Anthropic a publié ses défenses contre la distillation et affirme que les premiers éléments suggèrent que les nouvelles méthodes réduisent d'environ 90 à 99 % les données récoltées par les distillateurs. Les attaques par distillation sont des campagnes secrètes, à l'échelle industrielle, visant à extraire les capacités d'un modèle pour les reproduire dans un autre sans autorisation, souvent via des réseaux de faux comptes, pour une fraction du temps et du coût de développement.
Anthropic donne deux raisons de s'en préoccuper. D'abord, les modèles distillés approchent la frontière sans garde-fous aussi robustes, ce qui ouvre la porte aux usages malveillants en biologie et en cybersécurité. L'entreprise affirme que Zhipu a distillé les capacités cyber de modèles américains de pointe pendant le développement de GLM-5.3 : il a essayé Claude Fable 5, mais, après que les garde-fous cyber d'Anthropic ont dégradé ses attaques, il s'est tourné vers un ancien modèle Claude et vers celui d'un autre laboratoire. Le Center for Advancing Innovation and Standards for Super Intelligence (CAISSI) américain a depuis jugé GLM-5.3 comme le modèle à poids ouverts le plus performant en cybersécurité publié à ce jour, et l'analyse d'Anthropic a montré que ses garde-fous sont faciles à contourner.
La seconde raison est la sécurité nationale : les capacités distillées finissent dans des systèmes militaires, de renseignement et de surveillance étrangers. Anthropic a récemment indiqué que des requêtes adressées aux modèles Kimi de Moonshot étaient transmises en secret à Claude, l'une d'elles provenant apparemment d'un utilisateur lié à l'Armée populaire de libération chinoise, qui cherchait à analyser des images de vidéosurveillance d'une personne précise. L'accusation de la Maison-Blanche selon laquelle Moonshot a distillé les modèles d'Anthropic est survenue autour de Kimi K3.
Pourquoi les défenses simples ne suffisaient pas
Les distillateurs génèrent des millions de réponses d'un modèle plus grand pour en entraîner un plus petit, et les données les plus précieuses sont les transcriptions du raisonnement de Claude, la réflexion qu'il écrit avant de répondre. La première mesure a consisté à résumer ce raisonnement avant de l'afficher aux utilisateurs. Lors d'un test, un modèle Claude pré-entraîné, entraîné sur des transcriptions de Claude Opus 4.8, a obtenu 80,4 % sur SWE-bench Verified avec le raisonnement complet et 71,8 % avec le raisonnement résumé, soit une baisse de 8,6 points.
Tiré de l'article d'Anthropic.
Les attaquants sont alors passés à l'extraction active, par exemple en demandant à Claude de restituer mot pour mot son raisonnement antérieur ; un laboratoire a testé 12 000 requêtes, chacune avec une astuce différente. Les utilisateurs ordinaires le demandent rarement, ce qui permet de le détecter, mais les distillateurs ont changé d'échelle avec des réseaux de proxys contrôlant des centaines de milliers de faux comptes. Ceux-ci revendaient l'accès à Claude dans des régions non prises en charge, utilisaient de fausses identités et des moyens de paiement volés, et ont fait tourner, dans un cas, plus de 20 000 comptes en même temps.
Trois nouvelles méthodes
Contrôler où le raisonnement peut aller. Les distillateurs déplaçaient des blocs de raisonnement protégés entre conversations, modèles et comptes. Avec Claude Fable 5.1 et Claude Opus 5.5, Anthropic a introduit le preserved thinking, qui empêche les nouveaux comptes d'API, créés à partir du 31 août, de modifier le contexte antérieur de Claude. Il empêche aussi les modèles plus anciens, dotés de garde-fous plus faibles, de lire le raisonnement de ces modèles. Avec Claude Sonnet 5.5, les transcriptions de raisonnement ne sont accessibles qu'à l'organisation dont la requête les a produites.
Bloquer et corriger les tentatives d'extraction. Anthropic a construit un système de classificateurs en deux étapes, du type de celui de ses recherches sur les classificateurs constitutionnels, et l'a soumis à un exercice d'équipe rouge à partir de transcriptions de tentatives de distillateurs. L'entreprise affirme que ces garde-fous sont désormais à peu près aussi robustes que ceux qui empêchent Claude d'aider à fabriquer des armes biologiques, avec un taux de faux positifs inférieur à 0,1 %. Ils tournent sur les modèles les plus performants disponibles au grand public (actuellement Claude Sonnet 5.5, Claude Opus 5 et 5.5, et Claude Fable 5 et 5.1), les futurs étant prévus. Parmi les techniques désormais bloquées figurent celles qui demandent à Claude de traduire son raisonnement antérieur dans une autre langue ou de l'écrire dans des balises.
Rendre les tentatives répétées difficiles. Les utilisateurs qui persistent à vouloir extraire le raisonnement se heurtent à des limites d'usage plus strictes, et les tentatives persistantes entraînent des bannissements. Depuis le 24 septembre, Anthropic facture aussi les requêtes bloquées avant que Claude ne réponde, dans des domaines comme la distillation où le taux de faux positifs est inférieur à 0,1 %.
Résultats
Anthropic affirme que le classificateur détecte désormais toutes les techniques de distillation décrites dans son rapport de septembre. Depuis sa mise en place, les jetons de raisonnement extraits par les distillateurs sont constamment 10 à 100 fois plus bas qu'avant, ce qui s'ajoute à l'effet du preserved thinking. Des dizaines de milliers de comptes ont été bannis, souvent dans les deux heures suivant le début d'une campagne.
Tiré de l'article d'Anthropic.
Le graphique montre les jetons de raisonnement quotidiens exposés à des requêtes de distillation réussies, en multiple du 26 septembre, le jour mesurable le plus calme après les garde-fous (en place depuis le 19 septembre). La moyenne d'avant les garde-fous était d'environ 8 800 fois ce niveau de référence, avec un pic proche de 56 000 fois ; ensuite, elle s'établissait à environ 135 fois, soit à peu près 65 fois moins, et plusieurs jours étaient trop faibles pour être mesurés.
Compromis et appel à l'industrie
Anthropic dit avoir renoncé à des revenus significatifs et à des milliers de milliards de jetons de trafic payant de distillateurs. Le preserved thinking a obligé certains développeurs à mettre à jour leurs intégrations, et les classificateurs bloquent des requêtes bénignes dans moins de 0,1 % des cas, qui sont elles aussi facturées. Anthropic ignore combien de temps ces gains dureront, s'attend à ce que la distillation reste un jeu du chat et de la souris, et n'a pas encore vu de tentative persistante et très sophistiquée de contourner les défenses.
Elle soutient qu'arrêter la distillation illicite exige l'engagement de tous les développeurs de modèles de pointe, et que ces efforts sont sapés lorsque les attaquants peuvent accéder à un modèle aussi performant sans garde-fous, comme l'a fait Zhipu avec GLM-5.3. Les distillateurs répartissent aussi leur trafic entre l'API d'Anthropic, les clouds tiers et d'autres fournisseurs d'inférence : les plateformes doivent donc détecter rapidement les abus et exclure les faux comptes. Les incitations vont souvent dans l'autre sens, reconnaît Anthropic, car les défenses coûtent cher et les distillateurs paient ; elle publie ses méthodes pour montrer qu'une alternative viable existe.