Attaques par distillation : ce que les modèles d'IA copiés signifient pour vous

« Distillation » était autrefois un terme anodin en apprentissage automatique. Il désignait l'entraînement d'un petit modèle à imiter un grand, une technique standard et utile. En septembre et octobre 2026, c'est devenu un sujet de sécurité et de commerce. Si vous achetez ou développez de l'IA pour le marketing, vous devez comprendre les deux sens.

Ce qui s'est passé

Début septembre, la CISA, la NSA et le FBI ont publié un avis conjoint sur ce qu'ils décrivent comme une distillation de connaissances à échelle industrielle menée par des entreprises d'IA basées en Chine. Selon l'article de Help Net Security sur cet avis, les agences ont nommé DeepSeek, Moonshot AI, Alibaba Group, MiniMax, StepFun et Z.AI, et ont indiqué que celles-ci avaient extrait des milliards de tokens via des millions de requêtes adressées aux modèles de pointe américains depuis au moins fin 2024. L'avis énumère des signaux de détection, comme une utilisation 24 heures sur 24 sans temps mort humain ou des groupes de comptes agissant de manière coordonnée, et recommande des contrôles d'identité renforcés, une surveillance accrue et un partage d'informations entre fournisseurs d'IA. L'article précise qu'il ne comportait pas de déclaration des entreprises citées.

Le 12 octobre, Anthropic a décrit sa propre riposte. Dans Strengthening our defenses against distillation attacks, l'entreprise indique que les premiers éléments suggèrent que ses méthodes ont réduit d'environ 90 à 99 % les données collectées par les distillateurs. Les mesures comprennent l'impossibilité pour les comptes API récents de modifier le raisonnement antérieur de Claude, un classifieur en deux étapes entraîné sur des tentatives d'extraction avec un taux de faux positifs inférieur à 0,1 %, des limites plus strictes et des bannissements en cas de tentatives répétées, ainsi que la facturation des requêtes bloquées par ses garde-fous. Anthropic affirme avoir banni des dizaines de milliers de comptes liés à la distillation et s'attend à un « jeu du chat et de la souris » permanent.

Pourquoi c'est important

Il y a deux raisons pour lesquelles un marketeur devrait s'intéresser à une bataille entre laboratoires d'IA.

La première est le risque lié à la chaîne d'approvisionnement. Si un modèle a été construit en copiant le comportement d'un autre modèle sans autorisation, vous ne savez pas quels garde-fous il a hérités. Le billet d'Anthropic soutient que des modèles distillés peuvent approcher les capacités de pointe tout en étant livrés avec des protections plus faibles. Quand vous choisissez un modèle pour votre service client ou pour générer des annonces, la provenance fait partie de la qualité.

La seconde est la friction pour les utilisateurs légitimes. Les défenses ont un coût. Anthropic reconnaît que certains développeurs ont dû mettre à jour leurs intégrations, qu'une petite part de requêtes bénignes peut être bloquée et que les requêtes bloquées peuvent désormais être facturées. Si votre stack marketing effectue de nombreux appels automatisés vers une API de pointe, une partie de ce trafic peut ressembler à une campagne d'extraction. Lisez dès maintenant les politiques de vos fournisseurs, pas après la panne de votre pipeline.

Ce que disent mes recherches

La distillation n'est pas le méchant de l'histoire. Pratiquée de manière légitime, c'est ainsi que l'on rend l'IA abordable. Un grand modèle en instruit un petit ; le petit tourne à moindre coût et à grande échelle. J'ai soutenu dans Forbes qu'en marketing, la technique compte plus que la taille du modèle, et la distillation fait partie de ces techniques.

Ce qui change la donne, c'est le consentement et la transparence. Mes travaux sur l'IA explicable partent d'un principe simple : un marketeur doit pouvoir comprendre pourquoi un système recommande quelque chose. Dans Against Opacity (ACM Multimedia 2023), nous avons associé la prédiction du taux de clics à un assistant LLM qui en explique les facteurs. Dans SOMONITOR (une prépublication de 2024), nous avons décrit l'association de modèles de performance explicables et de LLM pour l'analyse concurrentielle. Les explications n'ont de sens que si l'on sait ce qu'est le modèle et d'où il vient.

Il y a aussi une ironie à relever. La défense que décrit Anthropic, qui consiste à résumer ou à restreindre l'accès au raisonnement complet du modèle, rend les systèmes un peu moins transparents pour tout le monde, car c'est précisément ce raisonnement que veulent les copieurs. Ce compromis déterminera le degré d'explication que les fournisseurs d'IA accepteront d'exposer. Les acheteurs devraient demander des explications conçues pour eux, portant sur leurs données et leurs décisions, plutôt que des traces de raisonnement brutes.

Ce que les acheteurs d'IA marketing doivent faire dès maintenant

• Demandez à chaque fournisseur quels modèles se trouvent sous son produit et d'où ils viennent.
• Vérifiez les conditions des API que vous appelez. Un usage automatisé et à grand volume est normal en marketing ; assurez-vous que le vôtre est clairement légitime, identifié et dans les limites.
• Prévoyez un changement de modèle. Les politiques, les prix et les accès peuvent évoluer rapidement. Gardez vos prompts, procédures et jeux d'évaluation portables.
• Distillez vos propres modèles de manière légitime. Si vous avez besoin d'un modèle bon marché pour une tâche ciblée, entraînez-le sur vos propres données ou sur des résultats que vous avez le droit d'utiliser.
• Privilégiez l'explication des décisions plutôt que l'exposition des mécanismes internes. Ce que vous devez auditer, c'est pourquoi une recommandation a été faite pour votre campagne.

La bataille de la distillation porte sur la question de savoir qui a le droit de copier qui. Pour les marketeurs, c'est un rappel que « quel modèle ? » est désormais une question de gouvernance, et pas seulement une question technique.

FAQ