Les agences américaines accusent six entreprises chinoises d’extraire des modèles à l’échelle industrielle

Des rapports publiés le 9 septembre 2026 détaillent une évaluation conjointe du gouvernement américain, qui accuse six entreprises chinoises spécialisées dans l’intelligence artificielle d’extraire systématiquement les capacités de modèles américains de pointe.

La CISA, la NSA et le FBI ont cité DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI. Selon l’avis des autorités, ces entreprises ont collecté des milliards de tokens au moyen de millions de requêtes adressées à des modèles exploités par Anthropic, OpenAI, Google et xAI.

La date de publication de l’avis n’est pas totalement cohérente selon les sources. Deux publications ont daté leur couverture du 9 septembre, tandis qu’une autre affirme que les agences l’ont publié le 8 septembre. Le document officiel de la CISA disponible ici n’affiche aucune date.

Les activités présumées ont commencé au moins fin 2024. Les agences américaines les décrivent comme une campagne persistante visant la sécurité des modèles et la propriété intellectuelle, et non comme une intrusion conventionnelle dans les réseaux d’entreprises.

La distillation s’est transformée en opération d’extraction

La distillation des connaissances est une méthode courante en machine learning. Un modèle « étudiant » de plus petite taille apprend à partir des réponses produites par un modèle « enseignant » plus puissant, ce qui permet aux développeurs de transférer des comportements utiles sans reproduire l’intégralité de l’architecture du modèle enseignant.

Les agences estiment que les campagnes signalées ont basculé dans l’extraction abusive en raison de leur ampleur, de leur objectif et de leurs méthodes d’accès. Les opérateurs présumés auraient utilisé des accès non autorisés aux API, le partage de comptes, des abonnements frauduleux, des services proxy, la génération automatisée de prompts ainsi que des techniques destinées à contourner les restrictions géographiques et les mécanismes de protection des fournisseurs.

Les requêtes étaient réparties entre les API natives, les plateformes cloud, des agrégateurs tiers, des proxies du marché gris et des services décrits comme des « stations de transfert ». Cette dispersion rendait chaque flux d’activité moins visible et empêchait un fournisseur donné d’avoir une vision complète de l’opération.

Des essaims de comptes auraient soumis des prompts identiques ou très proches des milliers, voire des millions de fois. Les opérateurs collectaient ensuite les réponses pour constituer des données d’entraînement synthétiques, en évaluaient la qualité, puis les utilisaient pour le supervised fine-tuning, le reinforcement learning ou l’affinement de jeux de données.

Certains prompts visaient des informations restreintes relevant du chain-of-thought, plutôt que des réponses ordinaires. DeepSeek aurait notamment tenté d’amener des modèles à reconstituer et à expliquer leur raisonnement interne étape par étape. MiniMax aurait, selon les informations disponibles, utilisé une injection de prompt contre Claude Code afin de convaincre le système qu’il était un produit de MiniMax et de modifier potentiellement les informations qu’il divulguait.

Des opérations plus avancées auraient cherché à déterminer si les fournisseurs avaient volontairement dégradé les réponses. Les opérateurs pouvaient changer de compte, de modèle ou de voie d’accès après un blocage et identifier automatiquement les systèmes nouvellement commercialisés.

Six entreprises, des modèles et des objectifs différents

La campagne présumée de DeepSeek aurait commencé au moins fin 2024 et se serait poursuivie de fin 2024 à la mi-2025. Les données extraites auraient servi à produire des données d’entraînement synthétiques pour ses modèles R1 et V3 ; R1 a été lancé au début de 2025.

Les cibles citées comprenaient Claude 3.7, Claude Sonnet 4 et 4.5, Claude Opus 4.1, Gemini 2, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT-4, GPT-4o, GPT-4 Mini, GPT-4 Nano, GPT-5, Grok 3 Mini et Grok 4. Les capacités recherchées allaient de la spécialisation juridique et des comportements agentiques à la rédaction, à la réponse aux questions, aux tâches pilotées par API et au supervised fine-tuning.

