Ce que dit l’avis
La National Security Agency, la Cybersecurity and Infrastructure Security Agency et le FBI ont publié le 8 septembre un avis de cybersécurité conjoint accusant six entreprises chinoises d’intelligence artificielle d’extraire des capacités de modèles de pointe américains à l’échelle industrielle.
L’avis, référencé AA26-251A, nomme DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.ai. Les agences écrivent que des entreprises chinoises d’IA se livrent à ce qu’elles qualifient d’activités de distillation agressives, malveillantes et ciblées à l’échelle industrielle, contre des modèles des familles Claude, GPT, Gemini et Grok. Elles situent la campagne entre la fin 2024 et le milieu de 2026.
La distillation en soi relève de l’apprentissage automatique ordinaire. Un petit modèle est entraîné sur les sorties d’un grand jusqu’à reproduire assez de son comportement pour être utile, à une fraction du coût d’entraînement. Ce que décrivent les agences, c’est cette technique appliquée à des modèles que le distillateur ne possède pas et n’a pas obtenus sous licence à cette fin, dans un volume qu’elles chiffrent en milliards de jetons répartis sur des millions d’échanges.
Les accusations précises
L’avis est inhabituellement détaillé sur les capacités qu’il affirme avoir été visées. Il indique que Moonshot AI a mené des millions d’échanges portant sur le raisonnement agentique et l’usage d’outils, la programmation et l’analyse de données, le développement d’agents pilotant un ordinateur et la vision par ordinateur.
Il affirme qu’à la fin 2025 Alibaba a distillé des modèles Claude et GPT pour améliorer l’ingénierie logicielle, le dialogue de service client et la création d’images et de personnages dans sa famille Qwen, et que MiniMax s’est appuyé sur des modèles Claude et Gemini pour améliorer le raisonnement en chaîne et l’ingénierie logicielle de son modèle M2.
Ce sont des appréciations des trois agences. L’avis ne publie pas les éléments qui les fondent, aucune des six entreprises n’y est citée, et le document présente lui-même ces pratiques comme une violation des conditions d’utilisation des fournisseurs américains, et non comme une infraction poursuivie.
Contourner les conditions d’utilisation
Sur la méthode, les agences affirment que les requêtes ont emprunté plusieurs voies à la fois : interfaces de programmation natives, fournisseurs de cloud revendant l’accès aux modèles, et agrégateurs tiers qui suppriment ou masquent les métadonnées de l’utilisateur au passage. L’effet décrit est une campagne qui, pour un fournisseur pris isolément, ressemble à du trafic banal provenant de nombreux comptes sans lien entre eux.
Les mesures d’atténuation recommandées constituent la moitié la plus intéressante du document. À côté de contrôles classiques — limitation du débit, plafonds de volume de requêtes, détection d’entrées adverses, confidentialité différentielle, le tout rattaché au cadre MITRE ATLAS —, les agences proposent une détection comportementale fondée sur le rapport entre le niveau d’abonnement d’un client et son usage réel, sur les comptes neufs qui atteignent immédiatement l’usage maximal, et sur des débits dignes d’une grande entreprise venant de comptes qui ne devraient pas en avoir.
Elles recommandent aussi quelque chose de plus proche de la défense active : introduire de subtiles modifications dans les réponses aux tentatives de distillation jugées malveillantes, afin d’en réduire le bénéfice. C’est un conseil de dégrader une réponse plutôt que de la refuser, pour que le distillateur s’entraîne sur des données abîmées sans le savoir, et c’est la première fois que des agences américaines recommandent cette tactique dans un avis public.
Ce qu’il faut surveiller
L’avis n’a par lui-même aucun pouvoir de sanction. Ce qu’il fait, c’est établir une position officielle américaine selon laquelle plusieurs modèles chinois nommément désignés ont été construits en partie sur des sorties américaines extraites, le genre de conclusion que l’on cite ensuite dans les débats sur les contrôles à l’exportation, dans les règles de marchés publics et devant les tribunaux. Reste à voir si l’une des six entreprises répondra, et si les fournisseurs américains adopteront publiquement la tactique de modification des réponses.
