Washington a passé trois ans à verrouiller les semi-conducteurs. Il vient de découvrir que la vraie fuite passait peut-être par les API. Le 8 septembre, trois agences américaines ont accusé six labos chinois de « distillation industrielle » contre Claude, GPT, Gemini et Grok. Deux jours plus tard, Anthropic sortait un rapport avec des chiffres précis et une histoire de caméras de vidéosurveillance. Ça sent la nouvelle guerre froide, version machine learning.
Après les puces, les modèles
Le document s'appelle AA26-251A. Derrière ce code de dossier, un avis conjoint de la NSA, de la CISA et du FBI, publié le 8 septembre. Le titre est un pavé : « Entreprises d'IA basées en Chine menant des campagnes de distillation à l'échelle industrielle contre les entreprises d'IA américaines ». Six noms sont jetés en pâture : DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI.
Le ton est celui d'un réquisitoire. « Des milliards de tokens » auraient été extraits « à travers des millions d'échanges et de requêtes », depuis au moins fin 2024, « probablement avec la connaissance du gouvernement chinois ». La formulation est prudente, notez-le. « Probablement ». Les agences ne se mouillent pas sur la complicité d'État, elles laissent l'insinuation faire le travail.
Le vrai tournant n'est pas dans les chiffres, il est stratégique. Jusqu'ici, la politique américaine visait les composants nécessaires à l'entraînement : les processeurs, les machines de lithographie, les restrictions à l'export. Avec cette affaire, elle s'attaque à la propriété intellectuelle contenue dans les modèles eux-mêmes. On est passé du verrouillage des puces à la question du verrouillage des poids.
Un mot à géométrie variable
« Distillation ». Le terme est technique, presque anodin. En recherche, c'est une technique vieille comme le machine learning : un modèle « professeur » répond à un grand nombre de requêtes, un modèle « élève » s'entraîne sur ces réponses pour devenir plus petit, plus rapide, ou spécialisé. Parfaitement légal. L'avis ne criminalise d'ailleurs pas la technique, il distingue la recherche légitime des « activités de distillation agressives, malveillantes et ciblées ».
La nuance est essentielle, et le site francophone pandia.pro la formule bien : distiller ne signifie pas voler les poids internes de Claude ou GPT. Ces paramètres restent inaccessibles via une API. En revanche, des millions de réponses soigneusement sélectionnées peuvent transmettre une partie de la « manière de raisonner » d'un modèle. Ce qui est reproché, ce n'est pas la technique. C'est la violation des conditions d'utilisation et le contournement des restrictions géographiques.
Bref, le mot « distillation » est devenu un terrain de bataille sémantique. Les Américains le prononcent comme on dit « vol ». Le secrétaire au Trésor Scott Bessent l'a résumé sans détour : « Il existe un mot technique très pointu pour cela, distillation, mais vous et moi l'appellerions vol. »
Six labos, une armée de comptes
Le dispositif décrit par les agences a de quoi faire saliver un roman d'espionnage. Les requêtes seraient acheminées par des voies multiples pour échapper à la détection : API natives, clouds distants, agrégateurs tiers qui « obfusquent les métadonnées », et un marché gris de proxys baptisés « transfer stations », qui revendent l'accès aux modèles frontière à une fraction du prix officiel. Ajoutez l'achat en gros d'abonnements premium partagés entre équipes, et des tactiques avancées : extraction du raisonnement chaîne-de-pensée, basculement automatique entre voies en cas de blocage.
L'attribution est chirurgicale. DeepSeek aurait orchestré une campagne depuis fin 2024 pour générer les données d'entraînement de ses modèles R1 et V3, en ciblant Claude, GPT, Gemini et Grok. Moonshot aurait distillé pour Kimi-K3. Alibaba pour la famille Qwen. MiniMax pour son modèle M2, avec un détail savoureux : des « prompt injections » pour convaincre Claude Code qu'il était en réalité un produit MiniMax. StepFun et Z.AI complètent le tableau, ciblant les modèles les plus récents, GPT-5.5 et Claude Opus 4.8.
Les agences vont plus loin en contestant un chiffre devenu légendaire : le coût d'entraînement de 5,6 millions de dollars affiché par DeepSeek. Trompeur, selon elles, car il exclut le coût des données obtenues par distillation. Sous-entendu : le « miracle » chinois du modèle à bas coût serait en partie une facture payée par les labos américains.
Votre code est peut-être passé par Claude
L'avis général devient concret avec le rapport d'Anthropic publié le 10 septembre. L'entreprise, juge et partie puisque ses API sont visées, détaille des cas qui donnent une autre dimension à l'affaire.