L’avis conteste également le coût d’entraînement de 5,6 millions de dollars cité publiquement par DeepSeek. Les agences estiment que ce montant exclut la valeur économique et le coût d’acquisition des données obtenues grâce à une distillation intensive.

Moonshot AI aurait lancé une vaste campagne d’extraction au moins à la mi-2025. L’entreprise aurait utilisé des données de Claude Fable 5 pour Kimi-K3 et des résultats de GPT-4o pour Kimi-K2, avec pour objectifs le supervised fine-tuning, le reinforcement learning, les mathématiques et l’ingénierie logicielle.

La liste de ses modèles sources comprend Claude Opus 4.1 ; Claude Sonnet 3.7, 4, 4.5 et 4.5 Thinking ; Claude Fable 5 ; GPT-oss-20b ; GPT-3 ; GPT-4o et GPT-4o mini ; GPT-5, GPT-5 Codex et GPT-5 Pro ; Gemini 2.5 Flash, Flash-Image et Pro ; Nano Banana ; ainsi que Grok Code Fast-1. Moonshot aurait redirigé son infrastructure de collecte vers un nouveau modèle Claude dans les 24 heures suivant son lancement, ce qui laisse penser que l’entreprise surveillait automatiquement les sorties de modèles.

L’activité attribuée à Alibaba aurait eu lieu fin 2025 et visait à améliorer sa famille Qwen. Les cibles citées étaient Claude 4, Claude Opus, Claude Sonnet et GPT-5. La collecte portait sur le développement logiciel, les échanges avec le service client, les personnages virtuels, les jeux de données d’évaluation, les workflows agentiques, le reinforcement learning et le supervised fine-tuning.

MiniMax aurait ciblé Claude Code, Claude Sonnet 4, Claude Opus 4.5, Gemini 1, Gemini 2.5 Pro, Gemini 3 Pro et GPT-5 fin 2025. Le bénéficiaire visé était son modèle M2. Les fonctions recherchées comprenaient la revue de code, l’ingénierie logicielle, le fonctionnement agentique, le raisonnement chain-of-thought, le reinforcement learning et l’affinement de jeux de données.

L’activité de StepFun se situerait entre la fin de 2025 et le début de 2026. L’entreprise aurait utilisé Claude Opus 4.1 et 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex, GPT-5.1 Codex Mini et GPT-5.2 pour améliorer les fonctions de codage et les capacités agentiques de Step 4. Son opération aurait regroupé des comptes afin de contourner les limites de débit et d’augmenter les dépenses quotidiennes.

À la mi-2026, Z.AI aurait extrait des milliards de tokens de GPT-5.5 et de Claude Opus 4.8 afin de développer des capacités de chain-of-thought.

L’impact sur la sécurité est stratégique et ne peut pas être corrigé par un patch

Les agences évaluent cette activité comme une menace stratégique et économique élevée à critique. Elle ne repose pas sur une vulnérabilité logicielle rendue publique et ne s’accompagne d’aucun CVE, score CVSS, version logicielle concernée ou correctif.

La cible est plutôt la valeur accumulée au sein des modèles de pointe : schémas de raisonnement, comportements spécialisés, maîtrise du code, expertise sectorielle, workflows agentiques et résultats utilisables pour constituer des jeux de données d’entraînement.

Une extraction réussie peut réduire de plusieurs années le temps de développement en diminuant les besoins d’expérimentation, de calcul et les coûts de recherche. Des concurrents peuvent ainsi reproduire des capacités coûteuses sans supporter l’intégralité des dépenses nécessaires à leur découverte et à leur entraînement.

Les premières victimes sont les fournisseurs de modèles et leurs investisseurs, mais les conséquences défensives peuvent également toucher des clients légitimes. Le renforcement des contrôles d’identité, les restrictions d’utilisation et la dégradation volontaire des performances des modèles peuvent générer des faux positifs pour des équipes de recherche ou des entreprises dont l’utilisation des API est exceptionnellement intensive.

