Le rapport d’Anthropic sur la distillation allègue une nouvelle campagne visant à copier Claude

Anthropic affirme que trois entreprises chinoises d’IA ont généré plus de 186 millions d’échanges avec Claude dans le cadre de campagnes distinctes conçues pour extraire de précieuses capacités de modèle. Le rapport d’Anthropic sur la distillation cite Alibaba, Moonshot AI et DeepSeek, tout en décrivant des tactiques qui auraient dépassé le cadre de l’entraînement ordinaire de modèles.

L’accusation centrale concerne les données de chaîne de pensée, c’est-à-dire du texte généré représentant le raisonnement intermédiaire avant qu’un modèle ne fournisse sa réponse finale. Anthropic affirme que ces entreprises ont cherché à obtenir ce matériau par le biais de comptes coordonnés, de services proxy et de techniques permettant de reconstruire des traces de raisonnement masquées par Claude.

Le rapport soulève également une préoccupation plus immédiate. Anthropic allègue que Moonshot AI et DeepSeek ont parfois transféré des demandes de clients à Claude tout en présentant les réponses obtenues comme les leurs. Si elle est exacte, cette pratique aurait brouillé la frontière entre le développement concurrentiel de modèles et le traitement non divulgué de données clients.

Il s’agit toujours d’allégations d’Anthropic, un concurrent direct ayant des intérêts commerciaux et stratégiques dans l’issue de cette affaire. Alibaba, Moonshot AI et DeepSeek n’avaient pas répondu publiquement aux accusations précises lorsque le rapport a été publié. Les éléments disponibles n’ont pas fait l’objet d’un audit technique indépendant.

Le différend comporte donc deux dimensions. La première concerne la question de savoir si des concurrents ont indûment collecté les sorties de Claude pour entraîner leurs modèles. La seconde porte sur le fait que des clients auraient pu, à leur insu, envoyer du code source, des identifiants, des documents d’entreprise ou des informations de surveillance à un fournisseur de modèles tiers.

Ce qu’Anthropic affirme avoir découvert

Anthropic allègue l’existence d’un système coordonné d’extraction de capacités, et non de quelques développeurs expérimentant avec les sorties de Claude.

Anthropic a publié ses nouvelles conclusions le 10 septembre 2026 dans un rapport plus large sur les renseignements liés aux menaces. L’entreprise affirme avoir détecté et perturbé, à partir de février, des campagnes non autorisées ciblant ses modèles de classe Opus.

La distillation de modèles est une méthode d’entraînement légitime dans laquelle un modèle apprend à partir des sorties produites par un autre système, généralement plus puissant. Les développeurs d’IA l’utilisent couramment au sein de leurs propres familles de modèles pour transférer des compétences vers des modèles plus petits ou plus efficaces.

Le litige commence lorsqu’un concurrent obtient ces sorties via des comptes ou des méthodes d’accès qui enfreignent les règles du fournisseur. Le comportement contesté peut également inclure des prompts conçus spécifiquement pour exposer un raisonnement protégé ou d’autres comportements propriétaires.

Anthropic qualifie les opérations alléguées d’illicites parce qu’elles auraient utilisé des comptes frauduleux, des proxys résidentiels, des adresses e-mail jetables et des réseaux d’accès indirect. L’entreprise affirme que ces méthodes masquaient l’identité des personnes soumettant les requêtes et contournaient les restrictions régionales.

La plus vaste campagne décrite dans le rapport d’Anthropic sur la distillation a été attribuée à Alibaba et à son organisation de recherche Qwen. Anthropic affirme qu’Alibaba a généré plus de 151 millions d’échanges entre mai et juillet 2026.

À son pic présumé, l’opération d’Alibaba aurait approché les 3 millions d’échanges par jour via plus de 3 500 comptes frauduleux. Les demandes auraient ciblé l’ingénierie logicielle, le développement de noyaux, les tâches agentiques et les travaux nécessitant de longues séquences de décisions.

Anthropic affirme qu’Alibaba utilisait deux principaux ensembles de comptes. L’un d’eux aurait inclus près de 5 000 comptes, soutenus par des proxys résidentiels, des adresses e-mail jetables et des cartes de paiement virtuelles.

