TL;DR — Le 8 septembre 2026, la NSA, la CISA et le FBI ont désigné six entreprises d’IA basées en Chine — DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI — pour avoir mené des campagnes de distillation à l’échelle industrielle contre des modèles frontières américains depuis au moins fin 2024. La liste des capacités qu’elles auraient récoltées ressemble à une feuille de route d’agents : raisonnement agentique et utilisation d’outils, développement de l’utilisation d’un ordinateur, extraction de chaîne de pensée. Deux jours plus tard, l’accusation a fait boomerang. JoyIn, une startup de robotique humanoïde soutenue par Ant Group, a publié une lettre ouverte accusant OpenAI de distiller son modèle robotique et a annoncé avoir engagé une procédure judiciaire. Ce qui est intéressant n’est pas de savoir qui a raison. C’est que la norme de preuve utilisée publiquement est désormais symétrique — et que la seule parade défendable offerte par le gouvernement américain consiste à dégrader discrètement votre propre modèle.
L’avis, en chiffres
L’avis AA26-251A indique que les campagnes de distillation « constituent le cœur — et non un simple complément » de la stratégie de développement en IA des six entreprises, et que l’extraction a eu lieu « probablement avec la connaissance du gouvernement chinois » (Source : CISA — Des entreprises d’IA chinoises mènent des campagnes de distillation à l’échelle industrielle contre des entreprises d’IA américaines).
L’échelle est l’argument. Les agences décrivent « des milliards de jetons sur des millions d’échanges/requêtes » tirés de variantes de Claude, GPT, Gemini et Grok. La campagne de DeepSeek ciblait le raisonnement, des optimisations spécialisées et des fonctions spécifiques à un domaine pour ses modèles R1 et V3 ; l’avis écarte le coût d’entraînement souvent cité de 5,6 millions de dollars comme trompeur, car il exclut les données acquises par distillation. Moonshot AI est décrite comme ayant extrait des données significatives de Claude Fable 5 pour Kimi-K3 et de GPT-4o pour Kimi-K2. Z.AI aurait aspiré des milliards de jetons de données de GPT-5.5 et de Claude Opus 4.8 d’ici la mi-2026 (Source : Unite.AI — NSA, CISA, FBI Warn China-Based AI Firms Distill US Frontier Models).
Les mécanismes relèvent autant de l’approvisionnement que du code : API natives, fournisseurs cloud distants, agrégateurs tiers qui suppriment les métadonnées, abonnements premium achetés en gros et partagés entre équipes de développement, et proxys du marché gris que l’avis appelle des « stations de transfert ». Les quatre techniques qu’il qualifie de nouvelles sont le contournement des restrictions régionales combiné à l’exploitation des abonnements, le routage centralisé des requêtes, la suppression automatisée des métadonnées et l’optimisation systématique des quotas et des coûts. Parmi les indicateurs de détection figurent des comptes partagés qui émettent depuis de nombreuses adresses IP, une utilisation continue sans variation humaine, et de nouveaux abonnements qui fonctionnent immédiatement à pleine capacité.
Ce que les six laboratoires ont réellement extrait
Pour quiconque construit des agents, la liste des cibles est le cœur du sujet. Les campagnes signalées de Moonshot visaient le raisonnement agentique et l’utilisation d’outils, le codage et l’analyse de données, ainsi que le développement d’agents capables d’utiliser un ordinateur. MiniMax aurait redirigé son trafic vers un nouveau modèle de Claude dans les 24 heures suivant sa sortie.
Ce n’est pas un hasard. Une longue trajectoire d’agent — plan, appel d’outil, erreur, correction, réponse finale — est l’artefact le plus dense en informations qu’expose l’API d’un modèle frontière. Elle contient le processus de raisonnement, pas seulement la réponse. Copier les réponses de chat d’un modèle enseigne le style ; copier ses traces d’agent enseigne la manière dont il décompose le travail. L’avis signale aussi des invites de jailbreak conçues pour forcer les modèles à révéler la chaîne de pensée cachée, ce qui revient à cibler le même objectif depuis l’autre direction.
La défense qui pénalise vos utilisateurs
La réponse recommandée est l’endroit où l’avis devient inconfortable. Trois actions y sont préconisées : détecter les anomalies, appliquer des « changements de réponse ciblés » en cas de suspicion de distillation, et partager des renseignements entre fournisseurs. Celle du milieu consiste à servir des réponses subtilement dégradées ou différentiellement privées aux comptes signalés comme distillateurs — et à faire varier délibérément la dégradation pour que l’attaquant ne puisse pas la mesurer. Il est conseillé aux fournisseurs de ne pas dire aux utilisateurs suspectés que leurs sorties ont été altérées, tout en continuant d’en informer les chercheurs en sécurité (Source : CISA — Avis AA26-251A).
