Ce qui vaut d’être volé, c’est le raisonnement
Anthropic a publié un exposé de la façon dont elle protège Claude contre la distillation, cette pratique consistant à copier les capacités d’un modèle dans un autre en récoltant ses sorties à grande échelle, en général via des réseaux de comptes frauduleux. L’entreprise affirme que les premiers signes montrent une baisse d’environ 90 à 99 % des données captées par les distillateurs.
Ce que visent les distillateurs, selon le billet, ce ne sont pas les réponses de Claude mais sa mécanique : les transcriptions du raisonnement que le modèle rédige avant de répondre. Anthropic chiffre l’enjeu. Un modèle entraîné sur des transcriptions de raisonnement complètes de Claude Opus 4.8 a obtenu 80,4 % sur SWE-bench Verified ; entraîné sur des transcriptions résumées, le même modèle est tombé à 71,8 %.
Trois défenses
La première est architecturale. La « pensée préservée », apparue avec Claude Fable 5.1 et Claude Opus 5.5, empêche les comptes d’API créés à partir du 31 août 2026 de modifier le contexte antérieur de Claude — l’astuce qui permettait d’amener le modèle à reproduire mot pour mot son propre raisonnement. Sur Claude Sonnet 5.5, les transcriptions de raisonnement ne sont visibles que par l’organisation à l’origine de la requête.
La deuxième est un classifieur à deux étages, issu des travaux d’Anthropic sur les classifieurs constitutionnels et déployé sur Claude Sonnet 5.5, Claude Opus 5 et 5.5, et Claude Fable 5 et 5.1. Anthropic indique qu’il a été soumis à des équipes rouges internes et externes, que sa robustesse est à peu près au niveau des garde-fous de l’entreprise sur les armes biologiques, et que son taux de faux positifs est inférieur à 0,1 %. Les contournements découverts depuis — traduire le raisonnement antérieur dans une autre langue, ou l’écrire à l’intérieur de balises — ont été corrigés.
La troisième est économique. Les comptes qui multiplient les tentatives d’extraction subissent des limites plus strictes et des bannissements, et depuis le 24 septembre Anthropic facture les requêtes que ses garde-fous bloquent avant même que Claude réponde.
Ce que disent les chiffres
Les jetons de raisonnement extraits par les distillateurs sur la plateforme d’Anthropic sont désormais « systématiquement 10 à 100 fois moins nombreux » qu’auparavant, affirme l’entreprise, et certains jours trop rares pour être mesurés. Des dizaines de milliers de comptes liés à la distillation ont été bannis, souvent dans les deux heures suivant le début d’une campagne. Anthropic dit avoir refusé des revenus significatifs et des milliers de milliards de jetons de trafic payant venant de distillateurs.
L’ampleur décrite est considérable. Les réseaux de proxys ont utilisé des centaines de milliers de comptes frauduleux, l’un d’eux en exploitant plus de 20 000 à la fois. Un laboratoire, dit Anthropic, a testé 12 000 requêtes, chacune avec une astuce différente.
Qui elle nomme
Deux entreprises sont citées. Anthropic affirme que Zhipu a distillé des capacités cyber de grands modèles américains pendant le développement de GLM-5.3, et qu’après la dégradation de ses tentatives contre Claude Fable 5 par les garde-fous cyber d’Anthropic, elle s’est rabattue sur un modèle Claude plus ancien et sur le modèle d’un autre laboratoire. Anthropic relève que le Center for Advancing Innovation and Standards for Super Intelligence américain a jugé GLM-5.3 comme le modèle à poids ouverts le plus capable en cyber publié à ce jour, et indique que ses propres recherches ont trouvé les garde-fous de GLM-5.3 faciles à contourner.
La seconde est Moonshot, qui selon Anthropic redirigeait en secret vers Claude des requêtes adressées à ses modèles Kimi. Dans l’une de ces requêtes redirigées, affirme Anthropic, un utilisateur qu’elle croit lié à l’Armée populaire de libération chinoise a demandé à Claude d’analyser des images de vidéosurveillance d’une personne précise.
Ce qu’Anthropic concède
L’entreprise s’attend à un « jeu du chat et de la souris » et dit ignorer combien de temps les gains tiendront, ajoutant qu’elle n’a pas encore vu de tentative très sophistiquée et persistante de contourner les défenses. Les utilisateurs légitimes paient aussi : la pensée préservée oblige certains développeurs à mettre à jour leurs intégrations, et le classifieur bloque parfois des requêtes inoffensives, désormais facturées malgré tout.
L’argument final porte sur le secteur plutôt que sur Anthropic. Les distillateurs répartissent leur trafic entre API, clouds tiers et autres fournisseurs d’inférence, et les incitations découragent la défense, puisqu’elle coûte cher et que les distillateurs illicites, eux, règlent leurs factures. Publier la méthode, dit l’entreprise, vise à montrer qu’une solution de rechange existe.
