?

Liu Yi : Je les classe en trois catégories.

Premièrement, la détection intégrée : Anthropic dispose probablement de classificateurs spécifiquement dédiés à l'extraction de chaîne de pensée ; dès qu'un état lié à la chaîne de pensée est activé, l'extraction peut être bloquée ;

Deuxièmement, le masquage au niveau de l'architecture produit : le modèle ne produit plus la chaîne de pensée brute, mais la compresse ou la résume avant de la sortir ;

Troisièmement, la détection externe : par exemple, vérifier si le contenu produit chevauche sa propre chaîne de pensée ; si un certain seuil de fuite est atteint, la sortie est bloquée. Après plusieurs comportements similaires, le compte est banni.

LatePost : Le rapport d'Anthropic n'entre pas dans ces détails. Comment les connaissez-vous ?

Liu Yi : C'est ma propre hypothèse, car ce sont des pratiques assez courantes. Pourquoi Anthropic lance-t-il des programmes de bug bounty pour tester ses propres défenses de sécurité ? Il veut payer des gens pour jailbreaker ses prompts — dès qu'une faille est découverte, elle est immédiatement intégrée à son classificateur, de sorte que l'attaque suivante devient de plus en plus difficile.

LatePost : Vous avez reçu deux primes de bug bounty d'Anthropic. Comment cela s'est-il passé ?

Liu Yi : J'y ai consacré environ deux à trois semaines, principalement dans le cadre du programme de bug bounty autorisé par Anthropic, en effectuant des tests adverses (Adversarial Testing) sur ses classificateurs de sécurité, pour chercher des entrées capables de contourner les défenses existantes. Car une attaque réussie est binaire : soit elle réussit, soit elle échoue, il n'y a pas d'état intermédiaire. L'objectif de la mission était d'obtenir certaines réponses à des questions spécifiées par Anthropic, sans impliquer directement la reconstitution de la chaîne de pensée. Mais certaines logiques sont similaires.

LatePost : Les mesures de défense contre la distillation peuvent-elles pénaliser les utilisateurs abonnés normaux ?

Liu Yi : Les utilisateurs abonnés normaux devraient être relativement épargnés ; le contrôle des risques se déclenche surtout pour des utilisateurs anormaux, comme les comptes de services de relais ou ceux qui tentent d'attaquer Claude.

Je me souviens que le rapport d'Anthropic mentionnait aussi deux étudiants de premier cycle d'une université du Hunan qui avaient conçu leur propre agent de cybersécurité et l'avaient utilisé pour attaquer toutes sortes de sites web ; cela a été découvert.

En théorie, toutes les informations de vos interactions avec Anthropic peuvent être consultées s'il le souhaite.

LatePost : Donc, quand Anthropic estime qu'un utilisateur peut représenter une menace, il peut accéder aux données de l'utilisateur et les consulter ?

Liu Yi : Il faut examiner les conditions d'utilisation de chaque entreprise de modèles. D'après ce que je sais, Anthropic, OpenAI et Google proposent un mécanisme de Zero Data Retention (ZDR, rétention zéro des données), s'engageant à détruire immédiatement les prompts saisis par le client et les réponses générées par l'IA après le traitement, sans stockage, sans conservation, et sans utilisation pour l'entraînement des modèles. Cette fonctionnalité s'adresse principalement aux clients API ou entreprises éligibles, et nécessite généralement une demande ou une configuration supplémentaire. Pour les utilisateurs ordinaires de Claude, ChatGPT ou Gemini, la politique de conservation des données est régie par les conditions d'utilisation respectives, et n'équivaut pas à un ZDR strict.

Par exemple, si une entreprise de modèles réécrit légèrement vos données pour les utiliser dans l'entraînement, est-ce considéré comme utiliser vos données ?

LatePost : Autrement dit, les modèles de pointe font payer les utilisateurs tout en utilisant potentiellement leurs données pour continuer à monter en échelle ?

Liu Yi : Oui. Par exemple, quand un utilisateur corrige la réponse du modèle dans Claude Code ou Codex, ces retours sont des signaux de récompense très précieux pour améliorer le post-entraînement.