C’est l’empoisonnement érigé en doctrine défensive, et il a un coût. Les systèmes d’agents traitent la sortie d’API comme une vérité de terrain pour la planification et l’évaluation. Si les fournisseurs peuvent dégrader silencieusement les réponses des comptes qu’ils soupçonnent, l’intégrité des sorties devient probabiliste — et la reproductibilité de toute évaluation par un tiers devient tributaire du modèle de suspicion d’un fournisseur. Tous les laboratoires interdisent déjà la distillation dans leurs conditions d’utilisation. L’avis est en réalité un aveu : un contrat n’est pas un pare-feu, et la solution de repli consiste à dégrader le produit pour tout le monde afin de le rendre moins intéressant à voler.
Le boomerang
Deux jours après l’avis, le PDG de JoyIn, Guo Renjie, a publié une lettre ouverte en chinois adressée à OpenAI, affirmant que le laboratoire américain avait distillé les travaux de son entreprise en robotique : « On dit souvent que les grandes entreprises technologiques disposent de réseaux de renseignement qui surveillent tout l’Internet ; cette fois, je le crois, c’est une distillation directe de nos travaux, sans aucune modification » (Source : CNBC — Une startup humanoïde chinoise retourne l’accusation de « distillation » contre OpenAI).
La preuve avancée est un recoupement conceptuel, pas des poids copiés. Guo souligne un cadrage commun autour de l’auto-amélioration récursive et de l’utilisation de l’IA pour optimiser la puissance de calcul, affirme que JoyIn a présenté son cadre de modèle dans la Silicon Valley quelques semaines avant que le scientifique en chef d’OpenAI ne publie « An Alien Mind » le 6 septembre, et note que la page GPT-6 Astra d’OpenAI partage une esthétique d’exploration spatiale avec le site Aether de JoyIn. Son entreprise a commencé à déposer une plainte. CNBC n’a pas pu vérifier ces affirmations de manière indépendante, a relevé que plusieurs de ces concepts relèvent de la recherche générique en IA, et OpenAI n’a pas commenté.
Aether de JoyIn est un modèle de contrôle perceptif plutôt que textuel, avec un taux de réussite à la première tentative d’environ 90 % et un temps d’entraînement réduit des deux tiers, dirigé par un ingénieur qui a auparavant travaillé sur l’apprentissage par imitation humanoïde chez Figure. La startup prévoit d’ouvrir une partie du modèle en open source. Soutenue par Ant Group, JoyIn reprend le vocabulaire de l’application des droits de propriété intellectuelle américains contre un laboratoire américain — et l’accusation a la même forme que celle du gouvernement : concepts similaires, donc copie. Cette symétrie est la vraie nouvelle. Les vocabulaires de recherche préexistent aux deux entreprises, et la similarité d’idées n’est pas un critère juridique en droit d’auteur ou en droit des secrets commerciaux. Mais dès lors que la ressemblance devient la norme publique, tout laboratoire qui lit les mêmes articles et livre la même architecture y est exposé.
FAQ
La distillation de connaissances est-elle illégale ? Non. Entraîner un plus petit modèle sur les sorties d’un plus grand est une technique standard. L’avis vise l’accès non autorisé, la violation des conditions d’utilisation et l’extraction à l’échelle industrielle — pas la méthode elle-même.
Qu’est-ce qui distingue les campagnes de 2026 d’une utilisation ordinaire d’API ? L’infrastructure et l’échelle : des millions d’échanges, des milliards de jetons, des agrégateurs qui suppriment les métadonnées, des proxys du marché gris, des abonnements premium partagés en masse, l’extraction de la chaîne de pensée et le basculement automatisé lorsqu’une voie est bloquée.
Pourquoi est-ce important pour les développeurs d’agents ? Parce que les capacités récoltées sont agentiques — utilisation d’outils, développement de l’utilisation d’un ordinateur, raisonnement en plusieurs étapes. Les longues trajectoires d’agents fuient davantage que les réponses, c’est pourquoi les verrouillages de la chaîne de pensée et les limites de débit frappent d’abord les charges de travail légitimes des agents.
Peut-on arrêter la fuite ? Pas proprement. L’attribution à travers des proxys se réduit à des probabilités. Les options consistent à dégrader les sorties des comptes suspects, à brider les capacités que les entreprises paient, ou à jouer la concurrence sur le prochain modèle au lieu de protéger le modèle actuel.
Pour aller plus loin
- CISA — Avis conjoint AA26-251A (8 septembre 2026)
- NSA — Communiqué de presse sur la distillation chinoise de modèles frontières américains
- CNBC — Une startup humanoïde chinoise retourne l’accusation de « distillation » contre OpenAI
- Santage — La NSA nomme six laboratoires d’IA chinois qui distillent des modèles frontières américains
- The Agent Report — Anthropic affirme qu’Alibaba a mené une attaque de distillation de Claude
- The Agent Report — La Maison-Blanche place le Kimi-K3 de Moonshot dans le collimateur de la distillation