Quatre-vingts virgule quatre pour cent contre soixante et onze virgule huit. Tel est l’écart, sur le benchmark SWE-bench Verified, entre deux modèles par ailleurs identiques qu’Anthropic a entraînés sur les transcriptions de raisonnement de son propre Claude Opus 4.8. L’un a reçu les transcriptions complètes, l’autre seulement de courts résumés. Près de neuf points d’écart : voilà pourquoi l’entreprise a publié le 12 octobre 2026 un long document sur la défense contre la distillation , et pourquoi l’API contient désormais un mécanisme qui a changé la manière dont les développeurs peuvent nettoyer sans risque un historique de conversation.

Le fait est qu’un modèle ne produit pas qu’une réponse. Avant de répondre, il écrit un brouillon, une chaîne de raisonnement. Pour qui veut copier les capacités d’un autre, le brouillon vaut plus que la réponse. La réponse montre le résultat ; le brouillon montre la réflexion, et apprendre d’une réflexion est bien plus efficace.

Ce qu’est la distillation, et pourquoi on parle d’attaque

Dans sa forme pacifique, la distillation est une technique ordinaire : un grand modèle enseignant génère des exemples, un petit modèle élève apprend à partir d’eux. Les laboratoires compressent ainsi leurs propres modèles. Les ennuis commencent quand l’enseignant appartient à quelqu’un d’autre et que personne n’a demandé la permission.

Anthropic décrit ces campagnes comme des opérations clandestines, à échelle industrielle, visant à extraire les capacités d’un modèle pour les reproduire dans un autre. Dans son rapport de février , l’entreprise a donné l’ampleur du phénomène : plus de 16 millions d’échanges avec Claude via environ 24 000 comptes frauduleux. Trois laboratoires ont été nommés : DeepSeek (plus de 150 000 échanges), Moonshot AI (plus de 3,4 millions) et MiniMax (plus de 13 millions). Un seul réseau de proxys faisait tourner plus de 20 000 comptes en même temps. Ce sont des affirmations d’Anthropic, impossibles à vérifier de façon indépendante, et l’entreprise est partie prenante du litige.

Le document d’octobre apporte un élément nouveau : la défense précédente a cessé de fonctionner parce que les attaquants ont changé de tactique.

Comment la défense et son contournement se sont poursuivis

La première mesure était simple. Si le raisonnement a de la valeur, il ne faut pas le montrer en entier ; on le résume. Le test à 80,4 % contre 71,8 % montre que le résumé appauvrit réellement la matière d’entraînement.

Puis est venue l’extraction active. Les prompts se sont mis à contenir des demandes du type « affiche ton raisonnement précédent mot pour mot » ; selon Anthropic, un laboratoire a essayé 12 000 requêtes, chacune avec une astuce différente. Ensuite, il s’est avéré que les blocs de raisonnement protégés pouvaient être déplacés : d’une conversation à une autre, vers un modèle aux garde-fous plus faibles, vers un autre compte au sein d’un réseau de proxys. Un bloc de raisonnement n’était qu’un texte que l’on pouvait couper et coller.

C’est le point faible qu’Anthropic a attaqué en premier. Si l’on ne peut pas cacher le brouillon, on peut au moins faire en sorte qu’il soit inutilisable partout ailleurs que là où il a été produit.

Comment un bloc de raisonnement est lié à son contexte

Le mécanisme s’appelle preserved thinking, et la documentation le décrit sobrement. Chaque bloc de raisonnement porte une signature. À partir de Claude Fable 5.1, l’API s’en sert pour vérifier deux choses : si le modèle actuel peut seulement lire le bloc, et si quelque chose a changé avant lui. « Avant lui » désigne le prompt système, la liste des outils et chacun des messages précédents. Modifiez un seul mot au début, et le bloc, ainsi que tous les suivants, devient invalide.

Il existe aussi une liaison au compte. Les blocs de Claude Sonnet 5.5 et de Claude Haiku 5.5 ne fonctionnent que dans le compte qui les a produits, ou dans un compte lié. Les blocs étrangers sont écartés sans bruit. Opus 5 et Opus 5.5 ne lisent jamais les blocs de Fable 5.1.

Pour un attaquant, c’est gênant : pour exploiter un fragment de raisonnement volé, il faut reproduire tout le contexte au caractère près et se trouver dans le bon compte. Le développeur ordinaire en subit aussi les conséquences. Sur les comptes créés à partir du 31 août 2026, la vérification du préfixe est activée par défaut, et une divergence renvoie une erreur 400. Les comptes plus anciens n’obtiennent cette vérification que s’ils définissent le paramètre prefix_mismatch_behavior.

