Discussion :

[Jade Emy]

Les autorités fédérales américaines accusent la Chine de procéder à une « distillation systématique » des modèles d'IA américains, en utilisant des systèmes sophistiqués

Les autorités fédérales américaines accusent la Chine de distillation « systématique » de modèles d’IA américains. Un avis conjoint allègue que des entreprises chinoises utilisent des systèmes sophistiqués pour acheminer des millions de requêtes de données vers des modèles d’IA américains via différents comptes et différentes plateformes. L’avis cite des entreprises chinoises telles que DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI, affirmant qu’elles ont dépensé des milliards de jetons au cours de millions d’échanges et de requêtes avec des modèles d’IA américains de pointe tels que Claude d’Anthropic, ChatGPT d’OpenAI, Gemini de Google et Grok de xAI, depuis au moins fin 2024. « La lutte contre la distillation à l’échelle industrielle mérite une réponse coordonnée à l’échelle de l’écosystème de l’IA, incluant un partage efficace des informations entre le gouvernement américain, le secteur privé et les nations alliées », précise l’avis.

En apprentissage automatique, la distillation de connaissances ou la distillation de modèles désigne le processus consistant à transférer des connaissances d’un grand modèle vers un modèle plus petit. Si les grands modèles (tels que les réseaux neuronaux très profonds ou les ensembles de nombreux modèles) disposent d’une plus grande capacité de connaissances que les petits modèles, cette capacité n’est pas toujours pleinement exploitée. L’évaluation d’un modèle peut s’avérer tout aussi coûteuse en ressources de calcul, même s’il n’utilise qu’une petite partie de sa capacité de connaissances. La distillation de connaissances permet de transférer les connaissances d’un grand modèle vers un modèle plus petit sans perte de validité. Les modèles plus petits étant moins coûteux à évaluer, ils peuvent être déployés sur du matériel moins puissant (comme un appareil mobile).

Le 23 avril 2026, l'administration Trump a officiellement accusé des entités chinoises de mener des campagnes organisées pour copier les modèles d'intelligence artificielle (IA) américains. La technique en cause, la distillation, se situe à la frontière floue entre pratique légitime et espionnage industriel. Pékin balaie ces accusations d'un revers de main et DeepSeek, visé implicitement, publie le jour suivant son modèle V4 en fanfare.

Récemment, le gouvernement américain a rappellé ces accusations en affirmant que les entreprises chinoises spécialisées dans l’IA menent une campagne délibérée et « systématique » visant à extraire illégalement les modèles d’IA de pointe américains et leurs capacités. Selon un avis conjoint sur la cybersécurité publié par l’Agence nationale de sécurité (NSA), l’Agence de cybersécurité et de sécurité des infrastructures (CISA) et le FBI, l’ampleur même de ces efforts depuis 2024 indique que la distillation constitue un élément essentiel de la politique industrielle chinoise en matière d’IA.

« Des entreprises chinoises spécialisées dans l’intelligence artificielle procèdent à une extraction systématique des fonctionnalités et capacités propriétaires des modèles des entreprises américaines d’IA par le biais de campagnes de distillation des connaissances à l’échelle industrielle qui constituent le cœur — et non un simple complément — de leur stratégie de développement en matière d’IA », ont écrit ces agences.

L’avis cite des entreprises chinoises telles que DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI, affirmant qu’elles ont dépensé des milliards de jetons au cours de millions d’échanges et de requêtes avec des modèles d’IA américains de pointe tels que Claude d’Anthropic, ChatGPT d’OpenAI, Gemini de Google et Grok de xAI, depuis au moins fin 2024. Les agences américaines ont déclaré que ces entreprises utilisaient les données issues de ces interactions pour renforcer leurs propres modèles nationaux, une pratique tacitement encouragée mais non dirigée par les dirigeants politiques de Pékin.

