L’essentiel
- Le 8 septembre 2026, la NSA, la CISA et le FBI ont publié l’avis conjoint de cybersécurité AA26-251A, qui nomme DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI.
- Les trois agences leur reprochent d’avoir extrait des milliards de tokens sur des millions d’échanges auprès des familles Claude, GPT, Gemini et Grok depuis fin 2024.
- Le document décrit un marché gris de proxys d’API, les « stations de transfert », qui revendent depuis la Chine l’accès aux modèles américains en masquant l’origine des requêtes.
- Il recommande aux fournisseurs américains une riposte technique, dont l’altération discrète des réponses servies aux comptes suspects.
Six sociétés chinoises figurent nommément dans l’avis de cybersécurité signé le 8 septembre par la NSA, la CISA (l’agence américaine chargée de la cybersécurité) et le FBI : DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI. Le reproche est le même pour les six : avoir interrogé en masse Claude, GPT, Gemini et Grok pour en récupérer le savoir-faire. L’embarras des fournisseurs américains vient de la suite, quand les agences détaillent la méthode. Pour porter l’accusation, elles doivent reconnaître que les API visées sont hors d’état de distinguer cette opération d’un usage parfaitement ordinaire.
La distillation change de nom quand elle vise l’API d’en face
Distiller un modèle consiste à en entraîner un plus petit sur les sorties d’un plus capable. La pratique est banale et parfaitement légitime : les laboratoires américains distillent leurs propres modèles pour en tirer les versions légères qu’ils vendent moins cher. Ce que visent les agences est le même geste appliqué au modèle du voisin : interroger massivement une API concurrente, en violation de ses conditions d’utilisation, pour en récupérer les capacités.
Seul le contrat sépare les deux. Rien, dans le contenu d’une requête, n’indique si la réponse servira à un produit maison ou à l’entraînement d’un rival. Selon les agences, ces campagnes ont extrait « des milliards de tokens sur des millions d’échanges » depuis au moins fin 2024, le token étant l’unité de texte que ces services facturent. Chez les sociétés visées, la distillation occuperait une place centrale dans la fabrication des modèles, loin de l’appoint technique.
Une API répond, elle n’enquête pas
Détaillé société par société, l’avis se lit comme une carte des priorités industrielles chinoises : DeepSeek sur le raisonnement pour entraîner R1 et V3, Moonshot AI sur les tâches d’agent, le code et la vision pour Kimi, Alibaba sur le génie logiciel et le service client, StepFun sur la programmation et les capacités agentiques, Z.AI sur la chaîne de pensée de GPT-5.5 et de Claude Opus, ces étapes de raisonnement qu’un modèle déroule avant de répondre. Chacune de ces cibles, prise isolément, correspond à des requêtes que n’importe quelle entreprise cliente pourrait envoyer.
Un fournisseur ne voit donc jamais un vol se produire. Il voit un compte qui paie, qui pose beaucoup de questions bien construites, dans un domaine étroit. Le faisceau qui lui reste relève des statistiques de trafic : volume, monotonie thématique, régularité des appels, moyen de paiement, adresse d’origine. Aucun de ces signaux ne survit seul à une contestation sérieuse.
Le registre choisi le dit assez. Un avis de cybersécurité relève de l’attribution, comme lorsqu’une intrusion est rattachée à un groupe étatique, et non de la démonstration qu’un tribunal exigerait. Un modèle distillé, lui, ne porte aucune marque de fabrique qui vaudrait empreinte génétique.
Les stations de transfert effacent les derniers signaux
La partie la plus technique du document explique comment de tels volumes ont pu passer malgré les restrictions géographiques et les plafonds d’usage : création de comptes frauduleux, achat en masse d’abonnements premium, et ce marché gris de proxys d’API que les agences appellent « stations de transfert », des relais qui présentent au fournisseur une requête débarrassée de son origine. Les campagnes les plus abouties y ajoutent un routage centralisé des requêtes, un nettoyage automatisé des métadonnées et une répartition de la charge entre comptes pour rester sous les quotas.
