Anthropic Reports 90–99% réduction des attaques par distillation sur les modèles Claude

Anthropic a rapporté sur 2026-10-12, que de nouvelles mesures défensives ont réduit le volume de données extraites de ses modèles Claude par attaques de distillation d’environ 90 à 99 %, selon des indicateurs internes de la plateforme. Les attaques par distillation sont des campagnes secrètes dans lesquelles des parties non autorisées interrogent un modèle IA frontière à grande échelle pour en reproduire les capacités dans un autre modèle sans le consentement du développeur original.

L’entreprise a décrit ces attaques comme des efforts « à l’échelle industrielle » menés via des réseaux de comptes frauduleux, permettant aux laboratoires étrangers d’imiter des capacités IA avancées pour une fraction du temps et du coût de développement. Anthropic a déclaré dans un rapport 2026-09 que la méthode a été largement utilisée par des laboratoires IA étrangers pour suivre le rythme des entreprises américaines.

Préoccupations nationales de sécurité et de sûreté

Anthropic a exposé deux préoccupations principales. Premièrement, les modèles distillés peuvent atteindre des niveaux de capacités de pointe mais sont publiés sans protections proportionnellement robustes, créant des risques dans des domaines tels que la biologie et la cybersécurité. L’entreprise a cité le modèle GLM-5.3 de Zhipu comme exemple. Selon Anthropic, Zhipu a distillé les capacités cyber des principaux modèles américains lors de GLM-5.3 développement, ciblant d’abord Claude Fable 5 avant de passer à un modèle Claude plus ancien puis à celui d’un autre laboratoire après avoir rencontré des mesures de sécurité. Le Centre américain pour l’avancement de l’innovation et des normes pour superintelligence (CAISSI) a évalué GLM-5.3 comme étant le modèle de poids ouverts le plus cyber-capable publié à ce jour, selon une annonce de 2026-09. Les recherches d’Anthropic ont montré que les garanties de GLM-5.3 peuvent être contournées et que le modèle est prêt à développer des exploits de sécurité de bout en bout.

Deuxièmement, Anthropic a déclaré que les modèles distillés illicitement présentent un risque pour la sécurité nationale car les entreprises qui effectuent la distillation intègrent les capacités résultantes dans des systèmes militaires, de renseignement et de surveillance étrangers. L’entreprise a rapporté en 2026-09 un cas où des demandes aux modèles Kimi de Moonshot étaient secrètement transmises à Claude dans le cadre des efforts de distillation. un demande provenait d’un utilisateur qu’Anthropic croit affilié à l’Armée populaire de libération de Chine, qui cherchait à analyser la surveillance CCTV d’un individu spécifique.

Défenses techniques et compromis

Les défenses d’Anthropic se concentrent sur la difficulté d’accès aux transcriptions de raisonnement de Claude — le processus de réflexion étape par étape que le modèle écrit avant de répondre — pour les distillateurs. La société a déclaré que les transcriptions de raisonnement sont plus précieuses pour la distillation que les résultats finaux seuls car ils aident un modèle plus petit à comprendre comment Claude parvient à ses réponses.

Les premières mesures comprenaient le résumé du raisonnement de Claude avant de l’afficher aux utilisateurs. Des évaluations internes ont montré qu’un modèle Claude préentraîné entraîné sur des transcriptions complètes de Claude Opus 4.8 atteint 80.4% sur la benchmark de codage SWE-bench Verified Coding, comparé à 71.8% lorsqu’il était entraîné uniquement sur des transcriptions résumées. Cependant, les attaquants se sont adaptés en employant des techniques d'« extraction active », allant d’instructions simples pour produire mot à mot à des campagnes sophistiquées testant des milliers de variations rapides. Anthropic a décrit en septembre un laboratoire qui testait 12,000 requêtes, chacune cherchant à tromper Claude différemment.

