Mercredi, The Information a lâché le morceau : DeepSeek et Moonshot AI ont entraîné leurs derniers modèles sur les sorties de GPT-6 Astra. Kimi K3.1 Pro, sorti la semaine précédente, et DeepSeek V4.1-Flash 1017, lancé le 17 octobre, doivent une partie de leurs capacités à une campagne de distillation visant le modèle phare d’OpenAI, sorti en septembre. Reuters, l’Economic Times, The Decoder et Arc XP ont repris l’info dans la foulée. Des sources « ayant une connaissance directe du dossier », selon la formule consacrée. Moonshot n’a pas commenté, DeepSeek n’a pas répondu.
Le détail tient au changement de cible, pas à la méthode.
Claude était le professeur, Claude a fermé la salle
Jusqu’ici, les labos chinois visaient Anthropic. Claude servait de corrigé géant, on posait des millions de questions, on récupérait les raisonnements, on entraînait son propre modèle dessus. Anthropic a serré la vis ce mois-ci : vérification de comptes renforcée, dizaines de milliers de faux comptes bloqués, coupure d’accès dès qu’un usage sort de l’ordinaire. La boîte annonce que ses nouvelles protections ont fait chuter de 90 à 99 % la quantité de données extirpées lors des attaques de distillation.
Prends ce chiffre pour ce qu’il est : une déclaration d’Anthropic sur ses propres mesures. Personne n’est allé vérifier à la source, et une boîte qui vend de la sécurité a un intérêt évident à ce que le chiffre soit spectaculaire.
Reste l’effet de bord, et il est mécanique. Tu bouches un trou, l’eau part ailleurs. Les distilleurs ne se sont pas arrêtés, ils ont changé de fournisseur. GPT-6 Astra est devenu la cible principale parce qu’il est accessible, que l’API répond, et que le robinet n’a pas encore été fermé côté OpenAI.
Distiller, c’est juste demander poliment
Mettons les mots justes sur la technique, parce que « vol de capacité » et « requête API payée » ne décrivent pas la même chose. La distillation consiste à interroger massivement un gros modèle et à entraîner le sien sur les réponses obtenues. Ça réduit les coûts et les délais : pas besoin de repartir de zéro, tu apprends sur le dos de celui qui a déjà fait le boulot.
Une nuance technique décide de tout : la distillation ne marche vraiment que si le modèle accepte de déballer ses étapes de raisonnement cachées. OpenAI et Anthropic l’interdisent tous les deux dans leurs conditions. Sauf qu’interdire dans un contrat et empêcher dans une API, ce sont deux métiers différents.
Le résultat tombe. Selon The Information, la distillation d’Astra aurait fait grimper V4.1-Flash 1017 à un score de 75, soit 4,1 points de plus que la version précédente. Un score de 75 sur quel test, avec quel protocole, c’est précisément ce que le compte rendu ne dit pas. Retiens donc le sens de la progression, pas sa précision chirurgicale.
OpenAI dénonçait Moonshot fin septembre. Astra répondait toujours.
Voilà la partie qui gratte. Le 30 septembre, OpenAI publiait un billet de blog reliant une « partie centrale » d’une campagne de distillation, entamée en juillet, à des individus associés à Moonshot AI. Un mois plus tard, Moonshot sort Kimi K3.1 Pro, et The Information explique que le modèle a bénéficié d’Astra. Entre-temps, la parade n’a pas changé la donne : un porte-parole d’OpenAI explique que la société prend le problème « très au sérieux », tout en reconnaissant que les attaquants ajustent leurs tactiques à chaque nouvelle défense déployée.
Autrement dit : on colmate, ils contournent, on recolmate. Un jeu de taupe grandeur nature, financé par les jetons vendus à ceux qui creusent.
Le contexte ajoute une couche. En septembre, Anthropic publiait un rapport citant sept entreprises chinoises, Alibaba, Moonshot et DeepSeek en tête, accusées de campagnes de distillation répétées. Le gouvernement américain a repris le refrain. Tout le monde dénonce, personne ne ferme l’API. Parce que la fermer, ce serait renoncer au chiffre d’affaires généré par les clients les plus voraces.
Kimi K3.1 Pro, dont les poids sont annoncés pour le 4 novembre, s’apprête à publier ses paramètres après avoir appris sur les réponses d’un modèle fermé. L’open source sincère, version chinoise : tu donnes tout, sauf la recette de ce que tu as emprunté. Le même modèle qui a perdu cinq places au barème d’Artificial Analysis il y a deux jours, d’ailleurs. La distillation rattrape les capacités, visiblement pas le classement.
Reste une question : si le seul rempart crédible contre la copie, c’est de répondre mal, de refuser les questions et de brider son propre produit, qui veut acheter ça ? Un modèle qui sait faire le travail mais refuse de l’expliquer, ça ne s’appelle pas une défense, ça s’appelle un abonnement dégradé.
Astra n’a pas fui. Il a répondu. Nuance de taille, et c’est toute la différence entre une fuite de données et un service qui fonctionne comme il est censé fonctionner.
Sources :
Comments are closed