La distillation suit la même logique. Le post-entraînement des modèles actuels repose principalement sur l'apprentissage par renforcement, dont la clé est le signal de récompense. Lorsqu'une entreprise de modèles obtient la chaîne de pensée d'un modèle plus performant, c'est comme obtenir « le résultat final », c'est-à-dire directement un chemin de résolution de haute qualité. Cela réduit l'exploration aveugle, permet au modèle de converger plus rapidement vers un bon état, et économise du temps et de la puissance de calcul.

LatePost : Quel est le critère de succès pour les entreprises américaines de modèles de pointe dans la défense contre les attaques par distillation ?

Liu Yi : Premièrement, empêcher les autres entreprises de modèles de s'entraîner par des raccourcis, et garantir l'avance de son propre modèle. Deuxièmement, augmenter le coût de distillation et de collecte de données pour les autres entreprises. Tout en essayant de ne pas affecter l'utilisation normale des utilisateurs.

LatePost : Peut-on s'en défendre ?

Liu Yi : Je pense que c'est indéfendable. Dès qu'un modèle est accessible aux utilisateurs, il y a un risque de fuite.

Cependant, j'ai récemment vu qu'OpenAI a officiellement lancé la bêta publique de l'Agents API le 10 septembre. Contrairement à l'ancienne Responses API, où l'utilisateur donne une entrée et le grand modèle produit une sortie avec une chaîne de pensée intermédiaire, la logique de l'Agents API est que l'utilisateur donne une tâche et obtient directement le résultat de la tâche. La chaîne de pensée intermédiaire et le processus du harness d'agents sont masqués, ce qui revient à vendre tout un environnement d'exécution. L'utilisateur n'a plus besoin de gérer les détails très fins ; l'exécution globale des tâches devient de plus en plus abstraite. Dans ce scénario, une attaque par distillation coûterait probablement plus cher.

La véritable motivation de l'anti-distillation : occuper l'opinion publique et protéger la valorisation

LatePost : Pensez-vous que la distillation soit la solution optimale pour améliorer les capacités des modèles ? Il semble que la vitesse de copie des suiveurs ne rattrape jamais celle de l'innovation de pointe ?

Liu Yi : J'avais auparavant un point de vue : en 2024, à court terme, l'innovation dans la structure des modèles elle-même constituait une douve. Ensuite, la douve pourrait s'étendre à la puissance de calcul. Puis, la douve serait l'infrastructure et l'énergie. J'observe que la tendance actuelle suit à peu près cette évolution.

LatePost : Où situer la distillation dans votre raisonnement sur les douves ?

Liu Yi : Je pense qu'on peut la rattacher à la puissance de calcul. En théorie, en essayant beaucoup, on pourrait y arriver, mais le temps ne le permet peut-être pas.

LatePost : Que protège en définitive l'anti-distillation ?

Liu Yi : L'anti-distillation est une fausse problématique. En théorie, la distillation est indéfendable — selon la nature humaine, tant que l'efficacité de ma distillation de ton modèle dépasse celle de la construction de mes propres données d'entraînement, je commencerai par te distiller.

LatePost : Vous pensez donc que l'anti-distillation des entreprises américaines d'IA de pointe est une bataille vouée à l'échec ?

Liu Yi : Oui. C'est mon point de vue.

LatePost : Si l'échec technique est inévitable, pourquoi les entreprises américaines d'IA de pointe s'obstinent-elles autant ?

Liu Yi : Elles veulent maintenir leur avance technologique. Récemment, OpenAI a affirmé avoir utilisé environ 10 000 agents IA pendant 88 heures pour achever la démonstration mathématique de l'un des sept « problèmes du millénaire ». Prenons un exemple : supposons que DeepSeek annonce à la fin de l'année avoir résolu les sept problèmes du millénaire, et écrive dans son rapport technique : « J'ai accompli la tâche avec seulement 1/10 du coût d'OpenAI ». Les investisseurs américains pourraient demander : pourquoi avez-vous besoin de tant d'argent, et faites-vous moins bien que les autres ? La valorisation d'OpenAI pourrait alors chuter.

Par conséquent, l'essence des actions anti-distillation d'OpenAI et des autres entreprises américaines de modèles de pointe relève de la logique commerciale, et pas seulement de la logique du développement technologique :

Anthropic veut d'une part collecter des données et construire son propre volant de données, et d'autre part améliorer son revenu annuel récurrent (ARR) pour préparer son introduction en bourse (IPO).

La logique d'OpenAI est similaire. Pourquoi OpenAI distribue-t-il sans cesse des cartes de réinitialisation — n'est-ce pas comme offrir de l'argent à chaque utilisation ? C'est pour collecter des données et rendre les états financiers plus attrayants.

