Anthropic affirme avoir réduit de 90 à 99 % les données volées par distillation sur Claude

12 octobre 2026. Anthropic publie un billet de recherche intitulé Strengthening our defenses against distillation attacks. 90 à 99 %. C’est la baisse de données récoltées par les distilleurs que l’entreprise revendique, avec des jetons de raisonnement extraits en chute d’un facteur 10 à 100, parfois trop faibles pour être mesurés. Depuis le 24 septembre 2026. Anthropic facture en outre les requêtes que ses garde-fous bloquent. Pourquoi c’est important : la distillation est devenue le conflit central de l’IA de pointe en 2026, et un laboratoire documente enfin, mécanisme par mécanisme, comment il compte la rendre économiquement non rentable.

Ce qu’est la distillation, et pourquoi elle obsède un laboratoire

La distillation consiste à entraîner un modèle sur les sorties d’un autre. Pratiquée ouvertement, c’est une technique banale de compression. Ce qu’Anthropic combat, c’est la version clandestine et industrielle : des campagnes qui copient les capacités d’un modèle de pointe via de faux comptes, des accès revendus et des moyens de paiement volés. L’enjeu n’est pas seulement commercial. Un modèle distillé approche les capacités d’un modèle frontier sans hériter de ses garde-fous, ce qui importe surtout en biologie et en cybersécurité. Et l’entreprise ajoute une raison de sécurité nationale : les distilleurs intégreraient les capacités volées dans des systèmes militaires, de renseignement et de surveillance étrangers.

Le billet nomme deux cas. Zhipu aurait distillé les capacités cyber de modèles américains en développant GLM-5.3 — qu’un organisme américain, le CAISSI, classe comme le modèle open-weights le plus capable en cyber à ce jour, et dont Anthropic affirme que les garde-fous se contournent facilement. Moonshot, plus étrange encore, aurait vu des requêtes destinées à ses modèles Kimi discrètement réacheminées vers Claude — et un utilisateur affilié à l’Armée populaire de libération chinoise s’en serait servi pour analyser la vidéosurveillance d’une personne précise. Ce sont des allégations d’Anthropic ; les entreprises citées n’ont pas répondu en détail.

Pourquoi le raisonnement vaut de l’or

La mécanique de l’attaque explique la mécanique de la défense. Un modèle de raisonnement produit des transcriptions de raisonnement (chain of thought) qui valent bien plus que la réponse finale pour un distilleur. Anthropic donne un chiffre : sur SWE-bench Verified, un modèle entraîné sur des transcriptions complètes de Claude Opus 4.8 atteint 80,4 %, contre 71,8 % avec des transcriptions résumées. Cet écart de près de 9 points est précisément ce que les distilleurs cherchent à voler.

Les attaquants ont évolué en trois temps. D’abord, cacher le raisonnement : Claude résumait déjà sa réflexion avant de l’afficher. Ensuite, l’extraction active : pousser le modèle à révéler son raisonnement, par exemple en lui demandant de le restituer mot à mot — un laboratoire aurait testé 12 000 requêtes de ce type. Enfin, l’industrialisation : des réseaux de proxys contrôlant des centaines de milliers de comptes frauduleux, avec des identités falsifiées et des paiements volés. Le rapport de février 2026 évoquait un réseau unique gérant plus de 20 000 comptes à la fois.

Les trois défenses, une à une

La première défense est structurelle. Anthropic l’appelle preserved thinking — la préservation du raisonnement. Pour Claude Fable 5.1 et Opus 5.5, les comptes API créés après le 31 août 2026 ne peuvent plus modifier le contexte antérieur, ce qui bloque l’astuce consistant à réécrire ou rejouer le raisonnement dans une autre conversation. Le raisonnement n’est plus lisible par des modèles antérieurs aux garde-fous plus faibles, et pour Sonnet 5.5, les transcriptions ne sont accessibles qu’à l’organisation qui a produit la requête. Conséquence directe pour les développeurs : ceux qui éditent ou épissent les tours antérieurs dans des boucles d’agents doivent revoir leur intégration.

