Dans une lettre adressée au Comité bancaire du Sénat américain, Anthropic accuse Alibaba et l'opérateur associé à son laboratoire d'IA Qwen d'avoir utilisé près de 25 000 comptes frauduleux pour extraire massivement les capacités du modèle Claude. Selon la lettre vue par Reuters et d'autres médias, cette attaque, qu'Anthropic qualifie de « plus importante attaque de distillation de modèle connue », s'est produite entre le 22 avril et le 5 juin 2026, impliquant plus de 28,8 millions d'interactions avec Claude. Elle est sensible non seulement par son ampleur, mais aussi parce qu'elle s'est produite dans la même fenêtre temporelle où le gouvernement américain renforçait continuellement les contrôles à l'exportation de l'IA et où le Pentagone a placé Alibaba sur sa liste des « entreprises militaires chinoises ».
La « distillation de modèle » ne consiste pas à voler directement les poids ou le code source d'un modèle, mais à utiliser les résultats de sortie d'un modèle fort pour entraîner un autre modèle, permettant à ce dernier de reproduire rapidement certaines capacités. Dans la recherche et le développement en IA, c'est une technique courante, mais si elle est menée via des comptes frauduleux, en violation des conditions de service ou en contournant les restrictions d'accès, elle est considérée comme une extraction illégale de propriété intellectuelle. Pour les décideurs politiques américains, le problème plus épineux est que, même sans obtenir le modèle le plus avancé lui-même, des appels à grande échelle peuvent aider les concurrents à acquérir des capacités similaires en ingénierie logicielle, en raisonnement d'agents, etc.
42 jours, 28,8 millions d'interactions, Anthropic pointe Alibaba et Qwen du doigt
Datée du 10 juin et adressée au président du Comité bancaire du Sénat américain, Tim Scott, et à la membre sénior Elizabeth Warren, la lettre, dont le contenu a été vu par plusieurs médias, décrit cette opération comme la plus importante attaque de distillation connue contre l'entreprise.
Les chiffres clés sont clairs. Du 22 avril au 5 juin, les attaquants ont réalisé plus de 28,8 millions d'interactions avec Claude via environ 25 000 comptes frauduleux. Anthropic estime que l'opérateur derrière ces comptes est lié à Alibaba et Alibaba Qwen, dans le but d'accélérer l'obtention par la Chine des capacités avancées des modèles d'Anthropic.
Les préoccupations exprimées dans la lettre ne se limitent pas à la reproduction de capacités de questions-réponses ordinaires, mais concernent plutôt la fuite de capacités plus pointues des modèles de pointe dans l'ingénierie logicielle, l'automatisation des tâches et le raisonnement d'agents. Une fois ces sorties collectées systématiquement, elles peuvent devenir des données pour entraîner d'autres modèles.
La nuance est ici également importante. Anthropic utilise l'expression « opérateur lié à Alibaba et Alibaba Qwen », ce qui n'équivaut pas à avoir confirmé qu'Alibaba a directement organisé l'attaque, ni ne prouve que les modèles concernés ont réussi à reproduire les capacités avancées de Claude. Au moment de la publication des articles, Alibaba n'a pas répondu à ces accusations de distillation. Concernant son inscription sur la liste des « entreprises militaires chinoises » du Pentagone, Alibaba a engagé une action en justice, affirmant que cette désignation est « sans fondement factuel ou juridique ».
Pourquoi une attaque par distillation est-elle plus sensible qu'un simple scraping ?
Le scraping de données ordinaire fait généralement référence à la collecte de pages web, de textes ou de documents publics. L'attaque par distillation cible la capacité de sortie du modèle lui-même.
Les attaquants peuvent poser des questions de manière répétée à un modèle puissant, sauvegarder les réponses, les processus de raisonnement, les résultats de génération de code ou les plans d'exécution de tâches, puis les utiliser pour entraîner leur propre modèle. Ainsi, même sans accéder aux poids sous-jacents, ils peuvent apprendre les modèles de comportement du modèle fort sur certaines tâches.
C'est précisément ce qui inquiète de plus en plus les entreprises d'IA et les autorités de régulation. Les interfaces d'accès aux modèles avancés sont à l'origine des produits commerciaux et des canaux de service externes. Mais lorsque le volume d'accès atteint des dizaines de millions et que les comptes sont identifiés comme frauduleux, l'interface du produit peut devenir un canal d'extraction de capacités.