Lorsque Anthropic a bloqué cet ensemble, le trafic se serait déplacé vers une autre voie d’accès. Cette migration rapide est importante, car elle suggère un processus organisé capable de remplacer son infrastructure après une mesure de contrôle.

Anthropic allègue également qu’Alibaba a forcé Claude à placer des traces de raisonnement dans des balises de texte avant de produire une réponse finale. Les transcriptions obtenues auraient été préparées pour un ajustement supervisé, une méthode qui entraîne un modèle à l’aide d’exemples de comportements souhaités.

Selon Anthropic, ces exemples ont soutenu le développement de Qwen 3.5, 3.6 et 3.7. L’entreprise affirme également que Claude a aidé aux environnements d’apprentissage par renforcement et à la recherche sur l’architecture des modèles au sein d’Alibaba.

Ces conclusions reposent sur les propres données de télémétrie et le processus d’attribution d’Anthropic. Le rapport public fournit des descriptions et des mesures agrégées, mais ne publie ni les relevés de comptes sous-jacents ni l’ensemble complet des requêtes.

Cette limite est importante. Les lecteurs peuvent évaluer si les méthodes alléguées semblent plausibles, mais ils ne peuvent pas reproduire l’attribution organisationnelle d’Anthropic à partir des seuls éléments publiés.

Le rapport modifie néanmoins l’ampleur de la controverse. Les débats précédents portaient souvent sur la question de savoir si les réponses d’un modèle ressemblaient au style d’un autre. Anthropic décrit désormais une infrastructure persistante, des catégories de capacités ciblées et un trafic mesuré sur des dizaines de millions d’échanges.

C’est pourquoi les dernières attaques de distillation visant Claude méritent davantage d’attention qu’un simple benchmarking concurrentiel. Anthropic les présente comme des programmes d’extraction continus intégrés aux opérations de recherche et d’entraînement des modèles.

Le rapport d’Anthropic sur la distillation soulève un problème de données clients

L’allégation la plus lourde de conséquences n’est pas que des laboratoires chinois aient appris de Claude, mais que des clients auraient atteint Claude sans le savoir.

Anthropic affirme que Moonshot AI a transféré silencieusement certaines requêtes destinées à ses modèles Kimi vers Claude. Les clients auraient vu des réponses générées par Claude présentées via le service de Moonshot.

Sur une période de dix jours, Anthropic affirme que Moonshot a relayé près de 300 000 demandes clients, principalement vers des modèles Opus. Le trafic serait passé par 5 380 comptes frauduleux qui semblaient opérer principalement depuis Singapour et le Japon.

Anthropic affirme que Moonshot a conservé au moins une partie des échanges qui en ont résulté. L’entreprise indique ensuite avoir extrait des transcriptions de raisonnement pouvant soutenir un entraînement ultérieur de modèles.

Le rapport décrit une technique appelée attaque de relecture intersession. Claude peut renvoyer une référence cryptographique à un raisonnement protégé au lieu d’exposer la trace complète de ce raisonnement.

Cette référence, appelée signature de raisonnement, permet aux systèmes autorisés de poursuivre une conversation sans recevoir le texte interne d’origine. Anthropic allègue que Moonshot a sauvegardé ces signatures, ouvert de nouvelles sessions et invité Claude à reconstruire le raisonnement associé.

DeepSeek aurait employé un processus similaire. Anthropic affirme que DeepSeek a identifié les requêtes provenant d’outils de programmation, notamment Claude Code, le Claude Agent SDK et OpenCode.

Certains utilisateurs auraient ensuite été redirigés vers Claude Opus. Les utilisateurs pensaient, selon le rapport, que DeepSeek traitait leurs prompts, alors que les systèmes d’Anthropic recevaient en réalité le matériau.

Le rapport attribue plus de 23 millions d’échanges à Moonshot entre mai et juillet. Il attribue séparément plus de 12,1 millions d’échanges à DeepSeek sur 14 jours en juillet.

