La NSA, le FBI et la CISA accusent six labos chinois de distiller les modèles d’IA américains
Le 8 septembre 2026, une alerte conjointe de la NSA, du FBI et de la CISA décrit une « distillation à l’échelle industrielle » des modèles d’IA américains par DeepSeek, Alibaba, Moonshot AI et trois autres acteurs chinois, via un marché gris de proxys baptisés « stations de transfert ». Pour les fournisseurs de modèles, c’est un cahier des charges de contre-mesures ; pour les entreprises, un critère de due diligence de plus sur la provenance de leurs dépendances.
8 septembre 2026. La NSA, le FBI et la CISA publient une alerte conjointe qui accuse des entreprises chinoises d’IA de mener des « activités de distillation agressives, malveillantes et ciblées, à une échelle industrielle », afin d’extraire les capacités des modèles d’IA de frontière américains. Six laboratoires sont nommés : DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI. Pourquoi c’est important : pour la première fois, les agences affirment que la distillation n’est pas un accident de parcours mais « le cœur — et non un simple complément — de leur stratégie de développement ».
La distillation, un procédé légitime détourné en arme
La distillation n’a rien d’exotique : c’est une technique d’apprentissage par laquelle un petit modèle interroge un grand modèle pour apprendre à reproduire ses réponses. À force d’exemples, le petit modèle se rapproche du grand sans refaire l’entraînement complet. C’est un usage parfaitement légitime quand le propriétaire du grand modèle veut en produire une version compacte à bas coût — c’est même une pratique courante en interne chez les fournisseurs.
Le détournement tient aux conditions d’utilisation. Les fournisseurs commerciaux interdisent explicitement, dans leurs terms of service, l’utilisation de leurs modèles pour entraîner ou distiller un modèle concurrent : l’investissement colossal en calcul et en données qui produit un modèle de frontière est précisément ce que ces clauses protègent. Les trois agences estiment que les entreprises chinoises bafouent ces clauses de façon systématique, en routant les requêtes de distillation « à travers de multiples voies pour obtenir un accès non autorisé », notamment des API natives, des fournisseurs cloud distants et des agrégateurs tiers qui obfusquent automatiquement les métadonnées.
C’est ici que l’alerte devient opérationnelle. Elle décrit un marché gris de proxys baptisés « stations de transfert », qui revendent l’accès aux modèles de frontière « à une fraction du prix officiel » et constituent « un mécanisme extensible pour contourner les garde-fous des fournisseurs et éroder la traçabilité ». Ces stations cassent à la fois la géolocalisation, la facturation et l’auditabilité — les trois leviers sur lesquels repose la confiance d’un fournisseur dans l’usage de son API.
Deux accusations qui dépassent la technique
L’alerte ne s’arrête pas à la méthode ; elle porte deux accusations à fort enjeu économique.
La première vise DeepSeek. Les agences affirment que l’entreprise a utilisé la distillation pour générer des données synthétiques servant à entraîner ses modèles, ce qui rendrait fausse sa revendication de les avoir produits avec des quantités de calcul dérisoires. La portée est considérable : les annonces de DeepSeek avaient, début 2025, fait paniquer les investisseurs, inquiets que les milliards engagés dans les infrastructures de calcul ne soient plus nécessaires. Si l’accusation est fondée, une partie de cette panique repose sur une présentation trompeuse des coûts réels.
La seconde vise Alibaba. Les agences estiment que l’entreprise a « tiré parti d’une distillation à l’échelle industrielle pour améliorer la famille de modèles Qwen ». Or certains modèles Qwen sont de très haute qualité, téléchargeables gratuitement et réutilisables — un défi direct aux fournisseurs américains qui facturent l’accès tout en accumulant des pertes massives. L’accusation dessine un modèle économique asymétrique : distiller pour redistribuer gratuitement, et éroder par le bas le marché des modèles propriétaires.
Il faut le dire clairement : ce sont des allégations, formulées par des agences gouvernementales dans un contexte de tension technologique, et non des faits établis par un tribunal. The Register indique avoir sollicité les entreprises concernées sans obtenir de réponse substantielle à la publication. Pékin, de son côté, réplique depuis des mois que les entreprises américaines distillent elles aussi des modèles chinois, et menace de riposter à toute interdiction de ses technologies.
