Contexte et mécanisme de distillation

La distillation de connaissances consiste à transférer les capacités d’un modèle volumineux (enseignant) vers un modèle plus petit (élève). Cette technique est légitime lorsqu’elle est autorisée par le propriétaire du modèle. L’« illicit distillation » décrit une extraction à grande échelle où des acteurs non autorisés utilisent des comptes factices, des cartes de crédit volées et des clés API compromises pour interroger le modèle et récupérer ses réponses. Les réponses ainsi collectées servent ensuite à entraîner un modèle concurrent sans permission.

Campagnes de distillation observées

Anthropic a identifié sept campagnes menées depuis février 2026. La plus importante, GTG‑16005, a généré 151 millions d’échanges entre mai et juillet 2026, avec un pic de 3 millions d’échanges quotidiens provenant de plus de 3 500 comptes frauduleux. Elle ciblait les transcriptions de raisonnement en chaîne de pensée (CoT) de Claude Opus 4.6/4.7, notamment pour des tâches d’agentic, de génie logiciel et de développement kernel. Moonshot (GTG‑16002) a relayé près de 300 000 requêtes en 10 jours via 5 380 comptes, principalement depuis Singapour et le Japon, pour entraîner son propre modèle CoT. DeepSeek (GTG‑16001) a enregistré plus de 12,1 millions d’échanges en 14 jours, suivant la même méthode que Moonshot. Zhipu (GTG‑16006) a exploité 273 comptes pour plus de 3,4 millions d’échanges en 17 jours, en réinjectant les traces de raisonnement de Claude dans son pipeline d’entraînement. Xiaomi (GTG‑16008) a collecté 400 000 échanges sur 20 jours via les outils OpenClaw et OpenCode. SenseTime (GTG‑16012) a acheté des transcriptions auprès de revendeurs tiers, tandis que MiniMax (GTG‑16003) a créé un réseau de proxy via une société écran pour capter les échanges entre utilisateurs et modèles américains.

Infrastructure de contournement et marché secondaire

Les laboratoires non autorisés accèdent à Claude en passant par des services de proxy, appelés stations de transfert ou relais. Ces services génèrent des milliers de comptes fictifs, utilisent des cartes de crédit volées et exploitent des clés API légitimes pour masquer l’origine des requêtes. Anthropic a constaté que les proxys stockent les conversations sans le consentement des utilisateurs, créant ainsi une « secondary market » où les transcriptions sont revendues à d’autres laboratoires. Les données collectées comprennent des informations sensibles provenant d’individus, d’entreprises multinationales et d’acteurs étatiques, augmentant le risque de fuite de propriété intellectuelle.

Réponses d’Anthropic et limites

Pour freiner ces attaques, Anthropic a renforcé ses contrôles d’accès : interdiction des comptes revendeurs et blocage des régions non supportées (Chine, Iran, Russie) lorsque l’identité n’est pas vérifiée. Le modèle a été mis à jour pour résumer son raisonnement interne avant de répondre, rendant les transcriptions moins exploitables pour l’entraînement. La version Fable 5.1 introduit le « preserved thinking », qui chiffre le raisonnement et empêche la modification du prompt système, des outils ou des messages précédents. Malgré ces mesures, la capacité à masquer les flux via des réseaux de proxy reste un vecteur persistant, et la dépendance à des API publiques expose toujours le modèle à des abus à grande échelle.