En février 2026, Anthropic a publiquement accusé trois laboratoires d’IA chinois (DeepSeek, Moonshot AI et MiniMax) d’avoir généré plus de 16 millions d’échanges avec Claude via environ 24 000 comptes frauduleux, dans le but explicite de siphonner ses capacités de raisonnement, d’usage d’outils et de génération de code pour entraîner leurs propres modèles concurrents. Quatre mois plus tard, en juin 2026, l’entreprise a formulé une accusation similaire, plus large encore, contre des opérateurs liés à Alibaba : 28,8 millions d’échanges via 25 000 comptes frauduleux. Ces deux affaires, documentées par Anthropic dans une communication publique et une lettre adressée au Sénat américain, restent des accusations à ce stade, mais elles illustrent avec une ampleur inédite un vecteur d’attaque qui ne nécessite ni piratage ni accès privilégié : le model extraction.
Qu’est-ce que le model extraction par distillation de connaissances ?
Le model extraction consiste à reconstituer une approximation fonctionnelle d’un modèle propriétaire en l’interrogeant massivement via son API, puis en utilisant les réponses obtenues pour entraîner un second modèle qui en reproduit le comportement. Techniquement, la méthode dominante s’appelle la distillation de connaissances : plutôt que d’apprendre sur des données brutes, le modèle voleur (dit « modèle élève ») s’entraîne directement sur les réponses du modèle cible (dit « modèle enseignant »), ce qui lui permet de capturer des capacités affinées (raisonnement, style, usage d’outils) sans jamais avoir accès à l’architecture ni aux poids du modèle original.
Ce mécanisme n’a rien de nouveau en apparence, il a été formalisé dès 2016 pour des modèles de classification classiques, mais son application aux grands modèles de langage change son ampleur : la distillation ne nécessite aucune connaissance de l’architecture cible, s’exécute avec des outils de fine-tuning standards, et peut, selon les cas documentés, produire un modèle élève dont les performances se rapprochent significativement de celles du modèle original sur les tâches ciblées.
Model extraction vs Model poisoning : quelle différence ?
Le model extraction cible le modèle une fois qu’il est en production, dans l’objectif de le copier, c’est l’inverse du model poisoning, qui cherche à corrompre un modèle pendant son entraînement pour y implanter un comportement caché. Les deux vecteurs se distinguent également par leur préjudice : le poisoning compromet l’intégrité et la fiabilité d’un modèle, tandis que l’extraction compromet la propriété intellectuelle et l’avantage concurrentiel que représente un modèle entraîné ou fine-tuné à grands frais.
Comment détecter une attaque par extraction de modèle IA ?
Une attaque d’extraction se distingue d’un usage légitime par des motifs de requêtage caractéristiques, que les défenses les plus récentes cherchent à détecter : un volume de requêtes très supérieur à l’usage normal, une couverture systématique de l’espace des entrées possibles plutôt que des questions dispersées et naturelles, et des variations séquentielles suggérant une exploration méthodique plutôt qu’un usage humain. Dans l’affaire révélée par Anthropic, un signal a été particulièrement révélateur : l’un des laboratoires visés a mené plus de 150 000 échanges spécifiquement conçus pour faire dérouler à Claude son raisonnement étape par étape, produisant ainsi des données d’entraînement de chaîne de raisonnement directement réutilisables, un schéma de requêtage largement incompatible avec un usage conversationnel ordinaire.
Bonnes pratiques pour protéger un modèle LLM contre l’extraction
- Limiter l’information exposée dans chaque réponse : Ne retourner que la prédiction finale (top‑1 / texte généré) et éviter les scores de confiance détaillés ou les distributions complètes de probabilités, sauf nécessité fonctionnelle explicite. Tronquer ou arrondir les scores et, si besoin, ajouter un bruit calibré aux logprobs pour réduire la précision exploitable par distillation. Ces mesures augmentent le nombre de requêtes nécessaires et dégradent la qualité du modèle volé.
- Surveiller les motifs de requêtage plutôt que chaque requête isolément : Analyser le trafic par fenêtre temporelle et par identité (clé API, compte, IP) pour détecter des patterns d’extraction (volume soutenu, forte diversité des prompts, templates répétitifs, couverture systématique de l’espace d’entrée). Mettre en place une détection d’anomalies scorant le volume, le ratio d’inputs uniques et la proportion de requêtes « riches » en information. Cette approche permet de repérer des campagnes même lorsque chaque requête individuelle paraît bénigne
- Limiter le débit et le volume par compte : Appliquer un rate limiting multicouche (par clé API, par IP, quotas journaliers/mensuels) dimensionné selon les cas d’usage légitimes. En cas de dépassement répété des seuils, utiliser un throttling progressif (back‑off, CAPTCHA, suspension temporaire). Ces mesures ne bloquent pas une attaque distribuée sophistiquée, mais elles en augmentent significativement le coût et la visibilité.
- Envisager un marquage du comportement du modèle : Intégrer un watermark statistique dans les sorties, via des schémas conçus pour résister à la distillation (motifs injectés dans les probabilités selon une clé secrète). Prévoir un processus de vérification a posteriori en sondant un modèle suspect avec des requêtes dédiées pour détecter la présence du watermark. Le watermarking ne prévient pas l’extraction, mais il permet d’en apporter la preuve pour protéger la propriété intellectuelle ou faire respecter les conditions d’usage.
FAQ : Tout savoir sur le vol et l’extraction de modèles IA
Le model extraction concerne-t-il uniquement les grands laboratoires d'IA ?
Non. Toute entreprise ayant fine-tuné un modèle sur des données propriétaires à forte valeur (connaissance sectorielle, langage métier spécifique, savoir-faire accumulé) est exposée dès lors que ce modèle est exposée via une API, quelle que soit sa taille.
Une limite de débit standard suffit-elle à empêcher une extraction ?
Elle la ralentit sans l’empêcher totalement, en particulier face à une attaque distribuée sur de nombreux comptes comme celle documentée par Anthropic. Elle reste néanmoins une mesure de base à combiner avec une surveillance des motifs de requêtage.
Comment prouver qu'un modèle concurrent a été extrait du sien ?
C’est une difficulté réelle, illustrée par le fait que les accusations documentées ici reposent sur l’analyse des journaux de requêtes du modèle original plutôt que sur une preuve directe du modèle copié. Les techniques de marquage comportemental visent précisément à faciliter cette démonstration si elle devient nécessaire.
Protéger vos LLM et modèles fine-tunés contre l’extraction
Nos experts évaluent l’exposition de vos modèles propriétaires et mettent en place une surveillance des motifs de requêtage anormaux.
Vous souhaitez échanger sur votre projet ou évaluer vos besoins ? Contactez nos experts.