Le 12 octobre 2026, Anthropic a publié le bilan de ses nouvelles défenses contre la distillation, ces campagnes qui interrogent Claude en masse pour entraîner un modèle concurrent sur ses réponses. Les premiers éléments, écrit l'entreprise, suggèrent une baisse d'environ 90 à 99 % du volume de données récolté par les distillateurs. Le texte contient aussi un aveu.

En février, Anthropic disait vouloir rendre la distillation plus difficile sans toucher à l'expérience des clients légitimes. Elle écrit aujourd'hui : « Nous n'avons pas complètement atteint cet objectif ». De février à octobre, la cible s'est déplacée vers le raisonnement La première alerte date du 23 février.

Anthropic accusait alors DeepSeek, Moonshot et MiniMax d'avoir généré plus de 16 millions d'échanges avec Claude par environ 24 000 comptes frauduleux. Ses contre-mesures étaient alors décrites comme en cours de développement : des protections au niveau du produit, de l'API et du modèle, conçues pour réduire l'utilité des réponses volées « sans dégrader l'expérience des clients légitimes ». En septembre, le rapport d'Anthropic sur les usages malveillants a changé d'échelle.

Sept laboratoires installés en Chine y sont mis en cause, dont Alibaba, crédité de plus de 151 millions d'échanges entre mai et juillet, la plus grande attaque de ce type jamais mesurée par l'entreprise. L'un d'eux a testé plus de 12 000 requêtes, chacune avec une ruse différente, pour trouver celles qui faisaient sortir le raisonnement de Claude. Le 8 septembre, quelques jours avant ce rapport, la NSA, la CISA et le FBI avaient nommé six sociétés chinoises dans un avis conjoint sur la distillation.

ActuIA a aussi tiré du rapport les dossiers liés à la France et à l'Afrique francophone. Le raisonnement est la cible centrale : les transcriptions de la réflexion que Claude écrit avant de répondre valent plus pour un distillateur que la réponse seule. Anthropic en donne une mesure : un modèle Claude pré-entraîné, nourri des transcriptions complètes de Claude Opus 4.8, obtient 80,4 % au test de code SWE-bench Verified, contre 71,8 % quand on ne lui fournit que les raisonnements résumés.

Le résumé a été la première parade. Les distillateurs ont répondu en demandant à Claude de recopier sa réflexion « caractère par caractère », ou en déplaçant des blocs de raisonnement protégés d'une conversation, d'un modèle ou d'un compte à l'autre. Trois verrous, dont un classifieur calqué sur le risque biologique Le premier verrou porte sur la circulation du raisonnement.

Avec Claude Fable 5.1 et Claude Opus 5.5, les comptes API créés à partir du 31 août 2026 ne peuvent plus modifier le contexte qui précède la réflexion de Claude, ce qu'Anthropic appelle « preserved thinking ». Les modèles plus anciens, moins protégés, ne peuvent plus lire ce raisonnement, et avec Claude Sonnet 5.5 il n'est accessible qu'à l'organisation dont la requête l'a produit. Le deuxième est un classifieur en deux étapes, du type déjà employé pour bloquer l'aide aux armes biologiques.

Anthropic l'a soumis à des équipes d'attaque internes et externes, et le juge désormais à peu près aussi robuste que ces garde-fous biologiques, avec moins de 0,1 % de faux positifs. Il tourne sur Claude Sonnet 5.5, Claude Opus 5 et 5.5, Claude Fable 5 et 5.1. Des correctifs ont déjà fermé des variantes apparues ensuite, comme demander à Claude de traduire sa réflexion dans une autre langue.

Le troisième vise la répétition. Les comptes qui insistent subissent des limites d'usage plus strictes, puis sont bannis. Anthropic dit en avoir banni des dizaines de milliers, souvent moins de deux heures après le début d'une campagne.