Ces chiffres ne sont pas directement comparables, car les périodes d’observation diffèrent. Ils restent également des mesures communiquées par Anthropic plutôt que des totaux vérifiés de manière indépendante.

Les implications en matière de confidentialité ne dépendent pas entièrement de la question de savoir si chaque échange est devenu une donnée d’entraînement. Le simple transfert d’un prompt peut exposer des informations à un autre sous-traitant, opérateur d’infrastructure et cadre juridique.

Anthropic affirme que le matériau relayé comprenait du code source d’entreprise, des identifiants, des plans internes et des informations personnellement identifiables. Certains exemples concernaient des utilisateurs travaillant avec des systèmes gouvernementaux ou détenus par l’État.

Un exemple lié à Moonshot contenait prétendument des informations de surveillance provenant de centaines de caméras à Chengdu. Anthropic a estimé que l’utilisateur était probablement lié à l’Armée populaire de libération et pensait que Kimi analysait ce matériau.

Un autre exemple impliquait un ingénieur développant un système interne pour une grande entreprise publique chinoise. Cette session aurait exposé du code interne et des identifiants actifs provenant de plusieurs entreprises.

Les exemples liés à DeepSeek présentaient une sensibilité similaire. Anthropic affirme qu’une requête incluait des spécifications et des objectifs stratégiques pour un programme d’IA au sein d’une entreprise technologique chinoise.

Une autre aurait contenu des identifiants liés à une base de données gouvernementale russe. Une troisième concernait, selon le rapport, un logiciel comparant les déplacements d’individus avec des dossiers de la police chinoise.

Anthropic a masqué les valeurs sensibles dans ses exemples publics. Cela protège les parties concernées, mais empêche également les observateurs externes de confirmer les relevés ou de déterminer comment les données ont circulé.

Le rapport indique ne pas pouvoir établir si les clients avaient été informés du routage. Cette formulation est importante, car l’entreprise observe le trafic parvenir à Claude, mais n’a pas directement accès à chaque contrat client ou divulgation dans l’interface.

Un mécanisme de routage dissimulé serait différent d’un service indiquant clairement aux utilisateurs qu’il sélectionne parmi des modèles externes. Les routeurs de modèles peuvent être utiles, mais une utilisation éclairée exige de la transparence sur les fournisseurs, la conservation et le traitement des données.

Pour les développeurs, la leçon pratique dépasse toute entreprise nommée. Les prompts soumis aux assistants de programmation contiennent souvent des détails de dépôt, des valeurs de configuration, des informations clients et des fragments de documentation interne.

Le seul libellé d’un modèle ne permet pas d’établir où ce matériau est traité. Les équipes ont besoin de réponses contractuelles concernant les sous-traitants, la logique de routage, le stockage, l’utilisation pour l’entraînement et le traitement géographique.

Les dernières allégations relient donc la concurrence entre modèles à la sécurité de la chaîne d’approvisionnement. Un développeur peut approuver un fournisseur tout en envoyant sans le savoir des travaux sensibles via les systèmes d’un autre fournisseur.

Comment les attaques de distillation de Claude alléguées auraient fonctionné

Anthropic décrit un processus d’extraction en plusieurs couches combinant contournement de l’accès, ingénierie de prompts, récupération du raisonnement et préparation de données d’entraînement.

Une explication simple de la distillation de modèles d’IA commence par un enseignant et un élève. L’enseignant génère des exemples utiles, tandis que l’élève apprend à reproduire le comportement de l’enseignant à partir de ces exemples.

Ce processus peut être autorisé. Un laboratoire peut utiliser les sorties de son modèle le plus puissant pour améliorer un modèle plus petit dont il est également propriétaire.

Il devient adversarial lorsque le développeur de l’élève dissimule son identité, contourne des restrictions d’accès ou extrait des sorties en violation de règles contractuelles. Les limites juridiques peuvent varier, mais la distinction technique et sécuritaire est significative.

Anthropic affirme que les campagnes avaient d’abord besoin d’un accès fiable à Claude. Comme Anthropic ne propose pas commercialement Claude en Chine, les opérateurs auraient recouru à des réseaux proxy et à des comptes frauduleux.