La deuxième défense est un classifieur à deux étages, bâti sur les travaux d’Anthropic sur les constitutional classifiers. Il tourne sur Sonnet 5.5, Opus 5 et 5.5, Fable 5 et 5.1, avec un taux de faux positifs inférieur à 0,1 % — de l’ordre de celui des garde-fous bioweapons. Il bloque déjà des techniques comme demander à Claude de traduire son raisonnement dans une autre langue ou de l’écrire à l’intérieur de balises. Anthropic affirme qu’il attrape toutes les techniques listées dans son rapport de menace de septembre 2026 — une affirmation sur les techniques connues, pas une promesse sur les nouvelles.

La troisième défense est économique. Les comptes qui persistent voient leurs limites resserrées puis sont bannis — des dizaines de milliers de comptes liés à la distillation l’auraient été, souvent moins de deux heures après le début d’une campagne. Et depuis le 24 septembre, les requêtes bloquées sont facturées, dans les domaines où le taux de faux positifs est sous 0,1 %.

Ce que cela change pour qui construit sur Claude

La plupart des développeurs ne déclencheront jamais le classifieur. Mais quelques points pratiques découlent du billet. Auditez l’édition de contexte : si votre harnais d’agents réécrit des tours antérieurs, testez-le sur un compte créé après le 31 août 2026 avant de supposer la parité. Surveillez la facture : les requêtes bloquées peuvent être facturées, et un pipeline à fort volume en verra quelques-unes malgré un taux sous 0,1 %. Ne demandez pas au modèle de déverser son raisonnement : les invites du type « restitue ton raisonnement mot à mot » sont exactement le motif que le classifieur cible. Méfiez-vous des revendeurs : si vous achetez l’accès à Claude via un tiers incapable d’expliquer sa provenance, le compte peut être l’un de ceux bannis en masse.

La conclusion de fond dépasse Anthropic. L’accès au raisonnement devient une ressource gouvernée, que les fournisseurs vont rationner. Anthropic elle-même reconnaît un jeu du chat et de la souris, et précise n’avoir pas encore vu de tentative de contournement sophistiquée et persistante.

Ce qui est revendiqué, ce qui ne l’est pas

Les chiffres du billet viennent d’Anthropic. Aucun audit indépendant ne confirme la baisse de 90 à 99 %, la chute des jetons de raisonnement ou le taux de faux positifs, et l’entreprise ne publie pas sa méthodologie de mesure des tentatives qu’elle ne voit pas. Une défense mesurée contre les attaques qu’un fournisseur détecte paraîtra toujours bonne contre les attaques détectées. Anthropic est candide sur ses limites, mais la prudence du lecteur doit l’être tout autant : ces défenses sont un progrès documenté, pas une victoire.

Verdict

Si vous construisez sur l’API Claude, relisez votre code d’édition de contexte, attendez-vous à des blocages occasionnels et traitez l’accès au raisonnement comme un privilège qui se restreint — pas comme une fonctionnalité acquise. Si vous consommez des modèles de raisonnement, ajoutez l’extraction de raisonnement à votre modèle de menace : surveillez les volumes d’appels inhabituels, les motifs d’invites répétitifs et les comptes qui sondent un modèle sur ses traces, et exigez de vos fournisseurs une détection de distillation documentée. Et si vous suivez la géopolitique de l’IA, retenez une chose : la distillation est passée du désagrément commercial au sujet de sécurité nationale, et chaque laboratoire est désormais contraint de documenter ses défenses comme un fournisseur de sécurité documenterait ses correctifs.

Références

• Anthropic — Strengthening our defenses against distillation attacks (12 octobre 2026)
• Anthropic — Detecting and preventing distillation attacks
• explainx.ai — Anthropic Distillation Defenses: 90-99% Less Data Stolen (octobre 2026)
• CISA — Joint Cybersecurity Advisory on AI model distillation (8 septembre 2026)