Le 12 octobre, Anthropic a publié un article de recherche présentant un ensemble de défenses mises en place ces derniers mois contre les attaques par distillation. Selon sa définition, il s'agit d'extraire sans autorisation et à grande échelle les capacités d'un modèle pour les utiliser ensuite à l'entraînement d'un autre. L'entreprise indique que les premiers éléments montrent une réduction d'environ 90 à 99 % des données que les distillateurs peuvent obtenir.
L'article s'ouvre sur cette caractérisation :
"covert, industrial-scale campaigns to extract the capabilities of one model and replicate them in another"
(des campagnes clandestines, à l'échelle industrielle, visant à extraire les capacités d'un modèle pour les reproduire dans un autre.)
Ce qu'ils veulent, c'est le raisonnement
Anthropic explique que les attaquants convoitent avant tout les traces de réflexion de Claude, qui montrent mieux que la réponse finale comment le modèle est arrivé à chaque étape. L'entreprise a réalisé sa propre comparaison : le même modèle élève, entraîné sur la trace de raisonnement complète, obtient 80,4 % sur SWE-bench Verified ; entraîné uniquement sur des résumés, il obtient 71,8 %.
L'article recense plusieurs techniques. La distillation passive consiste à se faire passer pour un utilisateur ordinaire, poser des questions normales et entraîner un modèle avec les réponses. L'extraction active pousse Claude à livrer son raisonnement complet, avec des consignes typiques comme « reproduis mot à mot ton raisonnement précédent » ; un laboratoire a testé 12 000 formulations différentes dans ce but. D'autres méthodes sont plus détournées : déplacer des blocs de raisonnement protégés dans une autre conversation pour les faire passer pour du contenu autorisé ; utiliser d'anciens modèles aux garde-fous plus faibles pour soutirer le raisonnement des nouveaux ; et, une fois un compte banni, repartir avec un autre via des réseaux de proxys. À cela s'ajoutent la revente d'accès dans des régions non prises en charge et l'ouverture de comptes avec de fausses identités et des moyens de paiement volés.
Trois lignes de défense
Première couche : limiter la circulation du raisonnement. Les comptes API créés à partir du 31 août 2026 ont par défaut la « réflexion préservée » activée, et il n'est pas permis de modifier le contexte antérieur de Claude. Les anciens modèles ne peuvent pas lire le raisonnement des nouveaux, et les traces de raisonnement de Claude Sonnet 5.5 ne sont visibles que de l'organisation à l'origine de la requête.
Deuxième couche : interception par classificateurs. Anthropic utilise des classificateurs à deux étapes, du même type que ceux qui protègent contre les armes biologiques et les cyberattaques, testés par des équipes de red team internes et externes et déjà déployés sur Sonnet 5.5, Opus 5 et 5.5, ainsi que Fable 5 et 5.1. Les nouvelles astuces, comme demander une sortie dans une autre langue ou exiger que le raisonnement soit écrit dans des balises, ont aussi été couvertes. Depuis le déploiement complet, la quantité de tokens de raisonnement extractibles a diminué d'un facteur 10 à plus de 100, au point d'être impossible à mesurer certains jours.
Troisième couche : renchérir les nouvelles tentatives. Les utilisateurs qui cherchent systématiquement à soutirer du raisonnement voient leur quota d'utilisation restreint ; ceux qui récidivent sont bannis. Des dizaines de milliers de comptes liés ont déjà été bloqués, en général dans les deux heures suivant le début de la distillation. Depuis le 24 septembre, les requêtes interceptées par les garde-fous sont elles aussi facturées normalement.
Le prix à payer pour les utilisateurs légitimes
Anthropic admet qu'il y a des faux positifs. Le taux de faux positifs des classificateurs est inférieur à 0,1 %, mais les requêtes bloquées sont tout de même payantes, et la « réflexion préservée » oblige certains développeurs à modifier leur intégration. Le texte le dit ainsi : "Some of our changes have also required legitimate users to make updates to their integrations."
L'entreprise précise aussi que ces mesures lui ont fait renoncer à une part notable de ses revenus et de son trafic payant ; le montant n'est pas communiqué.
Pour les développeurs en Chine
L'article ne nomme aucun laboratoire. Nous avions déjà rapporté que le rapport d'Anthropic de février dernier citait DeepSeek, Moonshot AI et MiniMax, puis que des informations avaient fait état d'une distillation massive de Claude par Alibaba. Les chiffres avancés dans ces accusations n'ont toujours pas été vérifiés de manière indépendante.
Pour les équipes chinoises qui l'utilisent normalement, l'impact concret se concentre sur deux points. Le premier : ceux qui obtiennent l'API de Claude par des canaux de revente ou des proxys. L'article range la « revente d'accès dans des régions non prises en charge » parmi les techniques de contournement, et d'après la logique de blocage décrite, ces comptes sont les premiers exposés. Le second : les développeurs de frameworks d'Agent qui doivent réécrire le contexte historique au fil de plusieurs tours de conversation. Pour les comptes ouverts après le 31 août, il faudra repenser les appels selon les règles de la « réflexion préservée » ; l'article ne dit pas si les anciens comptes seront aussi concernés.
Quant à la solidité du dispositif, Anthropic reste elle-même très mesurée : "we have yet to see a highly sophisticated and persistent attempt to circumvent them."
Sources : CocoLoop, article de recherche d'Anthropic, note de recherche de la Cloud Security Alliance ; l'article d'Anthropic a servi à vérifier la baisse de l'extraction, les scores comparatifs sur SWE-bench Verified, le taux de faux positifs et le périmètre d'application aux nouveaux comptes.