Un réseau proxy achemine les requêtes par des intermédiaires pouvant masquer l’organisation d’origine. Anthropic avait précédemment décrit des systèmes de « hydra cluster », dans lesquels le remplacement d’un compte bloqué ne désactive pas l’opération dans son ensemble.

Dans ses conclusions de février, Anthropic indiquait que DeepSeek, Moonshot AI et MiniMax avaient collectivement généré plus de 16 millions d’échanges via environ 24 000 comptes frauduleux.

La divulgation de février attribuait plus de 3,4 millions d’échanges à Moonshot et plus de 13 millions à MiniMax. Elle décrivait la campagne antérieure de DeepSeek comme plus modeste et en partie centrée sur des réponses sensibles à la censure.

Le rapport de septembre allègue un trafic bien plus élevé lors de campagnes ultérieures. Les 151 millions d’échanges attribués à Alibaba dépassent à eux seuls largement le chiffre cumulé révélé en février.

L’ampleur brute ne produit pas automatiquement un modèle plus performant. La valeur d’entraînement dépend de la sélection des questions, de la qualité des réponses, du filtrage, de la couverture et de l’efficacité avec laquelle les exemples collectés sont intégrés aux étapes ultérieures d’entraînement.

Les opérateurs présumés n’ont donc pas seulement posé des questions génériques. Anthropic affirme qu’ils ont concentré leurs requêtes sur des capacités précieuses, notamment le codage, l’utilisation d’outils, la planification à long horizon et le raisonnement agentique.

Le raisonnement agentique désigne la capacité d’un modèle à choisir et exécuter plusieurs actions pour atteindre un objectif. Cette capacité peut être difficile à entraîner, car les exemples réussis exigent des décisions cohérentes sur de nombreuses étapes.

Les traces de raisonnement peuvent rendre ces exemples plus utiles. Une réponse finale indique à l’élève quel résultat imiter, tandis qu’une trace intermédiaire peut fournir un parcours d’entraînement plus détaillé.

Toutefois, une trace de raisonnement affichée ne doit pas être considérée comme un enregistrement parfait du calcul interne d’un modèle. Les modèles peuvent générer des explications plausibles qui ne reflètent pas entièrement le processus à l’origine d’une réponse.

Cette incertitude ne rend pas les données inutiles. Des exemples de raisonnement structurés peuvent toujours fournir des schémas utiles pour le réglage fin supervisé, l’évaluation ou les tâches d’apprentissage par renforcement.

Anthropic allègue qu’Alibaba a utilisé des instructions fixes qui forçaient Claude à afficher un raisonnement étendu dans des balises en ligne. L’entreprise indique que les sorties ont été nettoyées et converties en données de réglage fin.

Moonshot et DeepSeek auraient plutôt cherché à obtenir des signatures de raisonnement protégées. Leur méthode de relecture signalée aurait tenté de récupérer le texte intégral à partir de références conçues pour préserver la continuité sans révéler le raisonnement brut.

Anthropic affirme que Moonshot a combiné cette extraction avec des requêtes issues du trafic client. DeepSeek aurait sélectionné certaines sessions associées à des outils de codage tiers et les aurait transmises à Claude.

Ce mélange offrirait deux avantages à un développeur de modèles. Les prompts de clients réels fournissent des tâches réalistes, tandis qu’un modèle enseignant plus performant apporte des réponses détaillées et des exemples de raisonnement.

Ce même mélange crée le conflit de confidentialité le plus aigu du rapport. Les clients peuvent devenir une source involontaire de prompts, de code, de documents et de retours pour un pipeline d’entraînement.

Les campagnes semblent également s’appuyer sur un marché émergent de revendeurs. Anthropic affirme que certains fournisseurs de proxy offrent un accès à des modèles restreints tout en conservant les échanges qui peuvent ensuite être vendus.

Selon le rapport, une infrastructure proxy partagée a parfois servi plusieurs organisations. Anthropic affirme que des comptes liés à Alibaba ont également été observés en train d’acheminer des requêtes associées à DeepSeek et Xiaomi.