Depuis le 24 septembre, elle a aussi recommencé à facturer les requêtes bloquées avant toute réponse, dans les domaines où le taux de faux positifs reste sous 0,1 %, distillation comprise. Un résultat mesuré sur la seule plateforme d'Anthropic La baisse de 90 à 99 % repose sur une seule mesure : le nombre de tokens de raisonnement extraits, qu'Anthropic estime 10 à 100 fois plus faible qu'avant le classifieur. Certains jours, il était trop bas pour être mesuré.

Cette mesure ne couvre que la plateforme d'Anthropic, alors que le même texte rappelle que les distillateurs répartissent leur trafic entre son API, les clouds tiers et d'autres fournisseurs d'inférence. L'entreprise la présente comme une indication précoce, dit ignorer combien de temps ces gains dureront et reconnaît n'avoir pas encore vu de tentative à la fois très sophistiquée et persistante de contourner ces défenses. D'après Anthropic, le laboratoire chinois Zhipu, connu hors de Chine sous le nom de Z.ai, a distillé les capacités cyber de modèles américains pendant le développement de GLM-5.3 : il a d'abord visé Claude Fable 5, puis s'est rabattu sur un Claude plus ancien et sur le modèle d'un autre laboratoire quand les garde-fous ont dégradé ses attaques.

Le 17 septembre, le CAISI, centre d'évaluation rattaché au NIST, a jugé GLM-5.3 « le modèle à poids ouverts le plus capable en cyber publié à ce jour », avec environ quatre mois de retard sur la frontière américaine. Le 29 septembre, Anthropic a montré que les garde-fous de GLM-5.3 cédaient, dans ses tests simulés, dans 64 à 100 % des cas face à des techniques simples. Les développeurs paient une partie de l'addition Au 13 octobre, les notes de version de la plateforme Claude détaillent ce qui change dans le code : sur Claude Fable 5.1, pour un compte créé à partir du 31 août, renvoyer un bloc de réflexion après avoir modifié le prompt système, les outils ou un message antérieur produit une erreur 400 ; un bloc de réflexion de Claude Sonnet 5.5 envoyé depuis un autre compte, non lié, est supprimé avant que le modèle ne le voie.

S'ajoutent les requêtes bénignes bloquées à tort, moins de 0,1 % selon Anthropic, qui sont désormais facturées. Anthropic dit avoir renoncé à un chiffre d'affaires significatif et à « des milliers de milliards de tokens » de trafic payant venant des distillateurs. Elle fait aussi passer une partie du coût de la protection à ses clients.

Pour une entreprise qui bâtit des agents sur l'API, cela se traduit par des intégrations à reprendre et des refus facturés, en échange d'une protection dont le bénéfice va avant tout au fournisseur et, selon son argumentaire, à la sécurité nationale américaine. Une semaine d'annonces tournées vers Washington La publication referme une série serrée. Le 8 octobre, Anthropic a lancé l'Anthropic Cyber Mission, qui aide les défenseurs des infrastructures critiques et analyse gratuitement des logiciels libres, et engagé 150 millions de dollars sur trois ans pour fournir Claude à plus de 15 agences fédérales de la Genesis Mission.

Le 9 octobre, un rapport sur des actions non voulues de ses modèles l'a conduite à couper l'accès à internet de toutes ses évaluations internes, le temps de vérifier ses dispositifs de surveillance. La plupart de ces textes présentent Anthropic en fournisseur qui se protège et protège l'État américain, la semaine même où elle s'engage auprès des agences fédérales. Le volet distillation est le seul à reconnaître un coût pour ses propres clients.

La fin du texte sur la distillation s'adresse aux autres, plateformes cloud et développeurs de modèles : ses efforts seraient vains, écrit l'entreprise, si les attaquants pouvaient se servir de modèles aussi capables et moins protégés, comme Zhipu l'a fait pour GLM-5.3. Ajouter ActuIA à mes sources préférées sur Google Nos articles remonteront en priorité dans « À la une » de Google. ST Stephane Nachez Rédaction ActuIA — actualités, données et analyses sur l'intelligence artificielle pour les décideurs.