Anthropic durcit l'accès à Claude : des développeurs doivent adapter leurs intégrations

Anthropic affirme avoir réduit d'environ 90 à 99 % la quantité de données que les « distilleurs » parviennent à extraire de Claude. Selon l'entreprise, ces résultats, encore préliminaires, tiennent à de nouvelles méthodes déployées ces derniers mois. Elle les détaille dans un billet publié sur son site.

La distillation consiste à générer des millions de réponses d'un modèle puissant pour entraîner un modèle plus petit à l'imiter. Anthropic la qualifie d'attaque quand elle est menée sans autorisation, souvent via des réseaux de faux comptes. Elle permet de s'approcher de l'état de l'art pour une fraction du temps et du coût de développement.

Pourquoi le raisonnement est la cible

Les distilleurs recherchent surtout les transcriptions du raisonnement de Claude, c'est-à-dire la réflexion qu'il écrit avant de répondre. Elles sont plus utiles que les réponses seules, car elles montrent comment le modèle arrive à sa conclusion.

La première parade a été de résumer ce raisonnement avant de l'afficher. Anthropic a testé l'effet sur un modèle préentraîné, évalué sur le test de code SWE-bench Verified. Entraîné sur les transcriptions complètes d'Opus 4.8, il obtient 80,4 %. Avec les seuls résumés, il tombe à 71,8 %, comme le rapporte aussi Forbes Europe.

Les attaquants sont alors passés à l'extraction active, en poussant Claude à révéler son raisonnement complet. Certaines demandes sont rudimentaires, par exemple lui faire répéter son raisonnement « caractère pour caractère ». Un laboratoire a testé 12 000 requêtes, chacune avec une ruse différente. Des réseaux de proxys ont ensuite contrôlé des centaines de milliers de comptes frauduleux. Un réseau identifié en février en gérait plus de 20 000 simultanément, avec de fausses identités et des moyens de paiement volés.

Trois leviers de défense

Anthropic décrit trois axes.

• Contrôler la circulation du raisonnement. Avec Claude Fable 5.1 et Claude Opus 5.5, la fonction « preserved thinking » interdit aux nouveaux comptes API, créés à partir du 31 août 2026, de modifier le contexte antérieur de Claude. Le raisonnement de ces modèles ne peut plus être lu par des modèles plus anciens, aux protections plus faibles. Avec Claude Sonnet 5.5, il n'est accessible qu'à l'organisation dont la requête l'a produit.
• Bloquer les tentatives. Un classifieur en deux étages, du type des « constitutional classifiers », a été testé par des équipes internes et externes. Ses protections seraient « à peu près aussi robustes que celles qui empêchent Claude d'aider à fabriquer des armes biologiques », avec moins de 0,1 % de faux positifs. Il couvre les modèles les plus capables, de Sonnet 5.5 à Fable 5.1. Il a déjà neutralisé des techniques nouvelles, comme la demande de traduire le raisonnement dans une autre langue.
• Compliquer les récidives. Les utilisateurs insistants subissent des limites d'usage plus strictes, puis un bannissement. Depuis le 24 septembre, les requêtes bloquées avant toute réponse sont de nouveau facturées, dans les domaines où le taux de faux positifs est inférieur à 0,1 %.

Le classifieur arrête désormais toutes les techniques décrites dans le rapport de septembre. Selon Anthropic, les tokens de raisonnement extraits sont depuis « constamment » 10 à 100 fois moins nombreux. Des dizaines de milliers de comptes ont été bannis, souvent moins de deux heures après le début d'une campagne. The Decoder reprend ces chiffres, sans les vérifier de façon indépendante. Ils reposent sur une estimation d'Anthropic, réalisée sur sa propre plateforme.

Zhipu, Moonshot et l'enjeu de sécurité

L'entreprise avance deux motifs d'inquiétude. D'abord, les modèles distillés approchent la frontière technologique sans garde-fous proportionnés, ce qui pose un risque en biologie et en cybersécurité. Elle cite Zhipu, qui aurait distillé les capacités offensives de modèles américains pour GLM-5.3. Zhipu aurait d'abord visé Claude Fable 5, puis se serait rabattu sur un ancien modèle Claude et sur celui d'un autre laboratoire, ses défenses cyber ayant dégradé ses attaques. Le centre américain CAISSI juge GLM-5.3 le modèle à poids ouverts le plus performant en cyber à ce jour. Anthropic assure que ses protections se contournent facilement et qu'il accepte de développer des exploits de bout en bout.

Ensuite, un risque de sécurité nationale. Anthropic affirme que les sociétés concernées intègrent ces capacités dans des systèmes militaires, de renseignement et de surveillance étrangers. Elle évoque des requêtes adressées aux modèles Kimi de Moonshot et transmises en secret à Claude. L'une, qu'elle attribue à un utilisateur probablement lié à l'armée populaire de libération chinoise, visait l'analyse d'images de vidéosurveillance d'un individu précis. Ces accusations émanent d'Anthropic seule.

Des limites reconnues

Anthropic admet que son objectif, ne pas gêner les utilisateurs légitimes, n'est pas totalement atteint. Certains développeurs ont dû modifier leurs intégrations, des requêtes bénignes sont parfois bloquées (moins de 0,1 % des cas) et facturées. Elle dit aussi avoir refusé des revenus significatifs et des milliers de milliards de tokens de trafic payant.

L'entreprise ignore combien de temps ces gains dureront. Elle s'attend à un jeu du chat et de la souris et n'a pas encore vu de tentative de contournement très sophistiquée et persistante. Elle appelle les autres développeurs et plateformes à agir, car les distilleurs répartissent leur trafic entre son API, des clouds tiers et d'autres fournisseurs d'inférence. Elle rappelle que les distilleurs restent des clients payants, ce qui n'incite pas à les écarter.