Cela n’établit pas l’existence d’une campagne commune entre ces entreprises. Cela suggère plutôt que des intermédiaires partagés peuvent faciliter l’accès tout en compliquant l’attribution.

La réponse technique doit donc agir à plusieurs niveaux. Bloquer des comptes individuels ne peut pas arrêter un réseau qui crée continuellement des remplaçants.

Anthropic indique utiliser des classificateurs comportementaux, l’analyse des métadonnées, la détection de comptes coordonnés et des défenses au niveau du modèle. L’entreprise partage également des indicateurs avec des entreprises cloud, d’autres laboratoires d’IA et des autorités gouvernementales.

Chaque mesure implique des compromis. Une détection agressive peut gêner des chercheurs ou des clients légitimes dont le trafic ressemble à une collecte automatisée.

Les défenses au niveau du modèle peuvent aussi affecter des fonctionnalités utiles. Restreindre la continuité du raisonnement ou ajouter des frictions à l’accès à haut volume peut réduire la valeur d’une API pour des applications autorisées.

Les attaques de distillation de Claude relèvent donc en partie d’un problème d’identité. Les fournisseurs doivent déterminer qui contrôle un compte, qui bénéficie en dernier ressort de ses requêtes et si plusieurs comptes appartiennent à un même opérateur coordonné.

Elles constituent également un problème de sécurité de l’information. Les fournisseurs doivent limiter ce qu’une sortie révèle sans rendre les modèles moins utiles pour un travail légitime.

Le différend porte aussi sur la concurrence en IA

Les accusations d’Anthropic surviennent alors que les développeurs chinois de modèles accentuent la pression concurrentielle grâce à des systèmes performants et largement accessibles.

La famille Qwen d’Alibaba, les modèles Kimi de Moonshot et les systèmes de DeepSeek rivalisent avec les modèles américains de pointe en matière de codage, de raisonnement et d’usage en entreprise. Leurs progrès remettent en question l’idée que les restrictions sur le calcul préserveraient durablement un écart de capacités.

La distillation peut raccourcir les cycles de développement, car un laboratoire obtient des exemples de haute qualité sans reproduire chaque étape de la recherche du modèle enseignant. Anthropic soutient que l’extraction non autorisée réduit à la fois le temps et le coût nécessaires pour se rapprocher des capacités de Claude.

Cet argument soutient la position politique plus large d’Anthropic. L’entreprise a plaidé en faveur de contrôles à l’exportation et considère les capacités des modèles comme des actifs stratégiques nécessitant une protection.

Le gouvernement des États-Unis a adopté un cadrage similaire. En septembre, le FBI, la National Security Agency et la Cybersecurity and Infrastructure Security Agency ont accusé plusieurs entreprises chinoises d’extraction à l’échelle industrielle à partir de modèles américains.

L’avis gouvernemental aurait cité Alibaba, DeepSeek, Moonshot AI, MiniMax, StepFun et Z.ai. Il indiquait que l’activité avait ciblé Claude, GPT, Gemini et Grok depuis au moins la fin de 2024.

La Chine a rejeté ces accusations. Son ministère du Commerce a qualifié les affirmations de non fondées et présenté la distillation comme une pratique courante utilisée par les entreprises d’IA dans le monde entier.

Le ministère a également accusé les États-Unis de chercher à établir un monopole sur l’IA. Sa réponse, rapportée dans un article d’Associated Press, menaçait de contre-mesures si les entreprises chinoises faisaient l’objet de nouvelles restrictions.

Cette objection met en lumière une frontière non résolue. Les développeurs de modèles de l’ensemble du secteur entraînent leurs systèmes sur de vastes collections de contenus créés par des humains, souvent sans négociation individuelle avec chaque auteur.

Les critiques se demandent donc si les principaux laboratoires peuvent revendiquer un contrôle exclusif sur les connaissances générées après avoir construit leurs modèles à partir de jeux de données à l’échelle d’internet. Il s’agit d’une remise en cause éthique de la position d’Anthropic, sans répondre pour autant aux allégations spécifiques concernant l’accès et la confidentialité.

