151 millions d'échanges volés pour distiller Claude

D'après Anthropic, les requêtes des modèles chinois Kimi et DeepSeek ont été redirigées vers Claude Opus à des fins de distillation.

L'essentiel

Le 10 septembre 2026, Anthropic a publié son rapport threat intelligence de septembre 2026, 154 pages et 7 catégories d'abus. Il accuse cinq laboratoires chinois d'avoir mené des campagnes de distillation contre Claude Opus : Alibaba (Qwen), Moonshot (Kimi), DeepSeek, Zhipu (Z.ai) et Xiaomi. La plus grosse, celle d'Alibaba, représenterait 151 millions d'échanges en trois mois, via plus de 3 500 comptes frauduleux. Moonshot aurait relayé près de 300 000 requêtes de ses propres clients vers Claude pendant dix jours, sans qu'ils le sachent. Ces échanges relayés contenaient des données clients, que le rapport juge « probablement incompatibles avec les lois sur la vie privée ». Ce sont des allégations d'Anthropic, attribuées avec haute confiance, pas un verdict judiciaire. Pour les équipes qui passent par des gateways LLM ou des agrégateurs tiers, le point à retenir est simple : tout ce qui transite par un intermédiaire est exposé à ses pratiques.

Qu'est-ce que la distillation de modèle ?

La distillation est une technique qui consiste à utiliser un modèle avancé, comme Claude, pour générer des réponses, puis à s'en servir comme données d'entraînement pour un modèle concurrent, moins cher à faire tourner. Légitime sur ses propres modèles, elle devient un abus quand elle passe par des comptes frauduleux contre un fournisseur qui l'interdit.

Que contient le rapport d'Anthropic sur la distillation ?

Le 10 septembre 2026, Anthropic a publié son nouveau rapport threat intelligence : 154 pages, 7 catégories d'abus rencontrées par la firme américaine, dont la distillation illicite. Le rapport PDF complet détaille chaque catégorie, et Bloomberg a relayé le cas Moonshot le jour même.

Quels laboratoires ont distillé Claude Opus, et à quelle échelle ?

Selon Anthropic, cinq laboratoires chinois ont fait tourner des campagnes massives pour extraire le raisonnement de Claude Opus.

Laboratoire	Volume	Durée	Particularité
Alibaba (Qwen)	151 M d'échanges, pics à 3 M par jour	3 mois	3 500+ comptes frauduleux ; transcripts utilisés pour entraîner Qwen 3.5, 3.6 et 3.7
Moonshot (Kimi)	près de 300 000 requêtes clients relayées	10 jours	Les utilisateurs croyaient parler à Kimi, c'était Opus qui répondait
DeepSeek	12,1 M d'échanges	14 jours	Cible : les développeurs passant par Claude Code ou OpenCode
Zhipu (Z.ai)	non chiffré	non précisée	Même méthode, échelle différente
Xiaomi	non chiffré	non précisée	Même méthode, échelle différente

Alibaba est la plus grosse campagne jamais mesurée par Anthropic. Moonshot est le cas le plus troublant : ses propres clients ont servi de canal d'extraction.

Comment fonctionnent les fermes de comptes et le cross-session replay ?

Techniquement, les laboratoires passaient par des fermes de comptes (proxys résidentiels, emails jetables, cartes virtuelles). Un prompt injecté forçait le modèle à écrire son raisonnement en clair. Une attaque de cross-session replay permettait ensuite de contourner les thinking signatures.

Des données clients dans les échanges relayés

Les échanges relayés contenaient des données clients : des identifiants en production, les specs d'un programme IA d'une entreprise tech, des flux CCTV, des données personnelles de centaines d'utilisateurs américains et européens passés par des routeurs de modèles tiers. Anthropic écrit que ces pratiques sont « probablement incompatibles avec les lois sur la vie privée ».

Il faut relativiser. Un, ce sont des allégations d'Anthropic, attribuées « avec haute confiance », pas un verdict de tribunal. Deux, le rapport note que Fable, son modèle le plus protégé, a tenu : Zhipu a fini par viser Opus « parce que les safeguards étaient plus faibles ».

Le raisonnement des modèles est devenu une cible industrielle. Nos prompts, eux, sont devenus des dégâts collatéraux. Le volet espionnage du même rapport est traité dans l'analyse des agents IA offensifs.

Ce que ça change pour vos équipes

Nous nous interrogeons sur les gateways LLM et autres agrégateurs tiers. Un routeur de modèles voit vos prompts, vos réponses et souvent vos clés. S'il relaye vos requêtes vers un autre modèle que celui annoncé, vous ne le saurez pas, et ce que vous y envoyez peut finir dans les données d'entraînement de quelqu'un d'autre. Ce que nous appliquerions avant d'en brancher un en production :

1. Faire l'inventaire des intermédiaires : quels gateways, routeurs ou agrégateurs reçoivent vos prompts, depuis quelles applications, avec quelles clés.
2. Lire les conditions : rétention, usage des données pour l'entraînement, sous-traitants, localisation. Sans clause claire, ne rien y envoyer de sensible.
3. Ne jamais faire transiter de secrets ni de données personnelles par un intermédiaire non maîtrisé. Filtrer ou masquer les identifiants, tokens et données clients avant l'appel.
4. Préférer, pour les flux sensibles, un accès direct au fournisseur avec des clés dédiées, au moindre privilège, rotatives, et journaliser les appels côté vous.
5. Vérifier que le modèle qui répond est celui que vous payez : tests de contrôle réguliers et revue des écarts de comportement ou de coût.

Pour la gouvernance des agents qui appellent ces services, voir aussi RSA Agent ID et les agents fantômes.