Anthropic affirme avoir réduit de 90–99% les données qui fuient vers les distilleurs de Claude

Anthropic affirme avoir nettement affaibli ces derniers mois les attaques de distillation contre Claude : selon des données préliminaires, la quantité de données que les distilleurs parviennent à collecter a chuté de 90–99%. L'entreprise qualifie ces attaques de campagnes clandestines d'échelle industrielle. Leur but : extraire les capacités d'un modèle et les reproduire dans un autre sans l'autorisation de son développeur, généralement via des réseaux de faux comptes. Selon Anthropic, cette protection a coûté cher : l'entreprise a renoncé à une part significative de ses revenus et à des milliers de milliards de tokens de trafic payant.

Pourquoi Anthropic y voit une menace

L'entreprise avance deux raisons. La première concerne la sécurité. La distillation permet de s'approcher rapidement de la frontière des capacités, mais les garde-fous sont moins bien reproduits. Ces modèles peuvent ainsi être utilisés à des fins nuisibles en biologie et en cybersécurité.

L'exemple principal du texte est celui de Zhipu et de GLM-5.3. D'après Anthropic, ce laboratoire a distillé les capacités cyber des principaux modèles américains. Il a tenté de travailler avec Claude Fable 5, mais les protections cyber ont dégradé la qualité de ses attaques, et Zhipu s'est rabattu sur un modèle Claude plus ancien et sur le modèle d'un autre laboratoire. Le centre américain CAISSI a ensuite désigné GLM-5.3 comme le modèle open-weights le plus performant en cyber parmi ceux publiés. Les propres tests d'Anthropic ont montré que les protections de GLM-5.3 se contournent facilement et que le modèle est prêt à écrire des exploits de bout en bout.

La seconde raison est la sécurité nationale. Selon Anthropic, les entreprises qui distillent des modèles américains intègrent les capacités obtenues dans des systèmes militaires, de renseignement et de surveillance étrangers. L'entreprise cite le cas de Kimi, de Moonshot : les requêtes adressées à ce modèle étaient transmises en secret à Claude. L'une d'elles, émanant vraisemblablement d'un utilisateur lié à l'APL chinoise, portait sur l'analyse d'enregistrements de vidéosurveillance (CCTV) visant une personne précise.

Pourquoi les mesures simples n'ont pas suffi

Les distilleurs génèrent des millions de réponses d'un modèle puissant et s'en servent pour entraîner un modèle plus petit. Les données les plus précieuses pour cela ne sont pas les réponses finales, mais les transcriptions de raisonnement, c'est-à-dire ce que Claude écrit avant de répondre. Elles montrent comment le modèle arrive à son résultat. La protection vise donc presque entièrement à fermer l'accès à cette couche.

La première mesure a été de résumer les raisonnements avant de les montrer à l'utilisateur. Anthropic a testé l'effet ainsi : un modèle Claude préentraîné a été affiné sur les transcriptions de Claude Opus 4.8, puis évalué sur SWE-bench Verified.

• Entraînement sur les raisonnements complets : 80,4%.
• Entraînement sur les raisonnements résumés : 71,8%.
• Écart : 8,6 points de pourcentage.
• Baisse du volume de données collectées après les nouvelles mesures : 90–99% (estimation préliminaire).

Mais les distilleurs se sont adaptés. Ils sont passés de la collecte passive, où les requêtes sont envoyées comme celles d'un utilisateur ordinaire, à l'extraction active, c'est-à-dire à des tentatives de contourner les restrictions. Le fragment de texte disponible s'interrompt à cet endroit : les détails des nouvelles méthodes de protection ne sont donc pas dévoilés ici. Anthropic promet de les décrire dans la version complète de son billet de blog.

Le coût de la protection et ce que doivent faire les développeurs

Les mesures antidistillation pèsent à la fois sur Anthropic elle-même et sur ses clients. L'entreprise note que ses équipes de recherche et de produit ont consacré beaucoup de temps à ce chantier. Certains changements obligent les utilisateurs de bonne foi à mettre à jour leurs intégrations.

Pour les développeurs et les plateformes, la conclusion est pratique :

• Vérifiez comment votre application fonctionne avec des raisonnements résumés plutôt que complets. Si vous avez bâti de la logique dessus, il faudra modifier l'intégration.
• Considérez les chaînes de raisonnement comme un actif sensible. C'est ce que les distilleurs valorisent le plus.
• Surveillez les anomalies de comptes : les réseaux de faux profils et la redirection de requêtes tierces vers l'API restent les principaux schémas.
• Si vous publiez des modèles open-weights, évaluez non seulement la qualité, mais aussi la robustesse des protections. L'exemple de GLM-5.3 montre que le contournement des restrictions peut s'avérer simple dans de tels modèles.

Anthropic souligne que tous les développeurs de modèles sont confrontés à la distillation. Les 90–99% annoncés restent pour l'instant une estimation de l'entreprise elle-même, et le texte ne mentionne aucune vérification indépendante. Mais le choix est clair : Anthropic estime que des milliers de milliards de tokens de trafic pèsent moins que le risque de voir apparaître des modèles puissants sans protections dignes de ce nom.