Distillation industrielle : comment trois labs chinois ont siphonné Claude

#16 millions de requêtes, 24 000 faux comptes

Le 23 février 2026, Anthropic a publié un rapport qui a secoué l'industrie de l'IA. Trois laboratoires chinois — DeepSeek, Moonshot AI et MiniMax — ont mené des campagnes coordonnées pour extraire les capacités de Claude à une échelle industrielle.

La technique utilisée s'appelle la distillation de modèle. Le principe est simple : tu envoies des millions de requêtes à un modèle performant, tu collectes ses réponses, puis tu entraînes ton propre modèle sur ces réponses. En clair, tu utilises Claude comme professeur pour former tes propres élèves — sans payer les années de recherche ni les coûts d'entraînement.

L'ampleur de l'opération est vertigineuse.

#Ce que chaque lab a ciblé

Les trois campagnes n'étaient pas identiques. Chacune visait des capacités spécifiques de Claude.

MiniMax a mené l'opération la plus massive avec plus de 13 millions d'échanges. Leur cible : le coding agentique et le tool use — la capacité de Claude à orchestrer des outils et à écrire du code de manière autonome. C'est la brique fondamentale des agents IA modernes.

Moonshot AI s'est concentré sur plus de 3,4 millions d'échanges ciblant le raisonnement agentique, le tool use, le coding, l'analyse de données et le développement d'agents computer-use. Un spectre large, axé sur les capacités qui font de Claude un outil de développement puissant.

DeepSeek a opéré à plus petite échelle — environ 150 000 échanges — mais avec un objectif particulièrement préoccupant. En plus d'extraire les traces de raisonnement (la chaîne de pensée pas-à-pas de Claude), ils cherchaient à générer des alternatives "sans censure" : des réponses reformulées pour contourner les filtres de sécurité chinois. L'objectif était d'entraîner leur modèle à aborder des sujets sensibles que la censure bloque habituellement.

#L'architecture "hydra" : comment contourner les défenses

Les trois labs n'ont pas simplement créé quelques comptes et lancé des requêtes. Ils ont déployé une infrastructure sophistiquée qu'Anthropic qualifie d'architecture "hydra cluster".

Le principe : des réseaux tentaculaires de comptes frauduleux, distribués à travers des proxies et des plateformes cloud. Un seul réseau proxy gérait simultanément plus de 20 000 comptes. Quand Anthropic bannissait un compte, un autre prenait sa place automatiquement — comme les têtes de l'hydre dans la mythologie.

L'infrastructure mêlait le trafic de distillation avec des requêtes légitimes de vrais clients, rendant la détection beaucoup plus complexe. Certains opérateurs revendaient même l'accès à Claude à grande échelle via des services proxy commerciaux.

Les vecteurs d'accès exploitaient notamment les comptes éducatifs et de recherche, dont les processus de vérification étaient moins stricts.

#Comment Anthropic a détecté et attribué les attaques

Anthropic a identifié chaque campagne et l'a attribuée à un laboratoire spécifique avec un niveau de confiance élevé. L'attribution repose sur plusieurs signaux croisés :

• Corrélation d'adresses IP entre les comptes frauduleux et l'infrastructure connue des labs
• Métadonnées des requêtes révélant des patterns d'utilisation caractéristiques
• Indicateurs d'infrastructure (serveurs, proxies, clusters)
• Corroboration par des partenaires industriels dans certains cas

Les classifieurs comportementaux d'Anthropic ont identifié des signatures distinctives : trafic synchronisé entre comptes, moyens de paiement partagés, timing coordonné suggérant un load balancing automatisé pour maximiser le débit tout en évitant la détection.

#Les contre-mesures déployées

En réponse, Anthropic a annoncé plusieurs couches de protection.

Détection renforcée. Des classifieurs comportementaux distinguent les tentatives de distillation de l'usage légitime. Des systèmes de fingerprinting identifient les patterns de trafic API suspects en temps réel.

Protections au niveau du modèle. Des safeguards dégradent la qualité des outputs utiles pour l'extraction illicite. Concrètement, si le système détecte un pattern de distillation, les réponses deviennent moins exploitables pour l'entraînement d'un modèle tiers.

Vérification renforcée des comptes. Les processus d'inscription pour les comptes éducatifs et de recherche — un vecteur d'accès exploité par les attaquants — ont été durcis.

Partage de renseignements. Anthropic collabore désormais avec d'autres laboratoires d'IA, des fournisseurs cloud et des autorités pour coordonner la détection et la réponse aux campagnes de distillation.

#Pourquoi ça dépasse le simple vol de propriété intellectuelle

Cette affaire soulève des enjeux qui vont bien au-delà d'une violation de conditions d'utilisation.