DeepSeek, par exemple, a exploité des modèles américains de pointe pour générer des données d’entraînement synthétiques destinées à ses modèles R1 et R3, notamment quatre versions différentes de Claude, deux versions de Gemini, cinq versions de ChatGPT et Grok 4. Ces modèles ont contribué à développer les capacités de DeepSeek dans des domaines tels que le fonctionnement agentique, l’optimisation des questions-réponses, la rédaction créative et professionnelle, entre autres.

Une autre entreprise chinoise, Moonshot AI, aurait distillé 18 modèles américains différents – dont Fable 5, le modèle actuel d’Anthropic, le plus avancé disponible sur le marché – pour entraîner ses modèles Kimi-K2 et Kimi K3. L’entreprise a utilisé des millions de requêtes destinées à extraire des capacités améliorées dans des domaines tels que le raisonnement agentique, le codage et l’analyse de données, la vision par ordinateur, les cadres logiques plus vastes, le traitement visuel et bien d’autres encore.

Les entreprises chinoises spécialisées dans l’IA gèrent un ensemble sophistiqué d’outils et de systèmes qui acheminent les requêtes et les invites par de multiples voies afin d’échapper à la détection. « La lutte contre la distillation à l’échelle industrielle mérite une réponse coordonnée à l’échelle de l’écosystème de l’IA, incluant un partage efficace des informations entre le gouvernement américain, le secteur privé et les nations alliées », précise l’avis.

L’avis énumère notamment les tactiques couramment observées chez les entreprises chinoises, notamment la répartition des requêtes entre différents comptes, modèles et plateformes, l’utilisation d’API natives, de fournisseurs de cloud à distance et d’agrégateurs tiers pour masquer les métadonnées des utilisateurs, ainsi que le recours à des proxys et aux marchés de la « gray tech » pour contourner les restrictions géographiques, les conditions d’utilisation et les mesures de sécurité intégrées aux modèles de pointe.

Présenté en septembre 2023, la distillation pas à pas est une méthode qui permet d'extraire des justifications informatives des grands modèles de langage (LLM) pour former efficacement des modèles plus petits spécifiques à une tâche. Cette approche réduit considérablement la taille du modèle et la quantité de données de formation nécessaires, surpassant ainsi les performances des LLM avec quelques instructions génératives (prompt). La recherche avait pour but d'offrir une solution économe en ressources pour le compromis entre la taille du modèle et les données de formation.

Depuis des décennies, les responsables américains de la sécurité nationale et les chefs d’entreprise occidentaux accusent la Chine de recourir à des cyberattaques, à des menaces internes et à d’autres formes d’espionnage économique pour dérober des technologies propriétaires ou sensibles aux entreprises américaines. En juin, Michael Kratsios, directeur du Bureau de la politique scientifique et technologique de la Maison Blanche, a porté une accusation similaire à l’encontre de MoonshotAI, l’accusant d’avoir exploité « Fable 5 » pour entraîner ses propres modèles, et a décrit un système « sophistiqué » similaire permettant de contourner les garde-fous et les restrictions d’utilisation.

L'avertissement récemment lancé formule des accusations similaires concernant le vol de technologies américaines par la Chine, mais à l'encontre d'entreprises pionnières de l'IA qui font elles-mêmes l'objet de poursuites judiciaires de la part d'artistes, d'auteurs, d'organismes de presse et d'autres parties affirmant que ces entreprises ont illégalement entraîné leurs modèles à partir d'œuvres protégées par le droit d'auteur ou par des marques déposées.

Même au sein du secteur très concurrentiel de l'IA, les entreprises et les organisations open source partagent couramment les paramètres de leurs systèmes d'IA, ou extraient des éléments d'autres systèmes d'IA dans le cadre de travaux ou de recherches légitimes. Les agences reconnaissent cette réalité, mais affirment que les entreprises chinoises se livrent à « des activités de distillation agressives, malveillantes et ciblées à l’échelle industrielle ».

