Anthropic a accusé Alibaba d'avoir mené la plus grande campagne de distillation de modèles illicites qu'elle ait jamais mesurée, dans le cadre d'une vague d'attaques d'extraction provenant de sept laboratoires d'IA basés en Chine que l'entreprise dit avoir détectés et perturbés depuis février 2026. Les allégations apparaissent dans le rapport de renseignement sur les menaces d'Anthropic de septembre 2026, publié jeudi, qui consacre une section entière aux tentatives à l'échelle industrielle de cloner les capacités de Claude.
Cette divulgation constitue la comptabilité publique la plus détaillée à ce jour sur une pratique qui est devenue discrètement l'un des problèmes les plus controversés de l'industrie de l'IA. Pour quiconque suit les dernières nouvelles sur l'IA (https://aibuzzwire.news), le rapport se lit comme une escalade dans la bataille en cours entre les laboratoires frontaliers américains et les concurrents chinois pour savoir qui contrôle les modèles les plus performants – et comment ces capacités sont obtenues.
Ce qu'Anthropic dit qu'Alibaba a fait
Selon le rapport, les opérateurs affiliés au laboratoire Qwen, ou Tongyi d'Alibaba, ont injecté une invite fixe dans chaque requête, obligeant Claude à écrire son raisonnement complet dans des balises de texte en ligne avant de répondre. Ces transcriptions de raisonnement ont ensuite été enregistrées et converties en données de réglage fin supervisées, qui, selon Anthropic, ont été utilisées pour aider à entraîner Qwen 3.5, 3.6 et 3.7.
L'ampleur est frappante. Anthropic affirme que la campagne ciblait les transcriptions de la chaîne de pensée des Opus 4.6 et 4.7, a culminé à près de 3 millions d'échanges par jour lancés à partir de plus de 3 500 comptes frauduleux et a totalisé plus de 151 millions d'échanges observés entre mai et juillet 2026. pistes. Lorsqu’Anthropic a interdit le premier pool, le trafic s’est simplement déplacé vers le second.
Au-delà de la distillation, le rapport allègue qu'Alibaba a également utilisé Claude pour faire progresser sa propre recherche et développement en IA, notamment en créant des environnements d'apprentissage par renforcement et en recherchant l'architecture des modèles. Anthropic affirme que certains comptes canalisent également les demandes de DeepSeek et de Xiaomi, ce qui suggère que les mêmes réseaux proxy servent plusieurs organisations.
Moonshot a servi Claude à la place de Kimi
Les allégations contre Moonshot AI, le fabricant de la famille de modèles Kimi, sont peut-être les plus inhabituelles. Anthropic rapporte que Moonshot a transmis silencieusement les demandes des clients à Claude au lieu de les traiter avec ses propres modèles – puis a affiché les réponses de Claude aux utilisateurs qui pensaient parler à Kimi.
Par exemple, Anthropic a dénombré près de 300 000 demandes de clients transmises à Anthropic en seulement dix jours, la grande majorité étant acheminées vers Opus. L'opération s'est déroulée via un réseau proxy de 5 380 comptes frauduleux, la plupart semblant être situés à Singapour et au Japon. Entre mai et juillet 2026, Anthropic attribue plus de 23 millions d'échanges à la campagne.
Moonshot a également construit ce qu'Anthropic appelle une attaque par relecture inter-sessions : en enregistrant la "signature de réflexion" cryptée que Claude renvoie au lieu du raisonnement brut, puis en démarrant une nouvelle session et en invitant Claude à reconvertir cette signature en trace de raisonnement complète. Anthropic affirme que DeepSeek a utilisé la même technique et que de nouvelles défenses contre celle-ci sont en cours de déploiement.
Le rapport souligne une grave dimension de confidentialité : les requêtes des utilisateurs redirigées par Moonshot incluaient des informations sensibles que ses clients n'ont jamais consenti à partager avec un tiers. Les exemples incluent un utilisateur probablement affilié à l'Armée populaire de libération de la Chine analysant les données de surveillance CCTV sur un individu ciblé à partir de centaines de caméras à Chengdu, et un ingénieur d'une grande entreprise publique chinoise dont le code interne et les informations d'identification en direct sont transmises par Claude à son insu.
