Anthropic affirme avoir réduit de 90 à 99 % la quantité de données de raisonnement récupérée lors d’attaques de distillation contre Claude. L’entreprise combine désormais des restrictions sur le déplacement des traces de raisonnement, des classificateurs spécialisés et un blocage plus rapide des réseaux de faux comptes. Ces résultats proviennent de ses propres mesures et ne constituent pas encore un audit indépendant, mais ils décrivent une bataille technique devenue centrale entre laboratoires d’intelligence artificielle.
La distillation peut être légitime ou devenir une extraction industrielle
La distillation consiste à utiliser les réponses d’un grand modèle pour entraîner un système plus petit. Employée par le propriétaire du modèle ou avec son autorisation, cette méthode permet de réduire les coûts et de diffuser une version plus légère. Elle devient litigieuse lorsqu’un concurrent interroge clandestinement une plateforme à grande échelle, collecte ses sorties et tente de reproduire ses capacités sans accord.
Les attaquants ne recherchent pas seulement la réponse finale. Les traces intermédiaires de raisonnement, lorsqu’elles sont accessibles, révèlent comment le modèle décompose un problème, utilise un outil ou corrige une erreur. Elles constituent donc un matériau d’entraînement plus riche. Anthropic avait déjà accusé DeepSeek, Moonshot et MiniMax d’avoir généré plus de 16 millions d’échanges avec Claude via environ 24 000 comptes frauduleux.
Nous avions abordé une partie de ce conflit lorsque les États-Unis ont accusé Kimi K3 d’avoir pillé les capacités d’un modèle d’Anthropic. La nouveauté n’est plus seulement l’identification d’une campagne : Anthropic publie maintenant des mécanismes de défense et une première estimation de leur efficacité.
Trois barrières au lieu d’un simple filtre
La première mesure contrôle la circulation du raisonnement protégé. Avec Claude Fable 5.1 et Claude Opus 5.5, les nouveaux comptes API créés depuis le 31 août ne peuvent plus modifier certains éléments du contexte antérieur. Anthropic empêche aussi des modèles plus anciens, dotés de protections moins robustes, de relire les traces produites par les versions récentes. Pour Claude Sonnet 5.5, une trace n’est accessible qu’à l’organisation à l’origine de la requête.
La deuxième couche repose sur deux classificateurs entraînés à reconnaître les tentatives d’extraction. Le système analyse des demandes qui cherchent, directement ou indirectement, à faire révéler le raisonnement complet. Anthropic dit avoir testé ces filtres avec des équipes internes et externes, puis corrigé les contournements découverts. Le taux de faux positifs annoncé est inférieur à 0,1 %, ce qui signifie tout de même que des utilisateurs légitimes peuvent être bloqués.
Enfin, l’entreprise relie les signaux répartis entre plusieurs comptes. Les opérateurs de distillation utilisent des réseaux de procuration capables de créer ou piloter des milliers d’identités. Une requête isolée peut paraître normale ; la répétition, la proximité des formulations, les moyens de paiement et le rythme d’envoi dessinent une campagne. Anthropic affirme bannir des dizaines de milliers de comptes associés, parfois moins de deux heures après le début d’une opération.
La protection a un coût pour Anthropic et ses clients
Réduire l’extraction n’est pas gratuit. Anthropic dit avoir refusé des revenus correspondant à des milliers de milliards de jetons payants. Certaines intégrations ont dû être adaptées à la fonction de raisonnement préservé. Depuis le 24 septembre, l’entreprise facture aussi certaines requêtes bloquées avant la réponse lorsque ses filtres présentent, selon elle, un taux d’erreur inférieur à 0,1 %. L’objectif est de rendre les essais répétés coûteux, mais un client innocentement détecté peut trouver cette politique difficile à accepter.
Les performances publiées doivent également être contextualisées. Anthropic mesure le nombre de jetons de raisonnement extraits sur sa propre plateforme. Une baisse d’un facteur dix à cent est importante, sans prouver que les attaquants ont renoncé ni qu’ils n’utilisent pas d’autres fournisseurs. L’entreprise reconnaît ne pas avoir encore observé une tentative extrêmement sophistiquée et persistante contre le nouveau dispositif.
Il existe enfin une tension de fond : les laboratoires entraînent eux-mêmes leurs modèles sur d’immenses corpus, parfois contestés par les auteurs et éditeurs, tout en protégeant fortement leurs sorties contre la réutilisation par des concurrents. L’accord judiciaire de 1,5 milliard de dollars concernant des livres piratés par Anthropic, que nous avons détaillé précédemment, montre que la frontière entre apprentissage autorisé, usage loyal et appropriation reste juridiquement instable.
Une défense appelée à évoluer en permanence
Les techniques de contournement changent dès qu’un filtre devient efficace. Anthropic dit avoir déjà bloqué des demandes consistant à traduire un raisonnement précédent dans une autre langue ou à le reproduire dans des balises. Les attaquants peuvent ensuite reformuler, répartir davantage le trafic ou exploiter un intermédiaire moins vigilant. La protection dépend donc aussi des plateformes cloud et des revendeurs d’accès, pas seulement du modèle.
Le classificateur à deux étapes fonctionne actuellement sur Claude Sonnet 5.5, Claude Opus 5 et 5.5, ainsi que Claude Fable 5 et 5.1. Anthropic prévoit de l’ajouter à tout futur modèle suffisamment puissant pour attirer les distillateurs ; les versions moins avancées ne sont pas nécessairement couvertes par le même dispositif.
