Anthropic affirme avoir réduit de 90–99% le vol des tokens de raisonnement de Claude

Anthropic affirme avoir réduit de 90–99% l'extraction des tokens de raisonnement internes de Claude. L'entreprise relie des attaques de distillation à grande échelle aux sociétés chinoises Zhipu et Moonshot, et fait état du blocage de dizaines de milliers de comptes. Ces chiffres reposent pour l'instant sur la seule parole d'Anthropic : dans le matériel dont nous disposons, il n'y a ni point de référence de départ, ni description de la méthode de calcul.

Ce que les attaquants cherchaient à extraire

La distillation est une technique ancienne et, en principe, légale : on entraîne un modèle plus petit, ou simplement différent, sur les réponses d'un modèle plus puissant. Les problèmes commencent lorsque le « professeur » est le modèle fermé d'un tiers et que les conditions d'utilisation du service interdisent cet usage. Pour un leader commercial, cela revient à transférer ses investissements dans l'entraînement au profit d'un concurrent.

Avec les modèles de raisonnement, la valeur est encore plus élevée. La réponse finale donne le résultat, tandis que la chaîne de raisonnement montre le chemin : les étapes suivies par le modèle, les moments où il se vérifie, la façon dont il découpe le problème. Ces traces constituent un matériau d'entraînement prêt à l'emploi pour reproduire un comportement similaire dans un autre système. C'est pourquoi Anthropic parle précisément de tokens de raisonnement, et non des sorties ordinaires de l'API.

Ce que l'on sait des mesures

L'annonce permet d'établir les points suivants :

• l'extraction des raisonnements internes de Claude a baissé de 90–99% ;
• des dizaines de milliers de comptes ont été bloqués ;
• deux sociétés chinoises sont désignées comme impliquées : Zhipu et Moonshot ;
• les attaques sont décrites comme « industrielles », c'est-à-dire systémiques et distribuées, et non comme des expériences ponctuelles d'utilisateurs isolés.

L'ampleur, des dizaines de milliers de comptes, évoque un schéma classique : les requêtes sont réparties entre une multitude de comptes pour que chacun, pris isolément, ressemble à un utilisateur ordinaire. La parade repose sur l'analyse comportementale, et non sur des limites appliquées à une seule clé. Dans le texte dont nous disposons, Anthropic ne détaille pas ses mécanismes concrets.

Ce qui manque à l'annonce

Plusieurs questions restent ouvertes. La fourchette « de 90 à 99% » représente un écart de près d'un ordre de grandeur dans la fuite résiduelle : à 99%, un centième du trafic passe ; à 90%, un dixième. On ne sait pas à quoi l'indicateur s'applique : au nombre de requêtes, au volume de tokens ou à une estimation de l'utilité des données extraites. On ignore aussi sur quelles preuves repose l'attribution à telle ou telle entreprise : l'infrastructure, les traces de paiement ou le contenu des requêtes. Les positions de Zhipu et de Moonshot ne figurent pas dans les documents disponibles.

La métrique elle-même appelle également à la prudence. Si la protection a réduit la fuite mais que les attaquants se sont tournés vers d'autres canaux, par exemple des intermédiaires et des revendeurs d'accès, l'effet réel sera inférieur à celui annoncé. Ce type de vérification est généralement mené par des chercheurs indépendants, et il n'y en a pas encore.

Conséquences pratiques

Pour les équipes qui construisent des produits sur des modèles fermés, le principal signal est le durcissement du contrôle des comptes. Celles qui passent par des agrégateurs et des proxys devraient vérifier d'où l'intermédiaire tient son accès et s'il enfreint les conditions du fournisseur : les blocages « en cascade » touchent aussi les clients de bonne foi. Les entreprises qui affinent leurs propres modèles ont intérêt à tracer l'origine de leurs données et à exclure explicitement les sorties de modèles tiers lorsque la licence l'interdit. Quant aux développeurs de modèles ouverts chinois, d'après l'annonce, ils devront répondre non seulement de la qualité, mais aussi de la propreté de leurs données d'entraînement.

Le débat sur la distillation ne fera que s'intensifier : plus l'entraînement des systèmes de pointe coûte cher, plus la tentation d'obtenir le résultat à moindre coût est forte, et plus les laboratoires s'emploieront à cacher et à protéger leurs raisonnements.