Voici le résumé du communiqué de la CISA

Des entreprises chinoises spécialisées dans l’intelligence artificielle mènent des campagnes de distillation à l’échelle industrielle à l’encontre d’entreprises américaines du secteur de l’IA

Des entreprises chinoises spécialisées dans l’intelligence artificielle (IA) procèdent à l’extraction systématique des fonctionnalités et capacités propriétaires des modèles d’entreprises américaines du secteur de l’IA, par le biais de campagnes de distillation des connaissances à l’échelle industrielle qui constituent le cœur – et non un simple complément – de leur stratégie de développement en matière d’IA. Bien que la « distillation » soit reconnue comme une technique légitime et utile dans la recherche en IA, les entreprises chinoises du secteur mènent des activités de distillation agressives, malveillantes et ciblées à l’échelle industrielle, qui visent à extraire des fonctionnalités et capacités propriétaires soumises à des restrictions issues des modèles d’IA de pointe américains. L’Agence nationale de sécurité (NSA), l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) et le Bureau fédéral d’enquête (FBI) (ci-après dénommées « les agences auteurs ») publient cet avis conjoint sur la cybersécurité afin d’alerter les organisations sur ces activités et techniques malveillantes et de recommander des mesures d’atténuation visant à réduire leur impact potentiel.

Probablement avec la complicité du gouvernement chinois, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI ont extrait des milliards de tokens à partir de millions d’échanges/de requêtes provenant de modèles d’IA de pointe américains, notamment des variantes de Claude, GPT, Gemini et Grok, depuis au moins fin 2024. DeepSeek mène depuis au moins 2024 des campagnes organisées ciblant les capacités de raisonnement, les optimisations spécialisées et les fonctions spécifiques à certains domaines afin d’entraîner ses modèles R1 et V3. Alibaba a exploité la distillation à l’échelle industrielle pour améliorer sa famille de modèles d’IA Qwen. Moonshot AI, MiniMax, StepFun et Z.AI se sont également livrés à une distillation malveillante des connaissances issues des modèles d’entreprises américaines spécialisées dans l’IA.

Les entreprises chinoises spécialisées dans l’IA acheminent leurs demandes de distillation par de multiples voies afin d’obtenir un accès non autorisé, enfreignant ainsi les conditions d’utilisation des entreprises américaines du secteur de l’IA. Ces voies comprennent des interfaces de programmation d’applications (API) natives, des fournisseurs de cloud à distance et des agrégateurs tiers qui masquent automatiquement les métadonnées des utilisateurs pour éviter toute détection. De plus, les entreprises chinoises spécialisées dans l’IA ont recours à un marché gris de proxys, appelés « stations de transfert », pour contourner les restrictions géographiques des entreprises américaines du secteur de l’IA, enfreindre les conditions d’utilisation, échapper aux mesures de protection et compromettre la traçabilité. Ces entreprises chinoises réalisent des économies pour leurs campagnes de distillation à l’échelle industrielle grâce à l’achat en gros d’abonnements premium auprès des entreprises américaines du secteur de l’IA, partagés entre plusieurs équipes de développeurs. Les tactiques avancées de distillation à l’échelle industrielle comprennent l’extraction du raisonnement par chaîne de pensée (CoT), le basculement automatisé entre les chemins lors des tentatives de blocage et des cadres sophistiqués d’évaluation de la qualité pour détecter les contre-mesures défensives. Les entreprises chinoises spécialisées dans l’IA qui mènent des opérations de distillation à l’échelle industrielle sur des modèles d’IA américains bénéficient de délais de développement de l’IA nettement plus courts et de dépenses financières réduites pour l’entraînement d’un modèle de pointe.

