Anthropic réduit de 10 à 100 fois l'extraction des raisonnements de Claude par les distillateurs

Anthropic affirme que ses nouvelles mesures contre la distillation ont réduit d'environ 90–99% le volume de données collectées par les « distillateurs ». Depuis le lancement du classificateur, le nombre de tokens de raisonnement de Claude extraits sur la plateforme de l'entreprise reste de façon stable 10 à 100 fois inférieur à son niveau antérieur. Certains jours, il était même trop faible pour être mesuré. Des dizaines de milliers de comptes liés à la distillation ont été bannis, souvent moins de deux heures après le début d'une campagne.

Pour Anthropic, la distillation est une campagne industrielle discrète : à travers des réseaux de faux comptes, des attaquants collectent des millions de réponses d'un modèle puissant et s'en servent pour entraîner un modèle plus petit. Ce ne sont pas tant les réponses qui ont de la valeur que les chaînes de raisonnement que Claude rédige avant de répondre. Elles permettent à un modèle plus faible d'apprendre comment le modèle fort arrive à son résultat. La protection s'organise donc presque entièrement autour de l'accès à ces raisonnements.

Pourquoi les mesures simples ne suffisaient pas

Première mesure : résumer les raisonnements avant de les afficher à l'utilisateur. Anthropic a testé son effet sur SWE-bench Verified : un modèle entraîné sur les transcriptions complètes de Claude Opus 4.8 atteint 80,4%, contre 71,8% pour un modèle entraîné sur les transcriptions résumées. Les attaquants sont alors passés de la collecte passive à une approche active : ils demandaient à Claude de restituer mot pour mot ses raisonnements passés, et un laboratoire a testé 12 000 formulations-pièges différentes.

Les premières versions des filtres de protection ont été contournées. Les attaques ont été étendues via des réseaux de proxys comptant des centaines de milliers de faux comptes. Ces réseaux revendaient l'accès dans des régions où Claude n'est pas disponible, et les comptes étaient créés avec de fausses données et des coordonnées de paiement volées. Selon le rapport de février, un seul réseau gérait simultanément plus de 20 000 comptes.

Trois couches de protection

Les attaques sont désormais bloquées de trois façons :

• Contrôle du parcours des raisonnements. Claude Fable 5.1 et Opus 5.5 introduisent le preserved thinking : les nouveaux comptes API (créés à partir du 31 août 2026) ne peuvent pas modifier le contexte passé. Cela empêche de transférer des blocs de raisonnement protégés d'une conversation à l'autre pour convaincre le modèle qu'ils sont déjà « connus » de l'utilisateur. Les raisonnements des nouveaux modèles ne sont pas lisibles par les anciens modèles, moins bien protégés. Sur Sonnet 5.5, les transcriptions ne sont accessibles qu'à l'organisation dont la requête les a générées.
• Classificateur à deux étages selon le schéma des constitutional classifiers. Il a été soumis à du red-teaming interne et externe sur des tentatives réelles de distillateurs. Selon Anthropic, sa robustesse est à peu près comparable à celle de la protection contre l'aide à la fabrication d'armes biologiques, et son taux de faux positifs est inférieur à 0,1%. Il fonctionne sur Sonnet 5.5, Opus 5 et 5.5, Fable 5 et 5.1.
• Durcissement face aux nouvelles tentatives. Les utilisateurs qui s'obstinent à vouloir extraire les raisonnements se voient imposer des limites plus strictes, puis sont bannis. Depuis le 24 septembre, l'entreprise refacture les requêtes bloquées avant réponse dans les domaines où le taux de faux positifs est inférieur à 0,1%, dont la distillation.

Des correctifs rapides ont déjà fermé plusieurs nouvelles techniques, par exemple la demande de traduire les raisonnements passés dans une autre langue ou de les afficher dans des balises à côté de la réponse.

Pourquoi Anthropic en parle publiquement

L'entreprise avance deux arguments. Le premier : les modèles distillés sortent sans protections comparables. En créant GLM-5.3, Zhipu a distillé les capacités cyber des principaux modèles américains. Le laboratoire a essayé de travailler avec Claude Fable 5, mais, la protection ayant dégradé ses attaques, il est passé à un modèle Claude plus ancien et à un modèle d'un autre laboratoire. Selon le CAISSI américain, GLM-5.3 est à ce jour le modèle open-weights le plus performant en cybersécurité. Anthropic affirme, elle, que sa protection se contourne facilement et que le modèle est prêt à écrire des exploits de bout en bout.

Le second argument concerne la sécurité nationale. Anthropic cite un cas où des requêtes adressées à Kimi, de Moonshot, étaient retransmises en secret à Claude. L'une d'elles, selon son évaluation émanant d'un utilisateur lié à l'Armée populaire de libération (APL), portait sur l'analyse d'enregistrements de vidéosurveillance (CCTV) concernant une personne précise.

Cette approche a un coût, et l'entreprise ne le cache pas. Elle a renoncé à un chiffre d'affaires notable et à des trillions de tokens de trafic payant. Une partie des développeurs doit mettre à jour ses intégrations à cause du preserved thinking. Moins de 0,1% des requêtes légitimes peuvent être bloquées, et il faudra désormais les payer aussi. Par ailleurs, Anthropic n'a pas encore observé de tentative de contournement vraiment sophistiquée et persistante de sa nouvelle protection, et s'attend à ce que le jeu du chat et de la souris continue.

Ce que doivent faire les développeurs et les plateformes

Pour les développeurs travaillant avec Claude, le point pratique principal est de vérifier que leur code ne dépend pas de la modification du contexte passé ni de la réutilisation de blocs de raisonnement. Pour les comptes créés à partir du 31 août 2026, cela ne fonctionnera plus. Il faut prévoir dans la gestion des erreurs les rares faux blocages, et garder à l'esprit qu'ils sont facturés.

Pour les plateformes cloud et les fournisseurs d'inférence, la conclusion est plus dure. Les distillateurs répartissent leur trafic entre l'API d'Anthropic, des clouds tiers et d'autres fournisseurs : la protection d'un seul laboratoire ne tient donc que tant que ses voisins ne laissent pas de faille. Anthropic dit sans détour que les incitations de l'industrie poussent dans le sens inverse : la protection coûte de l'argent, et le distillateur reste un client qui paie. La publication de ces méthodes est une invitation à copier l'approche : détecter les requêtes visant les raisonnements cachés, bannir rapidement les faux comptes et refuser les données de paiement suspectes.