LatePost : Le 12 septembre, le fondateur d'Anthropic, Dario Amodei, a publié un appel à l'industrie pour ralentir le rythme d'itération des modèles d'IA de pointe. Qu'en pensez-vous ?

Liu Yi : Je pense qu'ils ont dû constater des goulets d'étranglement. Ces goulets peuvent provenir de trois facteurs : les données, la puissance de calcul, et l'infrastructure / l'énergie. Mais je ne peux pas dire précisément lequel ; peut-être les trois à la fois.

Le capital est toujours à la recherche du profit. En théorie, si je pouvais créer une AGI, je pourrais dominer le monde ; je n'aurais aucune raison d'arrêter le développement, il suffirait de foncer pour réaliser l'AGI. Ils ont probablement rencontré un goulet d'étranglement, et c'est sous le couvert de la sécurité de l'IA qu'ils appellent tout le monde : l'IA est trop dangereuse, asseyons-nous d'abord pour discuter de la limitation de son développement.

LatePost : Selon vous, quelle est la raison fondamentale de l'anti-distillation des entreprises de modèles de pointe ?

Liu Yi : Augmenter le coût de distillation pour les concurrents et maintenir leur avance. Ils estiment peut-être que les modèles chinois vont bientôt les rattraper, mais ils n'ont pas trouvé de meilleur moyen de préserver leur avance, alors ils renforcent les restrictions et occupent d'abord le terrain de l'opinion publique.

Du point de vue du consensus simple de l'industrie, la distillation est un problème de sécurité majeur, équivalant à un vol de propriété intellectuelle. Mais d'un point de vue pratique, c'est essentiellement une forme de démocratisation de l'IA. La distillation est un moyen de rééquilibrer rapidement le marché. C'est précisément parce qu'il y a de nombreux concurrents qu'aucune entreprise de modèles ne peut monopoliser le marché, dominer seule et fixer les prix à sa guise.

LatePost : Vous avez évoqué la valeur positive de la distillation ; d'un autre côté, quels dangers potentiels la distillation peut-elle représenter pour l'ensemble de l'industrie et pour les utilisateurs ordinaires ?

Liu Yi : Pour l'industrie, les styles de sortie convergent, et les modèles héritent de certains modes d'échec des modèles enseignants. Pour les utilisateurs, il existe des risques de fuite de vie privée.

LatePost : Selon vous, dans quel état se trouve globalement le domaine de la sécurité de l'IA, y compris l'attaque et la défense par distillation, et quels défis rencontre-t-il ?

Liu Yi : Ce qui m'intéresse le plus, c'est la tension structurelle entre la sécurité de l'IA et les incitations commerciales.

Les entreprises de modèles investissent effectivement beaucoup de ressources dans la sécurité, mais dans certains scénarios, des mesures de sécurité plus strictes peuvent affecter les capacités du modèle, retarder la sortie des produits ou dégrader l'expérience utilisateur ; les objectifs de sécurité et les objectifs concurrentiels ne sont donc pas toujours parfaitement alignés. Par conséquent, une question de gouvernance importante est de savoir comment mieux aligner les investissements de sécurité avec les incitations commerciales des entreprises. À court terme du moins, il est difficile de trouver une solution élégante qui résolve les problèmes de sécurité sans sacrifier les performances du modèle.

LatePost : Comment pensez-vous que les attaques par distillation évolueront à l'avenir ?

Liu Yi : L'attaque et la défense continueront, pour atteindre un équilibre dynamique. Plusieurs courants pourraient émerger : premièrement, se passer de la chaîne de pensée et distiller directement, pour explorer jusqu'où un modèle de pointe peut être distillé. Deuxièmement, avec la chaîne de pensée, obtenir la chaîne de pensée native. Troisièmement, synthétiser soi-même la chaîne de pensée.

LatePost : Pour éviter les fuites de données privées, quels conseils donneriez-vous aux utilisateurs ordinaires ?

Liu Yi : N'utilisez pas de services de relais. Lorsque vous utilisez certains modèles, si vous pouvez cocher si vous acceptez que vos données soient utilisées pour l'entraînement, ne choisissez pas oui. Vous ne pouvez pas faire grand-chose d'autre. Après tout, nous sommes comme la viande sur la planche à découper.