Les entreprises chinoises spécialisées dans l’IA répartissent délibérément leurs opérations entre plusieurs fournisseurs, plateformes et voies d’accès afin d’éviter toute détection en un seul point. Elles tentent également de distiller les meilleures capacités et fonctionnalités propriétaires de chaque modèle de pointe américain pour entraîner leurs propres modèles d’IA basés en Chine. Cela constitue une extraction systématique de fonctionnalités et de capacités propriétaires qui menace le leadership technologique américain. La lutte contre la distillation à l’échelle industrielle mérite une réponse coordonnée à l’échelle de l’écosystème de l’IA, incluant un partage efficace des informations entre le gouvernement américain, le secteur privé et les nations alliées.

Les agences auteurs recommandent aux entreprises américaines du secteur de l’IA de prendre trois mesures immédiates :

1. Mettre en œuvre des mesures complètes de détection et d’atténuation : détecter les requêtes, comptes, réseaux et comportements anormaux et malveillants. De plus, surveiller les ratios abonnement/utilisation, l’utilisation maximale immédiate des nouveaux comptes et les schémas de débit à l’échelle de l’entreprise.

2. Déployer des modifications ciblées des réponses : modifier subtilement les réponses aux tentatives de distillation présumées malveillantes afin d’atténuer les gains des entreprises menant des campagnes de distillation à l’échelle industrielle.

3. Mettre en place un partage de renseignements inter-organisations : établir des corrélations entre les activités des fournisseurs de modèles, des plateformes cloud et des agrégateurs d’API afin de mettre au jour les campagnes distribuées.

Source : Communiqué de la CISA

Et vous ?

Pensez-vous que ces accusations sont crédibles ou pertinentes ?
Quel est votre avis sur le sujet ?

Voir aussi :

Plusieurs mois après qu'Anthropic et OpenAI se sont plaints que des sociétés chinoises d'IA volaient leurs modèles à l'aide de la distillation, des traces de LLM US ont été découvertes dans des modèles chinois

Google affirme qu'une attaque à utilisé plus de 100 000 instructions génératives pour tenter de cloner le chatbot IA Gemini. Une extraction de modèle pour obtenir la logique qui fait fonctionner le modèle

La Chine a pratiquement effacé l'avance historique des États-Unis en matière d'IA et son vivier de talents ne cesse de s'agrandir, tandis que l'attractivité américaine pour les talents mondiaux s'érode

[Alex]

Anthropic dévoile les campagnes de « distillation » menées par Alibaba, Moonshot AI et DeepSeek, pour extraire les capacités de l'IA Claude

Selon Anthropic, des laboratoires chinois spécialisés dans l’IA auraient utilisé en secret des millions d’échanges sur Claude pour entraîner leurs modèles. Anthropic a déclaré qu’Alibaba et Moonshot figuraient parmi les entreprises chinoises impliquées dans ce qu’elle a qualifié de « distillation » non autorisée de ses modèles Claude. La société a précisé que cette activité visait à extraire des capacités de Claude afin de contribuer à l’entraînement et à l’amélioration d’autres modèles d’IA. Les conclusions d’Anthropic s’inscrivent dans un rapport plus large sur l’utilisation abusive de ses systèmes d’IA entre décembre 2025 et août 2026.

En apprentissage automatique, la distillation pas à pas est une méthode qui permet d'extraire des justifications informatives des grands modèles de langage (LLM) pour former efficacement des modèles plus petits spécifiques à une tâche. Cette approche réduit considérablement la taille du modèle et la quantité de données de formation nécessaires, surpassant ainsi les performances des LLM avec moins d'instructions génératives. La méthode offre une solution économe en ressources pour le compromis entre la taille du modèle et les données de formation.

Début septembre 2026, le gouvernement américain a accusé les entreprises chinoises spécialisées dans l’IA de mener une campagne délibérée et « systématique » visant à extraire illégalement les modèles d’IA de pointe américains et leurs capacités. Selon un avis conjoint sur la cybersécurité publié par l’Agence nationale de sécurité (NSA), l’Agence de cybersécurité et de sécurité des infrastructures (CISA) et le FBI, l’ampleur même de ces efforts depuis 2024 indique que la distillation constitue un élément essentiel de la politique industrielle chinoise en matière d’IA.

