Anthropic annonce avoir diminué de 90 à 99 % la quantité de données de raisonnement récupérées lors des attaques de distillation contre son modèle Claude. L’entreprise combine désormais des restrictions sur le déplacement d’indices de raisonnement, des classificateurs spécialisés et un blocage plus rapide des réseaux de faux comptes. Bien que ces résultats proviennent de leurs propres mesures et ne remplacent pas un audit indépendant, ils illustrent une lutte technique devenue cruciale parmi les laboratoires d’intelligence artificielle.
La distillation : entre pratique légitime et extraction industrielle
La distillation consiste à utiliser les réponses d’un grand modèle pour entraîner un système plus petit. Utilisée par le propriétaire du modèle ou avec son autorisation, cette méthode permet de réduire les coûts et de distribuer une version allégée. Cependant, elle devient problématique lorsque des concurrents interrogent subrepticement une plateforme à grande échelle, compilent les résultats et tentent de reproduire ses capacités sans accord préalable.
Les attaquants ne recherchent pas uniquement la réponse finale. Les traces de raisonnement intermédiaires, lorsqu’elles sont accessibles, révèlent comment le modèle décompose un problème, utilise un outil ou corrige un bug. Cela en fait un matériel d’entraînement plus riche. Anthropic avait auparavant accusé DeepSeek, Moonshot et MiniMax d’avoir généré plus de 16 millions de transactions avec Claude par le biais d’environ 24 000 comptes frauduleux.
Une partie de ce conflit a été évoquée lorsque les États-Unis ont accusé Kimi K3 de piller les capacités d’un modèle d’Anthropic. La nouveauté ne réside plus seulement dans l’identification d’une campagne : Anthropic publie maintenant des mécanismes de défense et une première estimation de leur efficacité.
Trois barrières plutôt qu’un simple filtre
La première mesure contrôle la circulation de raisonnement protégé. Avec Claude Fable 5.1 et Claude Opus 5.5, les nouveaux comptes API créés depuis le 31 août ne peuvent plus modifier certains éléments du contexte précédent. Anthropic empêche également les anciens modèles, moins protégés, de relire les traces produites par les versions récentes. Pour Claude Sonnet 5.5, seule l’organisation ayant émis la demande peut accéder à une trace.
La deuxième couche repose sur deux classificateurs formés pour reconnaître les tentatives d’extraction. Le système analyse les demandes visant, directement ou indirectement, à révéler l’intégralité du raisonnement. Anthropic déclare avoir testé ces filtres avec des équipes internes et externes, puis avoir corrigé les solutions identifiées. Le taux de faux positifs rapporté est inférieur à 0,1 %, mais cela signifie quand même que des utilisateurs légitimes peuvent être bloqués.
Enfin, l’entreprise relie les signaux distribués sur plusieurs comptes. Les opérateurs de distillation utilisent des réseaux proxy capables de créer ou de contrôler des milliers d’identités. Une demande isolée peut sembler normale ; la répétition, la proximité de l’éditorial, le mode de paiement et le rythme d’envoi créent une campagne. Anthropic affirme interdire des dizaines de milliers de comptes associés, parfois moins de deux heures après le début de la transaction.
La protection a un coût pour Anthropic et ses clients
La réduction des extractions n’est pas gratuite. Anthropic indique avoir renoncé à des revenus représentant des milliards de jetons payants. Certaines intégrations ont dû être adaptées à la fonction de raisonnement préservée. Depuis le 24 septembre, l’entreprise facture également certaines demandes bloquées avant d’y répondre, lorsque ses filtres affichent, selon elle, un taux d’erreur inférieur à 0,1 %. L’objectif est de rendre le retest coûteux, mais un client détecté à tort peut avoir du mal à accepter cette politique.
Les performances publiées doivent également être mises en contexte. Anthropic mesure le nombre de jetons de raisonnement extraits sur sa propre plateforme. Une baisse entre dix et cent est significative, sans pour autant prouver que les attaquants ont abandonné ou qu’ils n’utilisent pas d’autres fournisseurs. L’entreprise reconnaît qu’elle n’a pas encore observé de tentatives extrêmement sophistiquées et persistantes contre le nouvel appareil.
Enfin, il existe une tension fondamentale : les laboratoires eux-mêmes entraînent leurs modèles sur d’énormes corpus, parfois contestés par des auteurs et des éditeurs, tout en protégeant fortement leurs résultats contre une réutilisation par des concurrents. Le règlement judiciaire de 1,5 milliard de dollars concernant des livres piratés d’Anthropic, que nous avons détaillé précédemment, montre que la frontière entre apprentissage permis, usage équitable et appropriation reste juridiquement flou.
Une défense en constante évolution
Les techniques de contournement changent dès qu’un filtre est mis en place. Anthropic affirme avoir précédemment bloqué des demandes visant à traduire un raisonnement antérieur dans une autre langue ou à le reproduire au format balisé. Les attaquants peuvent alors reformuler, redistribuer le trafic de manière plus étendue, ou exploiter un intermédiaire moins vigilant. La protection dépend donc également des plateformes cloud et des revendeurs d’accès, et pas seulement du modèle.
Le classificateur à deux niveaux fonctionne actuellement sur Claude Sonnet 5.5, Claude Opus 5 et 5.5, ainsi que sur Claude Fable 5 et 5.1. Anthropic prévoit de l’ajouter à tout futur modèle suffisamment puissant pour attirer les distillateurs ; les versions moins avancées ne sont pas nécessairement couvertes par le même dispositif.