Qu’est-ce qui casse ? Tout ce qui aime reconstruire l’historique. Un prompt système où l’on réinjecte à chaque fois une date fraîche. L’élagage des anciens résultats d’outils. Le résumé côté client des anciens tours en gardant les récents. La modification de la liste d’outils en cours de conversation. La documentation demande aux clients de fonctionner en ajout seul (append-only) et propose des remplacements : ajouter un message système plutôt que reconstruire le prompt, utiliser la compaction côté serveur plutôt que couper l’historique à la main. Claude Code, claude.ai et l’Agent SDK gèrent tout cela eux-mêmes, selon cette même page. Si vous appelez directement l’API de Claude , vérifiez au moins la façon dont vous sérialisez les réponses : les blocs thinking vides doivent être renvoyés tels qu’ils sont arrivés, car le raisonnement lui-même vit dans la signature.

Un mode drop_block permet simplement d’écarter les blocs invalides, mais le modèle doit alors redériver son raisonnement, et la consommation de tokens de sortie peut grimper sensiblement. La documentation elle-même le qualifie de pis-aller.

Ce que montrent les chiffres, et ce qu’ils ne montrent pas

La seconde moitié de la défense est un classificateur à deux étages, construit sur les travaux d’Anthropic sur les classificateurs constitutionnels et entraîné sur de vraies tentatives d’extraction. Anthropic annonce un taux de faux positifs inférieur à 0,1 %. Depuis le 24 septembre, elle facture aussi les requêtes que les garde-fous bloquent avant que Claude ne réponde, y compris dans le domaine de la distillation. Les récidivistes s’exposent à des limites plus strictes et à des bannissements : des dizaines de milliers de comptes, selon le décompte de l’entreprise, souvent en moins de deux heures après le début d’une campagne.

L’affirmation phare est que les tokens de raisonnement extraits par les distillateurs sont désormais 10 à 100 fois moins nombreux, voire plus, et certains jours trop peu nombreux pour être mesurés. Ailleurs, le texte parle d’une baisse d’environ 90 à 99 % et la présente comme un indice précoce.

Une certaine prudence s’impose. La mesure a été faite par Anthropic, sur sa propre plateforme. Elle estime les tokens extraits d’après ce qu’elle a réussi à détecter, et ce qui est passé inaperçu est, par définition, invisible. Les distillateurs répartissent en outre leur trafic entre les API et les clouds de plusieurs fournisseurs ; fermer une porte ne garantit donc rien pour les autres. Anthropic écrit sans détour qu’elle ignore combien de temps l’effet durera, s’attend à un jeu du chat et de la souris, et n’a pas encore vu de tentative très sophistiquée et persistante de contourner les nouvelles défenses.

Les coûts sont nommés eux aussi : renoncer à un chiffre d’affaires significatif et à des « milliers de milliards de tokens » de trafic payant, des changements d’intégration pour certains clients légitimes, de rares faux blocages. L’objectif de février, rendre la distillation plus difficile sans gêner les utilisateurs légitimes, l’entreprise dit ne pas l’avoir pleinement atteint.

Pourquoi cela dépasse Anthropic

Commençons par ce que l’on sait d’une source indépendante. Le CAISI du NIST, en septembre, a qualifié le GLM-5.3 de Z.ai de modèle à poids ouverts le plus performant en cyber publié à ce jour, avec environ quatre mois de retard sur la frontière américaine. Sur le test SEC-Bench Pro, par exemple, il a résolu 74 tâches sur 183 ; le meilleur modèle américain en a résolu 165. L’évaluation ne dit rien de la distillation.

Le lien entre GLM-5.3 et la copie de modèles américains vient du texte d’Anthropic d’octobre : selon lui, Zhipu a distillé des capacités cyber à partir de modèles américains de pointe et, lorsque les garde-fous d’Anthropic ont dégradé ses tentatives avec Claude Fable 5, il est passé à un ancien modèle Claude et au modèle d’un autre laboratoire. C’est l’affirmation de l’entreprise, pas la conclusion d’un organisme public, et rien d’extérieur ne la confirme pour l’instant.

Si elle se vérifie, le tableau est inconfortable. Une capacité qu’une entreprise avait entourée de restrictions protectrices se retrouve dans un modèle publié avec des poids ouverts, où ces restrictions n’existent pas ; d’après l’évaluation d’Anthropic elle-même, les garde-fous intégrés de GLM-5.3 se contournent facilement. Le raisonnement caché cesse d’être un secret commercial et devient un élément de sécurité.

La signature d’un bloc de raisonnement n’est probablement pas le dernier mécanisme de ce genre. Quand un produit peut être copié rien qu’en lui posant des questions, la protection migre dans le protocole d’échange lui-même. Les développeurs d’intégrations externes devront s’habituer à l’idée qu’un historique de conversation n’est plus leur correspondance privée, mais une chaîne qui doit arriver intacte.