Moonshot aurait relayé, en dix jours, près de 300 000 requêtes clients vers Claude. Les utilisateurs croyaient parler à Kimi. Au total, Anthropic compte plus de 23 millions d'échanges attribuables à Moonshot entre mai et juillet 2026, via un réseau de 5 380 comptes frauduleux. DeepSeek, lui, inspectait les requêtes entrantes pour repérer les utilisateurs faisant tourner ses modèles via Claude Code ou des outils similaires, puis relayait leurs demandes vers Claude Opus : 12,1 millions d'échanges en 14 jours, en juillet.
Le détail qui fait froid dans le dos est raconté par Sovereign Magazine. Les données relayées comprenaient des identifiants vivants et des données sensibles. Un utilisateur « probablement affilié à l'Armée populaire de libération » aurait chargé dans Kimi des données de vidéosurveillance sur un individu suivi, caméras de Chengdu, dont certaines devant des installations militaires. Un autre ingénieur aurait exposé du code interne et des identifiants d'une grande entreprise d'État. Les clients ignoraient que leurs requêtes partaient vers Claude.
Traduction pour un DSI français : si votre équipe utilise un modèle chinois, ou un routeur tiers qui agrège plusieurs fournisseurs, vos requêtes, votre code, vos identifiants ont pu transiter ailleurs sans que personne vous demande votre avis. Ce n'est plus de la géopolitique de salon.
Le fait que ces relais passent par des « transfer stations » rebaptisées proxy n'arrange rien. Personne ne signe pour que son code finisse chez un concurrent. Les fournisseurs d'API, eux, sont déjà invités à déployer de la détection d'anomalies et à altérer subtilement leurs réponses pour « atténuer les gains » des distillateurs. Autrement dit : empoisonner le puits.
Pékin répond, Washington menace
La réponse chinoise est venue vite. Le ministère du Commerce a qualifié la distillation de sujet « technique et commercial normal », et jugé les accusations « sans fondement », selon Le Figaro. Pékin renvoie la balle : Washington utiliserait la sécurité nationale pour contenir ses champions technologiques. Classique.
Côté américain, on monte la pression. Le secrétaire au Trésor Scott Bessent s'est dit ouvert à sanctionner les labos chinois pour « vol de propriété intellectuelle ». Et l'affaire s'inscrit dans une séquence plus large, du rapport de février 2026 d'Anthropic aux déclarations de Michael Kratsios sur la « distillation » du modèle Fable.
Il faut garder la tête froide. Washington s'appuie sur du renseignement, mais n'a pas rendu publiques les données techniques permettant de mesurer les volumes ou de démontrer une reproduction intégrale. Le rapport Anthropic, le plus détaillé, vient d'un acteur qui vend ces API et protège son investissement. Le « probablement avec la connaissance du gouvernement chinois » des agences est une formulation d'avocat, pas une preuve.
Verdict
L'histoire est plus intéressante que le réquisitoire. Peu importe qui a distillé qui : la distillation est une pratique aussi vieille que l'open source, et les accusations américaines visent moins à démontrer un délit qu'à délégitimer un argument. Celui des modèles « ouverts » chinois, qui ont séduit les développeurs occidentaux par leur prix et leur licence.
Ce qui est réel, et documenté, c'est le mécanisme de relais : des utilisateurs de Kimi et DeepSeek dont les requêtes ont transité vers Claude sans consentement. Ce qui est réel, c'est que la frontière entre « modèle ouvert » et « données siphonnées » est devenue poreuse, au point que même les routeurs tiers que vous utilisez pour économiser des tokens deviennent des questions de sécurité.
Après les puces, voilà les modèles dans le viseur. La suite logique, ce sont les sanctions, le verrouillage des API, et une fragmentation du marché en deux blocs. Pour un écosystème open source qui vit de la distillation légitime, c'est le genre de débat où l'on se retrouve pris entre deux feux. Et franchement, c'est pas demain que ça se calme.
Sources
- CISA — Avis AA26-251A (NSA/CISA/FBI), source primaire
- The Register — Les entreprises chinoises et la distillation des modèles américains
- TechCrunch — Anthropic détaille les campagnes de distillation
- pandia.pro — Analyse FR : distillation ≠ vol de poids
- Sovereign Magazine — 5 380 comptes, cas CCTV de Chengdu, identifiants exposés
- Le Figaro — La Chine juge les accusations « sans fondement »
- NBC News — Rappel des accusations antérieures contre DeepSeek
- Unite.AI — Reprise détaillée de l'avis et des modèles ciblés
✦ Idée d'illustration : une carte géopolitique stylisée en deux blocs, rouge et bleu, séparés par un océan de pixels. Au centre, un tuyau de données lumineux qui siphonne des tokens d'un côté vers l'autre, façon robinet ouvert sur un réservoir. Style néobrutaliste, aplats de couleurs saturées, textures granuleuses, typographie imposante façon affiche de propagande revisitée. Ambiance de guerre froide numérique, sans aucun logo d'entreprise.