L’avis cite des entreprises chinoises telles que DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI, affirmant qu’elles ont dépensé des milliards de jetons au cours de millions d’échanges et de requêtes avec des modèles d’IA américains de pointe tels que Claude d’Anthropic, ChatGPT d’OpenAI, Gemini de Google et Grok de xAI, depuis au moins fin 2024. « Des entreprises chinoises spécialisées dans l’intelligence artificielle procèdent à une extraction systématique des fonctionnalités et capacités propriétaires des modèles des entreprises américaines d’IA par le biais de campagnes de distillation des connaissances à l’échelle industrielle qui constituent le cœur — et non un simple complément — de leur stratégie de développement en matière d’IA », ont écrit ces agences.

Récemment, Anthropic a déclaré avoir détecté et contrecarré des efforts non autorisés à grande échelle menés par des laboratoires d’IA basés en Chine, notamment Alibaba, Moonshot et DeepSeek, visant à entraîner leurs modèles à l’aide de Claude. Dans un rapport sur les menaces récemment publié, la société américaine spécialisée dans l’IA a indiqué que ces entreprises se livraient à ce qu’elle qualifie de « distillation illicite », un processus consistant à utiliser les résultats d’un modèle d’IA plus performant pour entraîner un autre modèle et reproduire certaines de ses capacités sans autorisation.

« Certains de ces échanges comportaient des informations sensibles, provenant notamment d’utilisateurs individuels, de grandes multinationales et d’acteurs liés à l’État… Ces pratiques sont probablement contraires aux lois sur la protection de la vie privée et aux conditions d’utilisation des laboratoires eux-mêmes », selon le rapport. Anthropic a indiqué que des opérateurs affiliés à Alibaba avaient utilisé les résultats de Claude pour contribuer à l’entraînement de ses modèles Qwen, tandis que Moonshot avait redirigé certaines requêtes d’utilisateurs de Kimi vers Claude et utilisé une partie des échanges qui en ont résulté pour entraîner ses propres modèles.

L’opération menée par Alibaba a constitué la plus grande campagne de « distillation » jamais recensée par Anthropic, avec plus de 151 millions d’échanges avec Claude entre mai et juillet. Selon le rapport, cette activité a atteint un pic de près de 3 millions d’échanges par jour, provenant de plus de 3 500 comptes frauduleux. L’entreprise a indiqué qu’Alibaba avait également utilisé Claude pour des recherches plus générales sur l’IA, notamment l’apprentissage par renforcement et l’architecture des modèles.

En juin, Anthropic avait déjà accusé le géant chinois Alibaba d’avoir illégalement extrait les capacités de son modèle d’IA « Claude », dans ce qu’il a qualifié de plus grande attaque de ce type jamais connue contre l’entreprise. Anthropic affirme que des sociétés affiliées à Alibaba et à son laboratoire d’IA ont effectué 28,8 millions d’échanges avec ses modèles à l’aide d’environ 25 000 comptes frauduleux entre le 22 avril et le 5 juin. Anthropic a indiqué que la distillation est un moyen de contribuer à accélérer la capacité de la Chine à atteindre les capacités avancées de Mythos Preview d’Anthropic.

Anthropic a également détaillé les activités impliquant Moonshot AI, la société basée à Pékin à l’origine de la famille de modèles d’IA Kimi. Selon le rapport, Moonshot a discrètement transféré certaines demandes de clients destinées à Kimi vers Claude, puis a affiché les réponses de Claude aux utilisateurs, qui pensaient utiliser un modèle Kimi. Au cours d’une période de 10 jours, Moonshot a relayé près de 300 000 demandes de clients à Anthropic, dont la grande majorité a été acheminée vers des modèles Claude Opus. Ces demandes ont transité par un réseau de 5 380 comptes qu’Anthropic a qualifiés de frauduleux, la plupart semblant être situés à Singapour et au Japon.