#Les garde-fous de sécurité disparaissent

Quand tu distilles un modèle, tu copies ses capacités brutes — mais pas les protections de sécurité qui ont été intégrées pendant des mois d'entraînement spécialisé (le RLHF, le red-teaming, les filtres de contenu). Le modèle résultant peut être aussi performant que Claude sur des tâches techniques, tout en étant dépourvu des barrières qui empêchent les usages dangereux.

Anthropic alerte explicitement : ces capacités non protégées pourraient être exploitées pour du développement d'armes biologiques, des opérations cyber offensives, de la désinformation à grande échelle ou de la surveillance de masse.

#Les contrôles d'exportation deviennent inefficaces

Les États-Unis restreignent l'exportation de puces GPU avancées vers la Chine pour limiter le développement de modèles d'IA de pointe. Mais si les outputs d'un modèle de frontier peuvent être extraits à cette échelle via une simple API, ces restrictions perdent une partie de leur efficacité. La distillation contourne les contrôles matériels par une extraction logicielle.

#La sécurité des API d'IA est fondamentalement remise en question

Si Claude peut être distillé à cette échelle, n'importe quel service d'IA basé sur une API est vulnérable. Ce n'est pas un problème spécifique à Anthropic — c'est un défi structurel pour toute l'industrie. Chaque fournisseur de modèle qui expose une API offre potentiellement un vecteur de distillation.

#Ce que ça change pour les développeurs

Tu n'es probablement pas la cible d'attaques de distillation. Mais les conséquences de cet épisode vont affecter ton quotidien.

Des restrictions d'accès plus strictes. Attends-toi à des processus de vérification renforcés pour créer des comptes API, des limites de taux plus agressives, et potentiellement des restrictions géographiques. C'est le prix collectif de l'abus de quelques-uns.

Les CGU vont se durcir. La plupart des fournisseurs d'IA interdisent déjà la distillation dans leurs conditions d'utilisation. Après cet épisode, ces clauses vont être renforcées et appliquées plus strictement.

Le débat ouvert vs fermé se réchauffe. Cet incident alimente la tension entre les partisans des modèles ouverts (qui considèrent que toute IA devrait être librement accessible) et ceux qui défendent des modèles propriétaires protégés. Les arguments sécuritaires viennent de gagner du terrain.

Si tu construis des agents, sécurise tes propres API. La distillation n'est pas réservée aux grands modèles. Si tu exposes un système IA fine-tuné via une API, tu es potentiellement vulnérable au même type d'extraction. Pense rate limiting, monitoring comportemental et détection d'anomalies.

#L'ironie de la situation

Il est difficile d'ignorer un élément de contexte. Anthropic elle-même a fait face à des accusations concernant l'utilisation de données d'entraînement sans autorisation explicite pour construire Claude — un reproche adressé à pratiquement tous les grands labs d'IA.

La frontière entre "apprendre à partir de données publiques" et "extraire illicitement les capacités d'un concurrent" est juridiquement floue. La distillation via API est clairement une violation contractuelle (les CGU l'interdisent). Mais le débat plus large sur la propriété des outputs d'IA et le droit à l'entraînement est loin d'être tranché.

Cela dit, l'échelle de l'opération — 24 000 faux comptes, 16 millions d'échanges, des réseaux proxy de 20 000 nœuds — dépasse de loin la zone grise. C'est une extraction systématique et industrielle, pas une utilisation ambiguë.

#Ce qu'il faut retenir

L'affaire de la distillation industrielle de Claude marque un tournant pour l'industrie de l'IA. Pour la première fois, un lab documente publiquement et attribue nommément des campagnes d'extraction à cette échelle.

Les trois enseignements clés :

1. La distillation est un risque réel et actif, pas une menace théorique. Trois labs majeurs l'ont pratiquée à échelle industrielle.

2. Les garde-fous de sécurité ne survivent pas à la distillation. Un modèle distillé hérite des capacités mais pas des protections — ce qui le rend potentiellement plus dangereux.

3. La sécurité des API d'IA doit être repensée. Les défenses actuelles (rate limiting, vérification de comptes) ont été contournées par des architectures distribuées. L'industrie a besoin de nouvelles approches — fingerprinting comportemental, dégradation des outputs suspects, partage de renseignements inter-labs.

Pour les développeurs, c'est un rappel que la sécurité n'est pas un add-on. C'est une contrainte d'architecture — que tu construises un modèle de frontier ou une simple API exposant un agent.

Pour approfondir, consulte le rapport officiel d'Anthropic et la couverture détaillée de TechCrunch.