Les fournisseurs doivent corréler comptes, prompts et infrastructures

Aucun signal isolé ne suffit à prouver une distillation malveillante. Les agences recommandent de combiner les données de télémétrie relatives aux comptes, aux réseaux, aux comportements et aux prompts.

Les fournisseurs devraient examiner les comptes nouvellement créés qui consomment immédiatement les quotas maximaux, fonctionnent en continu sans périodes d’inactivité humaine ou se connectent depuis de nombreuses adresses IP et avec de nombreux user-agents. Les abonnements d’entreprise partagés dont le débit est incompatible avec l’usage déclaré méritent également un examen.

Parmi les autres indicateurs figurent la répétition de prompts chez plusieurs fournisseurs, les grands ensembles de questions apparentées, la création distribuée de comptes, la rotation automatisée des comptes et les flux qui changent de service cloud ou de route proxy immédiatement après une mesure de contrôle. Les requêtes exigeant explicitement un raisonnement caché constituent un autre signal utile.

La détection doit fonctionner au-delà des frontières organisationnelles. Une campagne répartie entre plusieurs API et agrégateurs peut ressembler à une utilisation intensive mais ordinaire pour chaque service pris isolément. Les fournisseurs, les opérateurs cloud, les intermédiaires d’API et les gouvernements doivent donc échanger des informations sur les schémas de comptes, les infrastructures proxy, les regroupements de prompts, les changements de modèle et les indices de tests automatisés de la qualité des réponses.

Le comportement attribué à Moonshot — le passage à un modèle nouvellement lancé dans les 24 heures — offre une autre possibilité de détection. Une migration rapide combinée à des requêtes volumineuses et standardisées est plus révélatrice que l’une ou l’autre de ces caractéristiques prise isolément.

Les mesures défensives comportent leurs propres risques

Pour les comptes considérés comme malveillants, les agences proposent de réduire discrètement la valeur des réponses pour l’entraînement. Les mesures possibles comprennent la limitation de la profondeur du raisonnement, l’introduction d’un bruit contrôlé ou de variations stylistiques, la désactivation de certaines capacités ou le routage des utilisateurs suspects vers un modèle moins performant.

Elles déconseillent expressément d’informer les opérateurs présumés basés en Chine lorsqu’un tel reroutage est mis en place. Des modifications silencieuses compliquent le diagnostic de la défense par les systèmes d’extraction et leur adaptation.

Cette approche est techniquement difficile. Les campagnes présumées utilisent des systèmes de contrôle qualité capables de détecter les réponses altérées et de distinguer une dégradation volontaire de problèmes de service ordinaires. Les opérateurs peuvent alors faire tourner les comptes, réécrire les prompts ou passer à un autre fournisseur.

Les modifications défensives peuvent également perturber les évaluations de sécurité indépendantes. Les fournisseurs doivent s’assurer que les évaluateurs de confiance savent quand les modèles ont été modifiés, tout en empêchant ces informations de parvenir aux opérations d’extraction présumées.

L’attribution reste contestée

Les agences américaines estiment que l’ampleur, la persistance et la maturité opérationnelle des campagnes font de la distillation une stratégie centrale de développement pour les six entreprises. Elles pensent également que ces activités se sont probablement déroulées avec la connaissance des autorités chinoises.

Il s’agit toutefois d’une évaluation du renseignement et non d’une conclusion établie de manière indépendante par une instance compétente.

Le ministère chinois des Affaires étrangères a rejeté ces accusations, les qualifiant de dénuées de fondement, tandis qu’un porte-parole de l’ambassade de Chine avait précédemment décrit la position américaine comme une campagne de diffamation partiale. Les responsables chinois soutiennent que les avancées du pays dans l’IA résultent de son développement scientifique national et affirment que des entreprises américaines ont également distillé des modèles chinois.

Cette controverse ne change rien au problème défensif. Les fournisseurs de modèles de pointe font désormais face à des opérations d’extraction qui ressemblent à des campagnes de sécurité coordonnées : infrastructures distribuées, gestion automatisée des comptes, routage évasif, manipulation des prompts et adaptation continue dès que des contrôles sont mis en place.