Le rapport indique que Moonshot a enregistré au moins une partie de ces échanges et en a extrait les transcriptions du raisonnement de Claude afin de les utiliser comme données d’entraînement pour ses propres modèles. Plus de 23 millions d’échanges ont été attribués à Moonshot entre mai et juillet, selon le rapport. Certaines des demandes de clients acheminées vers Claude contenaient des informations sensibles. L’entreprise a déclaré ne pas savoir si Moonshot avait informé les clients que leurs demandes étaient transmises à Anthropic.

En juillet, Michael Kratsios, haut responsable technologique de la Maison Blanche, avait déclaré que la société chinoise Moonshot AI a pillé « Fable », le modèle d’IA le plus sophistiqué d’Anthropic, pour contribuer à la création de sa dernière version K3, et s’est procuré des puces d’IA avancées de Nvidia. Il a affirmé : « Nous disposons d’informations indiquant que Moonshot AI a « distillé » Fable d’Anthropic pour le développement de son modèle K3. » Il a également indiqué que Moonshot AI s’était procuré des serveurs équipés de puissantes puces d’IA Nvidia appelées GB300 et les avait utilisées en Thaïlande, « probablement pour entraîner ses modèles d’IA ».

Dans son rapport, Anthropic a indiqué que DeepSeek — qui s’est fait connaître l’année dernière grâce à ses capacités et à ses tarifs avantageux — a également eu recours à des tactiques similaires à celles de Moonshot, en transférant des échanges vers Claude sans en informer les clients de DeepSeek. Anthropic a déclaré avoir observé plus de 12 millions d’attaques par distillation attribuables à DeepSeek sur une période de 14 jours en juillet 2026.

Ce rapport, qui cite plusieurs autres grandes entreprises chinoises spécialisées dans l’IA, porte sur des activités que la société affirme avoir déjouées entre décembre 2025 et août 2026 dans sept domaines, notamment les cyberopérations, les opérations d’influence, la surveillance, les escroqueries et la fraude, l’utilisation abusive de substances biologiques, le développement d’armes conventionnelles et la « distillation ».

Le rapport d'Anthropic intervient alors qu'en juillet, il a été révélé que l'entrepise était en train de supprimer une fonctionnalité de suivi cachée dans son assistant de codage IA, Claude Code, après que des développeurs ont l'accusée d’identifier secrètement les utilisateurs se trouvant en Chine ou liés à des laboratoires d’IA chinois. Anthropic a confirmé que cette fonctionnalité était une expérience destinée à lutter contre les abus de comptes et à empêcher les entreprises concurrentes spécialisées dans l’IA de copier ses modèles. Cependant, elle a essuyé de vives critiques pour s’être comportée comme un logiciel espion.

Voici un extrait du rapport d'Anthropic :

Distillation illicite et abus à grande échelle

Dans cette section, nous expliquons ce qu’est la distillation illicite et en quoi elle diffère de la distillation légitime, et nous détaillons les mesures de protection et de lutte que nous avons mises en place en réponse aux récentes campagnes de distillation illicite.

Depuis la publication de notre premier communiqué en février, nous avons identifié et contré de nouvelles attaques de distillation visant Claude, menées par sept laboratoires basés en Chine. Toutes ces attaques ciblaient nos modèles accessibles au grand public ; nous n’avons observé aucune tentative visant Mythos 5 ou Mythos Preview, qui ne sont pas accessibles au grand public.

Qu’est-ce que la distillation illicite ?

