Le 12 octobre 2026, Anthropic a expliqué dans un article de son blog de recherche officiel qu'un ensemble de nouvelles défenses déployées ces derniers mois produit ses effets : selon les estimations de sa propre surveillance de plateforme, la quantité de données récoltées par les distillateurs a chuté d'environ 90 à 99 %, et le nombre de tokens de raisonnement extraits est désormais 10 à 100 fois plus faible qu'auparavant — certains jours, trop faible pour être mesuré.
Pourquoi la défense tourne autour des traces de raisonnement
Dans ce type d'attaque, la distillation n'est pas un apprentissage professeur-élève ordinaire. Les attaquants interrogent un modèle plus fort de façon répétée via un grand nombre de comptes frauduleux et entraînent leur propre modèle sur ses réponses. Le matériau le plus précieux est le raisonnement que le modèle produit avant de répondre : les réponses finales seules n'apprennent pas à un modèle élève comment raisonner, alors que les traces de raisonnement rendent l'imitation bien plus rapide. La première mesure d'Anthropic consistait à faire résumer son raisonnement par Claude avant de l'afficher ; dans ses tests, un modèle entraîné uniquement sur des traces résumées a atteint 71,8 % sur SWE-bench Verified, nettement sous les 80,4 % obtenus avec les traces complètes. Les attaquants sont alors passés à l'extraction active, avec des formulations conçues pour faire révéler au modèle son raisonnement complet, réparties à grande échelle sur des réseaux proxy de comptes frauduleux.
Les trois couches ajoutées cette fois
La nouvelle défense agit sur trois plans. D'abord, contrôler où le raisonnement peut aller : la mesure de « preserved thinking » introduite avec Fable 5.1 et Opus 5.5 empêche les comptes API créés le 31 août de cette année ou après de modifier le contexte antérieur de Claude, et avec Sonnet 5.5, les traces de raisonnement ne sont lisibles que par l'organisation dont la requête les a produites. Ensuite, bloquer les tentatives d'extraction grâce à un classifieur en deux étapes inspiré des travaux de l'entreprise sur les classifieurs constitutionnels ; Anthropic affirme qu'après des tests d'attaque internes et externes, ces garde-fous sont à peu près aussi robustes que ceux qui empêchent Claude d'aider à fabriquer des armes biologiques, avec un taux de faux positifs inférieur à 0,1 %, et qu'ils tournent désormais sur ses modèles publics les plus capables. Enfin, rendre les tentatives répétées coûteuses et lentes : les comptes qui persistent à extraire du raisonnement sont limités puis bannis — l'entreprise dit avoir banni des dizaines de milliers de comptes liés à la distillation, souvent dans les deux heures suivant le début d'une campagne — et depuis le 24 septembre, les requêtes bloquées par ces garde-fous sont à nouveau facturées.
Les coûts sont affichés, et le jeu du chat et de la souris continue
Anthropic cite Zhipu en exemple, affirmant que l'entreprise a distillé les capacités cyber de modèles américains de premier plan pendant le développement de GLM-5.3, en visant d'abord Claude Fable 5, puis en se rabattant sur un modèle Claude plus ancien et sur le modèle d'un autre laboratoire après avoir constaté que ses garde-fous cyber dégradaient les attaques. L'article ne contient pas de réponse de Zhipu ; cette partie repose donc, pour l'instant, sur la seule version d'Anthropic. Anthropic reconnaît aussi les coûts : l'entreprise a refusé des revenus non négligeables et des milliers de milliards de tokens de trafic payant, certains développeurs légitimes ont dû mettre à jour leurs intégrations, les faux positifs, bien qu'inférieurs à 0,1 %, existent toujours et les requêtes bloquées sont quand même facturées — et elle dit franchement n'avoir pas encore affronté de tentative de contournement vraiment sophistiquée et persistante. Pour les autres développeurs de modèles, la pression réelle de cet article est simple : si les garde-fous d'un modèle concurrent sont visiblement plus faibles, les attaquants contourneront les plus forts, et la défense d'un seul acteur peut être annulée par le maillon faible de l'industrie.