Anthropic avait déjà signalé publiquement des incidents similaires. En février 2026, l'entreprise a déclaré avoir découvert des actions analogues à plus petite échelle de la part de DeepSeek, Moonshot AI et MiniMax, avec plus de 150 000 interactions liées à DeepSeek, plus de 3,4 millions pour Moonshot AI et plus de 13 millions pour MiniMax. Comparé à ces cas, le volume de 28,8 millions d'interactions pointant vers un opérateur lié à Alibaba et Qwen est nettement plus important.
En écrivant au Congrès, Anthropic cherche également à pousser le gouvernement américain à partager les renseignements sur les menaces avec les entreprises privées d'IA. Selon elle, l'intensité et la complexité de telles attaques augmentent, nécessitant une coordination et une réaction plus rapides.
Les accusations coïncident avec le renforcement de la politique américaine, Anthropic elle-même est restreinte
Cette accusation ne surgit pas de manière isolée.
En avril de cette année, la Maison Blanche avait accusé la Chine de voler la propriété intellectuelle des laboratoires américains d'IA à une « échelle industrielle ». Début juin, le Pentagone a mis à jour la liste 1260H, inscrivant Alibaba sur la liste des « entreprises militaires chinoises ». Alibaba conteste cette désignation, mais cette action a resserré ses liens avec les examens de sécurité nationale américains.
Ensuite, le 12 juin, le département américain du Commerce a imposé, pour des raisons de sécurité nationale, des restrictions à l'exportation des derniers modèles Mythos et Fable d'Anthropic. Les États-Unis craignent que ces modèles avancés ne soient utilisés par les départements militaires ou de renseignement de pays comme la Chine.
Pour Anthropic, cette restriction a des conséquences directes. En raison de la difficulté à filtrer efficacement l'identité des utilisateurs mondiaux et l'origine des accès, l'entreprise a dû imposer des restrictions d'accès plus larges à ses modèles concernés, au lieu de simplement bloquer par région de manière précise.
Ceci crée un contraste. D'un côté, Anthropic demande au gouvernement d'aider à lutter contre les attaques externes par distillation ; de l'autre, elle commence à subir les restrictions d'ouverture de ses produits dues à des contrôles à l'exportation plus stricts. Les modèles d'IA ne sont plus seulement des services logiciels ; ils sont désormais intégrés dans un cadre de contrôle de sécurité similaire à celui des puces avancées.
L'attribution et les limites de la riposte restent les plus grandes incertitudes
Cet incident est susceptible, à court terme, d'inciter le Congrès américain et les autorités de régulation à poursuivre les discussions sur le contrôle d'accès aux modèles d'IA. Comparé aux contrôles à l'exportation traditionnels, la gestion des interfaces de modèle est plus difficile. Les utilisateurs peuvent s'inscrire de l'étranger, revendre des droits d'accès ou diviser le volume d'appels via de nombreux petits comptes.
Mais cet événement reste au stade d'une accusation unilatérale d'Anthropic. L'intention de l'attaque, l'identité réelle de l'opérateur derrière les comptes et le degré de fuite des capacités n'ont pas encore fait l'objet d'une décision judiciaire. La question de savoir si Alibaba répondra, comment il expliquera l'identité de l'opérateur lié à Qwen, et s'il existe des tiers opérant en utilisant l'écosystème ou le nom d'Alibaba, reste sans réponse.
L'impact plus réaliste est que les États-Unis pourraient exiger davantage des entreprises d'IA qu'elles renforcent la vérification des comptes, la surveillance des appels anormaux et le partage des renseignements sur les menaces entre entreprises. Pour Anthropic, OpenAI, Google et autres entreprises de modèles de pointe, cela augmentera les coûts de conformité et de sécurité. Pour les entreprises chinoises d'IA, la difficulté d'accéder aux services de modèles avancés étrangers pourrait continuer à augmenter.
Cette accusation n'a pas encore abouti à une conclusion judiciaire, mais elle a rendu un problème plus concret : au-delà des poids des modèles, les sorties des modèles elles-mêmes deviennent un actif contrôlé et disputé dans la concurrence sino-américaine en matière d'IA.