La distillation ordinaire est également très répandue. Anthropic souligne lui-même que la méthode devient contestable en raison de l’évasion des contrôles, de l’extraction à des fins concurrentielles et des violations des règles d’accès.

Le débat ne devrait pas se réduire à l’affirmation selon laquelle tout apprentissage à partir des sorties de modèles équivaut à un vol. Les chercheurs évaluent les modèles, les utilisateurs comparent les réponses et les développeurs créent des applications dépendant de plusieurs fournisseurs.

Les questions pertinentes portent sur l’autorisation, l’ampleur, la dissimulation et l’objectif. Des identités frauduleuses et un routage caché placeraient l’activité présumée bien au-delà d’une comparaison occasionnelle.

Néanmoins, l’intérêt commercial d’Anthropic mérite attention. L’entreprise bénéficie lorsque les décideurs politiques, les clients et les fournisseurs cloud adoptent sa définition de la distillation illicite.

Des exigences d’identité plus strictes pourraient protéger Claude, mais elles pourraient aussi accroître les barrières à l’entrée pour les développeurs indépendants. Des restrictions sur les données d’entraînement synthétiques pourraient favoriser les entreprises qui contrôlent déjà les principaux modèles et de vastes jeux de données propriétaires.

Les éléments publics ne permettent pas encore de trancher chaque revendication d’attribution. Anthropic a accès à sa télémétrie interne, mais les chercheurs externes ne disposent pas des données brutes nécessaires pour examiner les faux positifs ou les explications alternatives.

Alibaba, Moonshot AI et DeepSeek n’ont pas non plus fourni de contre-éléments détaillés. Le silence ne vérifie pas les affirmations d’Anthropic, mais il laisse largement sans réponse le récit technique de l’entreprise.

Une réponse crédible devrait traiter l’infrastructure de comptes signalée, les volumes de requêtes, les métadonnées liées aux employés et la chronologie. Une défense générale de la distillation de modèles n’expliquerait pas le routage non divulgué des clients.

Les résultats compétitifs ajoutent une autre complication. De solides performances dans les benchmarks ne peuvent pas révéler comment un modèle a acquis ses capacités.

Des sorties similaires peuvent provenir de données publiques partagées, de méthodes d’entraînement communes, de données synthétiques autorisées ou d’une extraction non autorisée. Les similitudes de style constituent des preuves faibles sans télémétrie à l’appui.

Les allégations d’Anthropic sont plus précises, car elles décrivent le comportement du réseau et des schémas de requêtes internes. Pourtant, la précision n’est pas synonyme de preuve indépendante.

La bonne conclusion est plus limitée que le cadrage politique de l’une ou l’autre partie. Anthropic a publié des allégations graves et techniquement détaillées qui justifient un examen externe et des réponses directes de la part des entreprises citées.

Ce que les affirmations n’établissent pas encore

Le rapport présente d’importantes observations internes, mais ne prouve pas de manière indépendante comment chaque échange collecté a affecté un modèle publié.

Anthropic affirme que les transcriptions extraites par Alibaba ont soutenu Qwen 3.5, 3.6 et 3.7. L’entreprise associe également ce trafic à des travaux sur les environnements d’apprentissage par renforcement et l’architecture des modèles.

Ce sont des affirmations importantes. Toutefois, le document public ne fournit ni poids de modèles, ni registres d’entraînement, ni communications internes d’Alibaba, ni chaîne d’analyse forensique reproductible.

La même limite s’applique à Moonshot et DeepSeek. Anthropic peut observer une requête arrivant à Claude, associer ses métadonnées à une infrastructure et analyser des schémas de prompts répétés.

Il ne peut pas observer directement chaque étape ultérieure au sein de l’environnement d’entraînement d’un concurrent. Les déclarations concernant l’utilisation finale pour l’entraînement combinent donc la télémétrie avec l’attribution et l’inférence d’Anthropic.

Cette distinction doit rester visible. Le rapport étaye l’affirmation selon laquelle un trafic coordonné a atteint Claude, d’après les systèmes d’Anthropic.