Opération de relais de DeepSeek
Anthropic affirme que DeepSeek a déployé des tactiques similaires, relayant silencieusement les demandes des utilisateurs à Claude Opus et récoltant des traces de raisonnement via la même méthode de relecture inter-sessions. La société aurait identifié les cibles en vérifiant les demandes entrantes pour les chaînes associées à des harnais de codage tiers tels que Claude Code, le SDK Claude Agent et OpenCode, puis aurait sélectionné les demandes des utilisateurs étiquetés pour les relayer.
L’ampleur attribuée à DeepSeek : plus de 12,1 millions d’échanges observés sur seulement 14 jours en juillet 2026. Les données relayées ont révélé ce que les utilisateurs pensaient sûrement être privé. Les exemples d'Anthropic incluent un employé d'une entreprise technologique chinoise analysant la documentation interne d'un programme phare d'IA, un opérateur informatique travaillant avec des données d'une agence gouvernementale russe associée à son ministère de la Défense dont les demandes ont exposé les informations d'identification en direct de la base de données, et des ingénieurs d'un bureau municipal de sécurité publique en Chine qui construisent un outil qui suit les mouvements des individus par rapport aux dossiers de police par numéro d'identification national.
Zhipu, Xiaomi et le modèle plus large
Le rapport attribue également une campagne d’extraction de chaîne de pensée à Zhipu AI, qui se présente sous le nom de Z.ai en dehors de la Chine. Anthropic affirme que Zhipu a exécuté son pipeline contre Opus 4.8 en effectuant une rotation sur 273 comptes frauduleux sur dix jours en juin, en comptant 770 609 échanges via son nettoyeur d'extraction CoT et plus de 3 millions d'échanges au total au cours de la même période.
DeepSeek, Xiaomi et Moonshot sont accusés séparément d'avoir introduit des conversations entre leurs propres utilisateurs et modèles dans Claude comme données de formation. Anthropic affirme que ces sessions contenaient des noms, des adresses e-mail, des données d'entreprise et d'autres informations sensibles provenant de centaines d'utilisateurs finaux dans au moins une douzaine de langues – une grande partie relayées par des services de routage de modèles tiers populaires auprès des utilisateurs aux États-Unis et en Europe – et que les pratiques sont probablement incompatibles avec les lois sur la confidentialité et les propres conditions de service des laboratoires.
Pourquoi la distillation est si difficile à arrêter
La distillation elle-même est une méthode de formation légitime et largement utilisée : un modèle « étudiant » plus petit apprend des résultats d'un modèle « enseignant » plus grand. Ce qu'Anthropic définit comme illicite est la version secrète à l'échelle industrielle : de faux comptes créés à partir de cartes de crédit, d'identifiants et de clés API volés, ainsi que des transcriptions d'utilisateurs achetées auprès de services proxy qui enregistrent les conversations à l'insu des utilisateurs.
Les tentatives d'extraction documentées dans le rapport vont de brutales à créatives. Un laboratoire a mené une expérience de 12 000 requêtes, chaque requête utilisant une technique différente, pour déterminer lesquelles permettraient d'extraire le raisonnement de Claude. Un autre a demandé au modèle de « traduire » sa mémoire de travail précédente en japonais uniquement en katakana pour contourner les filtres anti-distillation.
OpenAI a publiquement signalé les attaques par distillation depuis début 2025, et Google a publié un outil de suivi des menaces sur la distillation contradictoire plus tôt cette année. La contribution d'Anthropic est l'échelle et la spécificité : des laboratoires nommés, des modèles nommés et des chiffres concrets.
Anthropic affirme que les attaques des sept laboratoires ont ciblé ses modèles généralement disponibles et qu'il n'a observé aucune tentative contre ses systèmes restreints Mythos 5 ou Mythos Preview, qui ne sont pas accessibles au public. Il note également que les modèles distillés à partir de systèmes frontières n’héritent d’aucun de leurs garde-fous de sécurité – et que ses propres recherches suggèrent que la distillation peut accroître des capacités dangereuses dans les domaines biologiques et cybernétiques, même lorsque les échanges récoltés contiennent peu de choses sur ces sujets.
La société affirme que chaque campagne décrite a été perturbée, que les mesures de protection ont été renforcées en réponse et que les renseignements ont été partagés avec les autorités et les partenaires industriels, le cas échéant. La question de savoir si le fait de nommer des noms modifiera l’économie du clonage de modèles pionniers – ou simplement documentera une course aux armements déjà en plein essor – dépendra de ce qui se passera ensuite.
---
Gardez une longueur d'avance sur l'IARecevez les dernières actualités, analyses et avancées en matière d'IA, le tout en un seul endroit.
Lire plus d'actualités sur l'IA →