Le cahier des charges de défense que tout fournisseur devrait lire
La partie la plus concrète de l’alerte est sa liste de contre-mesures, qui vaut pour tout exploitant d’API de modèles. Elle recommande de détecter et dévier les tentatives de distillation, en considérant qu’une consommation maximale immédiate depuis un compte neuf est un indicateur d’activité malveillante. Elle suggère d’« altérer subtilement les réponses » pour les tentatives de distillation suspectes, afin d’en réduire le rendement sans dégrader l’expérience des utilisateurs légitimes. Elle préconise enfin de corréler l’activité entre fournisseurs, plateformes cloud et agrégateurs pour révéler les campagnes distribuées qui, prises isolément, restent invisibles.
Ces recommandations ont une traduction directe en ingénierie. La détection passe par le rate limiting et l’analyse des motifs de requêtes ; l’altération des réponses, par une couche d’inférence qui injecte du bruit calibré quand le profil de l’appelant est suspect ; la corrélation, par un partage d’indicateurs entre acteurs — un chantier de confiance qui n’a rien d’évident dans un secteur concurrentiel.
Pour les entreprises qui consomment des modèles, l’alerte a une autre lecture : la provenance devient un critère de risque. Une dépendance à un modèle dont la chaîne d’entraînement est contestée expose à un risque juridique — violation de terms of service, litiges sur la propriété intellectuelle — autant qu’à un risque réputationnel. La question n’est plus seulement « ce modèle est-il performant ? » mais « son entraînement est-il défendable ? ».
Pourquoi la distillation est si difficile à détecter
Si la pratique peut atteindre l’échelle « industrielle » décrite par les agences, c’est aussi parce qu’elle est structurellement difficile à prouver. La distillation ne copie pas les poids d’un modèle : elle apprend une approximation de son comportement à partir de ses sorties. Un modèle distillé ne contient aucune trace des paramètres de l’original, donc aucune signature à retrouver dans les fichiers. La détection repose sur des heuristiques comportementales, pas sur des preuves matérielles.
Ces heuristiques ont des limites connues. Une requête de distillation ne se distingue pas d’une requête légitime par son contenu : c’est une question posée à un modèle, comme des millions d’autres. Ce qui trahit une campagne, c’est le motif — volume anormalement élevé, diversité des questions couvrant systématiquement tout le spectre de capacités du modèle, comptes neufs qui montent immédiatement en charge. D’où les recommandations concrètes de l’alerte : le rate limiting, la détection des nouveaux comptes sur-consommateurs et la corrélation entre plateformes.
La réponse la plus ambitieuse, l’altération subtile des réponses, consiste à injecter du bruit calibré dans les sorties destinées aux appelants suspects, pour dégrader la qualité du modèle distillé sans toucher à l’expérience des utilisateurs normaux. C’est une course aux armements ouverte : les stations de transfert obfusquent les métadonnées, les fournisseurs affinent leurs détecteurs, et aucune des deux parties ne peut revendiquer une position stable.
Le ton de l’alerte s’inscrit enfin dans une escalade déjà engagée. Les agences américaines multiplient les accusations de ce type depuis plusieurs mois, et Pékin réplique en accusant les entreprises américaines de distiller des modèles chinois, assorti de menaces voilées de riposte à toute interdiction. La distillation est devenue un sujet diplomatique autant qu’un problème d’ingénierie, ce qui explique pourquoi la réponse ne peut pas être uniquement technique.
Verdict
Si vous exploitez une API de modèles, traitez cette alerte comme un audit gratuit de vos défenses anti-distillation : mettez en place la détection des comptes neufs sur-consommateurs, préparez un mécanisme d’altération de réponses, et rejoignez — ou initiez — un canal de corrélation entre fournisseurs. Si vous achetez des modèles ou construisez dessus, ajoutez la provenance de l’entraînement à votre due diligence : un modèle gratuit et performant peut cacher un passif juridique que vous endosserez en l’intégrant. Et si vous suivez la géopolitique de l’IA, retenez ceci : la distillation est en train de passer du statut de technique d’optimisation à celui d’enjeu de souveraineté, et les agences américaines ont choisi d’en faire un terrain d’affrontement public.