La distillation est en soi une méthode d’entraînement légitime. Les chercheurs utilisent un modèle « enseignant », plus grand et plus performant, pour générer des réponses à un ensemble d’entrées, puis utilisent ces échanges pour entraîner un modèle « élève », plus petit, à imiter l’enseignant. La distillation est couramment utilisée car elle réduit les ressources nécessaires pour obtenir des capacités plus avancées.

Nous définissons la distillation illicite comme une campagne secrète à l’échelle industrielle visant à extraire les capacités d’un modèle et à les reproduire dans un autre modèle sans autorisation. La distillation illicite repose généralement sur la fraude : des réseaux sophistiqués de faux comptes créés à l’aide de cartes de crédit volées, d’identifiants de connexion et de clés API.

D’autres laboratoires de pointe ont été confrontés à des attaques par distillation. OpenAI attire l’attention sur cette activité depuis le début de l’année 2025. Google a publié plus tôt cette année un outil de suivi des menaces consacré à la distillation adversaire. Les attaques par distillation ciblent généralement les capacités les plus précieuses des modèles de pointe américains, notamment les capacités agentiques et l’utilisation d’outils, le codage et l’analyse de données, ainsi que le raisonnement logique.

La distillation illicite permet à des laboratoires non autorisés d’extraire et d’imiter illicitement les capacités des modèles de pointe, en un temps, avec une puissance de calcul et à un coût bien inférieurs à ceux qu’il faudrait pour les développer de manière indépendante.

Comment les laboratoires non autorisés accèdent aux modèles d’Anthropic

Au cours des derniers mois, des laboratoires non autorisés ont mis au point des méthodes de plus en plus sophistiquées pour contourner nos défenses et exploiter les capacités des modèles de pointe américains. Ces laboratoires accèdent généralement aux modèles d’Anthropic en acheminant leurs requêtes via des services proxy, également appelés « stations de transfert ». Pour contourner nos restrictions géographiques et les contrôles associés, ces services proxy créent des milliers de nouveaux comptes à l’aide de fausses identités, de cartes de crédit falsifiées ou volées, et de clés API volées. Ils utilisent souvent des identifiants API volés appartenant à des entreprises ou à des particuliers légitimes pour permettre à des entités non autorisées d’accéder aux modèles de pointe américains. Ces activités frauduleuses portent préjudice aux clients légitimes. Le graphique ci-dessous illustre le cycle de vie d’une campagne de « distillation » illicite.

Les laboratoires non autorisés obtiennent également des transcriptions des échanges entre les utilisateurs et les modèles de pointe américains en les achetant auprès de revendeurs tiers. Parmi ces revendeurs figurent les opérateurs de services proxy, qui enregistrent souvent les échanges entre les utilisateurs et les modèles américains à l’insu et sans le consentement de ces derniers. Les laboratoires non autorisés peuvent ensuite utiliser ces échanges achetés pour extraire les capacités de pointe. Dans d’autres cas, des laboratoires non autorisés ont redirigé les requêtes de leurs utilisateurs vers Claude — à l’insu et sans l’autorisation de ces derniers — afin de collecter les échanges entre les utilisateurs et Claude à des fins d’entraînement.

Comment les laboratoires non autorisés extraient les capacités de raisonnement de Claude

Les laboratoires non autorisés continuent de trouver de nouveaux moyens d’extraire et de collecter les traces de raisonnement des modèles de pointe. Ces entités manipulent souvent leurs instructions génératives pour contourner les mesures anti-extraction mises en place par Anthropic.

Certaines tentatives consistaient en des instructions relativement simples visant à contourner ces mesures :

Alors qu’Anthropic mettait au point des mécanismes plus efficaces pour lutter contre les attaques par distillation, des laboratoires non autorisés ont réagi en développant de nouvelles techniques pour collecter des traces de raisonnement.