Les défenses actuelles de l’entreprise perturbent les attaques de trois manières. Premièrement, Anthropic a introduit la pensée préservée avec Claude Fable 5.1 et Claude Opus 5.5, empêchant de nouveaux comptes API créés sur ou après 2026-08-31, de modifier le contexte antérieur de Claude. La mesure bloque également la lecture des transcriptions de raisonnement par des modèles antérieurs avec des garanties plus faibles et, avec Claude Sonnet 5.5, restreint l’accès au raisonnement à l’organisation qui a produit la transcription.

Deuxièmement, Anthropic a déployé un système de classificateurs à deux étapes basé sur ses recherches sur les classificateurs constitutionnels. La société a déclaré que le classificateur a été soumis à une équipe rouge en interne et externe à l’aide de méthodes manuelles et automatisées, atteignant une robustesse comparable à celle des protections empêchant Claude d’aider à construire des armes biologiques, avec un taux de faux positifs inférieur à 0.1%. Le système fonctionne sur Claude Sonnet 5.5, Claude Opus 5 et 5.5, et Claude Fable 5 et 5.1, et est prévu pour de futurs modèles de pointe.

Troisièmement, Anthropic détecte les comptes utilisés pour la distillation et applique des limites d’utilisation ou des interdictions plus strictes. Depuis 2026-09-24, l’entreprise a repris la facturation des demandes bloquées par des mesures de sécurité avant que Claude ne réponde dans les zones avec des taux de faux positifs inférieurs à 0.1%, y compris la distillation.

Impact mesuré et limitations

Anthropic a déclaré qu’après l’introduction du classificateur à deux stades, le nombre de tokens de raisonnement extraits par les distillateurs sur sa plateforme a constamment diminué d’un facteur de 10 à 100 par rapport aux niveaux pré-implémentation. Certains jours, a rapporté la société, le volume de tokens de raisonnement extraits était trop faible pour être mesuré. L’entreprise a utilisé ces défenses pour interdire des dizaines de milliers de comptes associés à la distillation, souvent dans les deux heures suivant le début d’une campagne de distillation, selon la divulgation du 12 octobre.

Anthropic a reconnu que ces mesures impliquent des compromis. L’entreprise a déclaré dans 2026-02 qu’elle travaillait à rendre la distillation plus difficile sans affecter les utilisateurs légitimes, mais n’a pas encore pleinement atteint cet objectif. La pensée préservée a obligé certains développeurs à mettre à jour leurs intégrations, les classificateurs peuvent mal identifier ou bloquer des requêtes bénignes dans moins de 0.1% cas, et l’entreprise facture désormais les utilisateurs pour ces requêtes bloquées. Anthropic a également refusé des revenus significatifs et des milliers de milliards de tokens de trafic payant provenant des distillateurs, et a investi beaucoup de temps de recherche et d’équipe produit dans ce problème.

L’entreprise a déclaré qu’elle ne sait pas encore combien de temps dureront ces gains, s’attend à ce que la distillation reste un défi itératif, et n’a pas encore fait face à une tentative très sophistiquée et persistante pour contourner les nouvelles défenses.

Appel à l’action à l’échelle de l’industrie

Anthropic a déclaré que prévenir la distillation illicite nécessite le travail et l’adhésion de tous les développeurs de modèles de pointe, notant que ses efforts seraient compromis si les attaquants pouvaient facilement accéder à des modèles tout aussi performants, dépourvus de protections anti-distillation robustes. L’entreprise a également appelé les plateformes cloud tierces et les fournisseurs d’inférences à détecter et perturber rapidement les abus et à débloquer les comptes frauduleux, notant que les distillateurs distribuent le trafic entre l’API d’Anthropic, les plateformes tierces et d’autres fournisseurs. Anthropic a reconnu que les incitations de l’industrie favorisent souvent l’inaction car les défenses sont coûteuses et que les distillateurs sont des clients payants, et a déclaré avoir publié ses méthodes pour démontrer une alternative viable.

Source : www.anthropic.com.