Anthropic dénonce des attaques de distillation industrielles menées par sept laboratoires d’IA chinois

Dans son rapport de renseignement sur les menaces de septembre 2026, publié le 10 septembre, Anthropic accuse sept laboratoires d’IA basés en Chine d’avoir mené des campagnes de « distillation illicite » à l’échelle industrielle contre ses modèles Claude. Alibaba, Moonshot AI, DeepSeek, Zhipu, Xiaomi, SenseTime et MiniMax sont nommés. Le seul cas d’Alibaba dépasse 151 millions d’échanges entre mai et juillet 2026. Au-delà de la rivalité entre éditeurs, ce dossier concerne directement les entreprises : clés d’API volées, services proxy opaques et requêtes de clients relayées à leur insu font partie du mode opératoire.

Ce qu’Anthropic a révélé

Le rapport « Detecting and countering misuse of AI: September 2026 » couvre l’ensemble des abus détectés entre décembre 2025 et août 2026. Sa dernière partie est consacrée à la distillation illicite, qu’Anthropic décrit comme une campagne industrielle et dissimulée visant à extraire les capacités d’un modèle sans autorisation, généralement au moyen de comptes frauduleux. L’éditeur rappelle que la distillation est en soi une technique d’entraînement courante : c’est son usage non autorisé et à grande échelle qui est en cause. Les attributions sont présentées avec un niveau de confiance élevé.

Anthropic qualifie la campagne attribuée à Alibaba de plus grande attaque de distillation qu’elle ait jamais mesurée. En février 2026, l’éditeur avait déjà nommé DeepSeek, Moonshot AI et MiniMax, pour plus de 16 millions d’échanges réalisés via environ 24 000 comptes frauduleux.

Analyse des techniques

Extraire le raisonnement, pas seulement les réponses

L’objectif principal était le raisonnement du modèle, particulièrement précieux pour entraîner un concurrent. Alibaba injectait un prompt fixe obligeant Claude à écrire son raisonnement entre des balises, ensuite converties en données d’affinage supervisé. D’autres tentatives consistaient à demander au modèle de ne rien signaler, à présenter la demande comme une session de débogage, à usurper l’opérateur avec de faux prompts système ou à demander une « traduction » du raisonnement précédent. Un laboratoire a testé plus de 12 000 requêtes, chacune avec une technique différente, avant d’industrialiser celles qui fonctionnaient.

Le rejeu de signatures entre sessions

Moonshot AI et DeepSeek conservaient la « signature de raisonnement » chiffrée renvoyée par Claude, ouvraient une nouvelle session et amenaient le modèle à reconvertir cette signature en trace complète. Anthropic indique développer de nouvelles parades contre ce type de rejeu, sans en détailler le fonctionnement.

Des utilisateurs relayés à leur insu

Le point le plus sensible pour les entreprises : certaines plateformes ont transmis à Claude les requêtes réelles de leurs clients, puis affiché les réponses comme si elles provenaient de leur propre modèle. Les utilisateurs de Kimi pensaient ainsi interroger Kimi. DeepSeek repérait les utilisateurs d’outils de développement tiers par correspondance de chaînes et relayait une sélection de leurs requêtes. Xiaomi rejouait des sessions sauvegardées d’utilisateurs de ses modèles MiMo.

Un écosystème de proxys et de revendeurs

Claude n’étant pas commercialisé en Chine, l’accès reposait sur des services proxy (« stations de transfert ») alimentés par de fausses identités, des cartes bancaires volées ou fictives et des clés d’API dérobées, notamment à des entreprises légitimes. Certains de ces réseaux revendaient les échanges collectés à d’autres laboratoires, et les mêmes infrastructures servaient plusieurs organisations.

Pourquoi c’est important pour votre organisation

Ce dossier dépasse la propriété intellectuelle des éditeurs d’IA. Trois risques concernent directement les entreprises :

• Vos clés d’API IA ont de la valeur : elles sont volées et revendues pour alimenter ces réseaux. Une clé exposée dans un dépôt de code ou un poste compromis peut générer des coûts importants et engager la responsabilité de votre organisation.
• Vos données peuvent transiter par un modèle inattendu : un service tiers peut relayer vos requêtes vers un autre fournisseur sans transparence. Les questions de confidentialité, de localisation et de conformité réglementaire se posent alors directement.
• Les modèles distillés n’héritent pas forcément des garde-fous : un modèle entraîné sur des sorties extraites peut reproduire des capacités sans les protections associées, ce qui interroge l’usage de modèles dont la provenance est mal documentée.

Lecture MITRE ATLAS et ATT&CK

Le rapport ne fournit pas de correspondance avec ces référentiels. Le tableau ci-dessous est une lecture indicative de Defensy ; MITRE ATLAS, dédié aux attaques contre les systèmes d’IA, est ici plus pertinent qu’ATT&CK.

Recommandations

1. ImmédiatInventorier et protéger vos clés d’API IA

   Recensez les clés des fournisseurs d’IA utilisées dans l’organisation, stockez-les dans un coffre-fort de secrets, recherchez-les dans vos dépôts de code et révoquez toute clé exposée ou inutilisée.

2. ImmédiatSurveiller la consommation des API

   Activez des alertes sur les volumes, les pics journaliers et les origines inhabituelles. Une hausse brutale de consommation peut signaler une clé volée et revendue.

3. Court termeVérifier la chaîne des fournisseurs d’IA

   Exigez de vos prestataires et outils tiers qu’ils déclarent les modèles réellement utilisés, la localisation des traitements et les sous-traitants. Écartez les intermédiaires opaques.

4. Court termeEncadrer les données transmises aux services d’IA

   Classifiez les données autorisées à quitter l’organisation et appliquez des règles DLP sur les flux vers les plateformes d’IA générative.

5. Moyen termeÉvaluer la provenance des modèles adoptés

   Avant d’intégrer un modèle tiers ou open-weight, documentez son origine, ses conditions d’entraînement connues et ses garde-fous, dans le cadre de votre gouvernance de l’IA.