Chaque ligne de cette liste neutralise un des signaux sur lesquels reposait la détection. Et le fournisseur qui riposte en bloquant des plages d’adresses bloque d’abord ses clients de bonne foi derrière un VPN.
Le cas MiniMax fait exception, ce qui le rend précieux : les agences décrivent des tentatives d’injection de prompt, ces instructions glissées dans la requête pour détourner un modèle de ses consignes, destinées à faire croire à Claude Code qu’il était un produit MiniMax. L’intention est alors inscrite dans la requête elle-même. Sur les six sociétés nommées, c’est la seule où la démonstration ne passe pas par une reconstitution statistique.
Empoisonner les réponses expose d’abord les clients légitimes
L’avis ne s’arrête pas au constat, il prescrit. Parmi les contre-mesures recommandées aux fournisseurs américains figure l’altération discrète des réponses servies aux comptes jugés suspects. L’idée se défend : une donnée d’entraînement empoisonnée coûte plus cher à l’attaquant qu’un accès coupé, puisqu’il ignore quelle partie de sa collecte il doit jeter.
Le prix se paie ailleurs, sur le faux positif. Une entreprise dont le trafic ressemble par malchance à celui d’une campagne (gros volume, prompts répétitifs, domaine unique, proxy régional) recevra des réponses volontairement dégradées sur une API facturée au token, sans en être avertie. Pour quiconque évalue des modèles, la conséquence est immédiate : un banc d’essai maison ne mesure plus le modèle, il mesure ce que le fournisseur a décidé de servir ce jour-là.
L’accès aux modèles va se refermer
Le mouvement était engagé avant cet avis : chaînes de raisonnement masquées, plafonds d’appel resserrés, vérification d’identité pour les paliers d’accès élevés. Les agences décrivent aussi des prompts de jailbreak, taillés pour contourner les garde-fous et faire ressortir ces raisonnements cachés. L’alerte non plus ne date pas de cette semaine : dès l’automne 2024, des chercheurs de Microsoft avaient repéré une extraction massive de données par l’API d’OpenAI et prévenu leur partenaire, presque deux ans avant que des agences fédérales ne mettent des noms sur le phénomène. Cette fois, le durcissement reçoit une caution officielle. Ce sont pourtant les mêmes barrières qui gêneront le développeur indépendant et la PME européenne, qui n’ont jamais distillé quoi que ce soit.
Reste le point que le document attaque de front sans le trancher. Les 5,6 millions de dollars d’entraînement revendiqués par DeepSeek en janvier 2025, chiffre répété partout depuis, y sont qualifiés de trompeurs parce qu’ils excluent le coût des données obtenues par distillation malveillante. L’argument se tient, mais aucun autre montant n’est avancé. Contester un chiffre sans en produire un second laisse intacte la seule chose qui intéressait les marchés dans cette histoire.
Six noms sont désormais sur une liste publique. Le geste qu’on leur reproche, lui, reste indissociable de ce qui fait la valeur commerciale d’une API : répondre à qui la paie, sans lui demander ce qu’il en fera.
Mon avis
Trois agences fédérales viennent d’écrire noir sur blanc qu’un modèle de pointe se recopie par sa propre porte d’entrée commerciale, et que personne ne sait l’établir proprement. Je ne donne pas six mois à la contre-mesure vedette : servir des réponses trafiquées à des comptes soupçonnés est intenable pour un fournisseur qui vend de la fiabilité, et le premier pris à dégrader le trafic d’une entreprise légitime perdra plus en crédit qu’il n’aura protégé de tokens. La bataille se déplacera vers l’accès, avec identités vérifiées, paliers réservés et contrats qui interdisent la revente d’appels. Ce sont les petits acteurs qui régleront la facture d’un conflit entre laboratoires géants.