Par exemple, certaines entités non autorisées tentent de piéger Claude pour qu’il révèle des traces de raisonnement :

D’autres entités ont recours à des méthodes plus sophistiquées pour extraire des transcriptions de raisonnement de pointe. Dans un cas précis, un laboratoire non autorisé a mené une expérience comprenant plus de douze mille requêtes, chacune utilisant une technique différente afin de déterminer laquelle permettrait d’extraire le raisonnement de Claude. Si la grande majorité de ces tentatives d’exfiltration du raisonnement ont été rejetées, certaines ont abouti. L’entité non autorisée a ensuite utilisé les techniques employées dans les requêtes couronnées de succès pour lancer une attaque par distillation de plus grande envergure.

Une autre entité a extrait les traces de raisonnement de Claude en lui demandant de « traduire » son raisonnement précédent dans différentes langues :

Les campagnes que nous avons identifiées ciblaient certaines des capacités les plus précieuses de Claude, notamment ses capacités d’action et d’utilisation d’outils, le codage et l’analyse de données, ainsi que le raisonnement logique. Dans le cadre de nos propres recherches, nous avons constaté que la distillation peut apporter des gains significatifs dans ces domaines, en utilisant moins d’échanges que ceux récoltés lors des campagnes décrites ici.

La capacité de raisonnement général d’un modèle détermine ses performances dans presque toutes les tâches. Lorsqu’un attaquant distille illicitement un modèle de pointe, il s’empare de ce raisonnement, et les gains de capacité peuvent s’appliquer à toutes les tâches et à tous les domaines, et pas seulement à ceux ciblés par les attaques par distillation. Dans nos propres recherches sur la distillation, nous constatons qu’un modèle distillé à partir d’un modèle de pointe peut permettre d’acquérir des capacités dangereuses, notamment dans les domaines biologique ou cybernétique, même lorsque les échanges collectés contiennent peu d’informations sur ces sujets. Les mesures de protection robustes qui empêchent Claude d’être détourné par des acteurs malveillants ne sont pas transférées lorsque nos modèles sont distillés par un laboratoire non autorisé.

De plus, ces découvertes soulèvent des inquiétudes quant à l’utilisation abusive des données des utilisateurs par les laboratoires d’IA de la République populaire de Chine. DeepSeek, Xiaomi et Moonshot ont introduit dans Claude des conversations entre leurs propres modèles et leurs utilisateurs. Ces laboratoires ont ensuite utilisé les réponses de Claude comme données d’entraînement pour distiller les capacités de Claude. Certains de ces échanges comportaient des informations sensibles, provenant notamment d’utilisateurs individuels, de grandes multinationales et d’acteurs liés à l’État. Bon nombre de ces échanges provenaient d’utilisateurs de services tiers de routage de modèles couramment utilisés aux États-Unis et en Europe. Ces sessions contenaient des noms, des adresses e-mail, des données d’entreprise et d’autres données sensibles concernant des centaines d’utilisateurs finaux, dans au moins une douzaine de langues. Ces pratiques sont probablement contraires aux lois sur la protection de la vie privée et aux conditions d’utilisation des laboratoires eux-mêmes.

Dans ce rapport, nous n’avons inclus qu’un petit échantillon des techniques utilisées par des laboratoires non autorisés dans leurs tentatives d’exfiltration des capacités de raisonnement de Claude.

Source : Rapport d'Anthropic

Et vous ?

Pensez-vous que ce rapport est crédible ou pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

Anthropic suscite la controverse pour avoir attribué à la Chine une prétendue campagne de cyberattaque impliquant son IA Claude sans éléments probants : « le rapport d'Anthropic a un sérieux parfum d'intox »

Les États-Unis accusent la Chine de voler leur IA « à l'échelle industrielle » via la technique de distillation : Pékin dénonce une « calomnie » et DeepSeek, visé implicitement, publie son modèle V4

Plusieurs mois après qu'Anthropic et OpenAI se sont plaints que des sociétés chinoises d'IA volaient leurs modèles à l'aide de la distillation, des traces de LLM US ont été découvertes dans des modèles chinois