Il ne permet pas au public de calculer les gains de performance exacts produits par ce trafic. Il ne montre pas non plus qu’un modèle cité dépendait principalement des sorties de Claude.

L’entraînement des modèles utilise de nombreuses sources de données et méthodes. Les exemples synthétiques peuvent améliorer des compétences restreintes, tandis que la capacité globale dépend de l’entraînement de base, de la recherche originale, de l’apprentissage par renforcement et de l’évaluation humaine.

Les totaux d’échanges signalés peuvent aussi paraître plus concluants qu’ils ne le sont. Un échange peut contenir un exemple de raisonnement précieux, une tentative échouée, un doublon ou une réponse rejetée lors du filtrage.

Sans taux d’acceptation ni pondérations d’entraînement, les observateurs externes ne peuvent pas convertir 151 millions d’échanges en une mesure fiable du transfert de capacités.

Il existe aussi une différence entre la violation de conditions de service et la violation du droit pénal. Anthropic décrit les campagnes comme des attaques, mais leur qualification juridique dépend du territoire, des méthodes d’accès, des contrats et des règles applicables en matière d’usage abusif des systèmes informatiques.

Les allégations de confidentialité nécessitent leur propre vérification. Anthropic indique avoir observé du matériel client sensible, sans pouvoir confirmer les informations que ces utilisateurs ont reçues de Moonshot ou DeepSeek.

Un service pourrait divulguer le traitement par des tiers dans des conditions que les utilisateurs lisent rarement. Cela ne réglerait pas la question de savoir si cette divulgation était suffisante, mais pourrait modifier la description factuelle du consentement.

Le rapport laisse également ouverte la question du nombre de personnes affectées. Il fournit des exemples détaillés et décrit des données sensibles provenant de centaines d’utilisateurs dans le cadre d’activités de routage connexes, mais ne publie pas de décompte exhaustif.

Anthropic a de solides raisons de ne pas publier les enregistrements bruts. Les publier pourrait exposer des clients, révéler des méthodes de détection ou aider des opérateurs à concevoir des stratégies d’évasion.

Cela crée un problème familier dans les rapports de sécurité. Les éléments les plus utiles à une validation indépendante peuvent aussi affaiblir les défenses ou nuire aux personnes dont les données ont été capturées.

Une lecture attentive évite donc deux extrêmes. Les affirmations ne devraient pas être écartées simplement parce qu’Anthropic est un concurrent.

Ils ne doivent pas non plus être présentés comme des faits établis sans attribution. La couverture originale traite à juste titre ces conclusions comme des allégations formulées par Anthropic.

Une validation indépendante pourrait provenir de plusieurs sources. Les fournisseurs cloud peuvent détenir des données de facturation, de comptes et de réseau corroborant l’infrastructure décrite.

Les régulateurs pourraient examiner les déclarations faites aux clients et le traitement transfrontalier des données. Les entreprises citées pourraient publier les conclusions d’audits, leurs politiques de routage ou des explications techniques répondant directement aux allégations.

Les clients ne devraient pas attendre que chaque litige soit résolu avant de renforcer leurs contrôles. Les organisations peuvent limiter les secrets dans les prompts, surveiller les points de terminaison d’IA et exiger des configurations de routage approuvées.

Les développeurs devraient renouveler tout identifiant soumis à un service incertain. Ils devraient également examiner les journaux à la recherche de prompts contenant des jetons de production, des données clients ou du code non publié.

Ces précautions répondent à un problème plus vaste que le rapport d’Anthropic sur la distillation. Les assistants d’IA sont de plus en plus intégrés aux éditeurs, terminaux, navigateurs et applications métier.

Chaque intégration introduit un cheminement de données. Les équipes de sécurité doivent comprendre l’ensemble du parcours, et pas seulement la marque affichée dans l’interface.

Trois signaux à surveiller ensuite

La prochaine étape sera déterminée par des corroborations techniques, des déclarations des fournisseurs et des changements mesurables dans l’infrastructure d’accès.

Le premier signal sera une confirmation indépendante de la part de fournisseurs cloud ou d’enquêteurs gouvernementaux. Anthropic affirme que les opérations reposaient sur de vastes ensembles de comptes, des proxys et des méthodes de paiement conçues pour dissimuler le contrôle organisationnel.

Une infrastructure de cette ampleur devrait laisser des traces en dehors d’Anthropic. Des éléments corroborants renforceraient à la fois l’attribution et les volumes de trafic rapportés.

L’absence de corroboration ne réfuterait pas les affirmations, car les fournisseurs pourraient éviter toute divulgation publique. Toutefois, une action politique fondée uniquement sur la télémétrie non publiée d’un concurrent ferait l’objet d’un examen légitime.

Le deuxième signal serait une réponse précise d’Alibaba, Moonshot AI ou DeepSeek. Chaque entreprise doit répondre à bien plus que la question de savoir si la distillation est courante.

Les questions centrales portent sur l’accès frauduleux, le routage des clients, la relecture de signatures de raisonnement, la conservation des données et l’utilisation des résultats de Claude dans l’entraînement. Des démentis détaillés ou des audits indépendants affaibliraient le récit d’Anthropic s’ils expliquaient directement ces observations.

Un silence persistant entretiendrait l’incertitude. Un rejet politique général laisserait également les affirmations techniques sans réponse.

Le troisième signal serait un changement visible dans la manière dont les fournisseurs de modèles de pointe contrôlent l’accès automatisé. Anthropic affirme renforcer les contrôles d’identité, la détection comportementale et les défenses contre la récupération du raisonnement.

Si d’autres laboratoires et plateformes cloud adoptent des mesures similaires, cela montrerait que le secteur considère l’extraction coordonnée comme une menace opérationnelle partagée. Cela pourrait également compliquer l’accès des développeurs légitimes sur les marchés non pris en charge.

Les fournisseurs pourraient instaurer des vérifications plus strictes, des contrôles de volume ou des limites contractuelles sur l’entraînement synthétique. Ils pourraient aussi modifier les résultats lorsque leurs systèmes détectent des schémas associés à l’extraction de capacités.

Les chercheurs devraient surveiller si ces contrôles réduisent les volumes de campagnes signalés sans dégrader l’utilisation normale des API. Une défense qui bloque de véritables clients transférerait les coûts vers l’ensemble de la communauté des développeurs.

Les acheteurs d’entreprise devraient poser une question directe aux fournisseurs de modèles : quelle entreprise traite réellement chaque prompt ? La réponse devrait couvrir les modèles de secours, les routeurs tiers, la conservation, l’utilisation pour l’entraînement et les lieux de traitement.

Les développeurs peuvent également séparer l’expérimentation à faible risque des dépôts contenant des identifiants, des dossiers clients ou des stratégies internes. La suppression locale des informations sensibles et les passerelles approuvées réduisent les dommages liés à un routage inattendu.

Les travailleurs du savoir devraient traiter les prompts confidentiels comme toute autre donnée envoyée à un processeur externe. Une interface familière ne garantit pas un chemin d’infrastructure familier.

La question centrale n’est plus de savoir si la distillation de modèles d’IA existe. Elle est de savoir si l’accès caché et le routage non divulgué sont devenus des outils habituels de la concurrence entre modèles de pointe.

Le rapport d’Anthropic sur la distillation offre jusqu’à présent la version publique la plus détaillée de cette allégation. Ses chiffres et ses mécanismes exigent une enquête, mais ses conclusions nécessitent encore des vérifications indépendantes.

Au cours des trois prochains mois, surveillez les preuves d’infrastructure, les réponses directes des entreprises et le renforcement des contrôles des fournisseurs. Ensemble, ces signaux montreront s’il s’agissait d’un différend isolé ou d’un changement durable dans la sécurité de l’IA.

D’ici là, les lecteurs devraient distinguer deux jugements. Anthropic a documenté ce qu’il affirme avoir observé, tandis que les entreprises citées n’ont pas validé publiquement ce récit.

Demandez aux fournisseurs où transitent les prompts avant de faire confiance au nom du modèle affiché à l’écran. Pour les organisations traitant des travaux sensibles, cette question compte désormais autant que la qualité du modèle.