Selon des informations rapportées, Astra d’OpenAI devient la principale cible de distillation des laboratoires chinois d’IA

Astra d’OpenAI serait devenu la principale cible des efforts de distillation de modèles menés par des laboratoires chinois d’IA après le renforcement des défenses d’Anthropic autour de Claude, selon des informations de The Information citées par The Decoder.

Le rapport cite DeepSeek et Moonshot AI parmi les organisations qui se seraient fortement appuyées sur les sorties d’Astra pour développer de nouveaux modèles, notamment des produits identifiés comme Kimi K3.1 Pro et V4.1-Flash 1017. Ces affirmations n’ont pas pu être vérifiées indépendamment à partir des éléments fournis, et aucune des deux entreprises n’a apporté de réponse publique dans les informations résumées par The Decoder.

Cette évolution est importante, car elle suggère que des mesures de protection plus strictes chez un fournisseur de modèles de pointe peuvent rediriger les tentatives d’extraction vers un autre fournisseur au lieu de mettre fin à la pratique. Pour les concepteurs de modèles et les acheteurs d’IA d’entreprise, l’épisode souligne également combien il est difficile de protéger des capacités propriétaires lorsque des systèmes avancés peuvent être interrogés de façon répétée et à grande échelle.

De Claude à Astra

La distillation de modèles consiste à utiliser les réponses d’un modèle plus performant pour améliorer un système moins performant ou concurrent. Dans ce cas, l’activité rapportée semble impliquer des tentatives visant à obtenir des réponses détaillées, notamment les étapes de raisonnement cachées que certains modèles de pointe utilisent en interne.

Le Claude d’Anthropic avait auparavant été décrit comme une cible privilégiée pour ce type d’activité. The Decoder rapporte qu’Anthropic a depuis renforcé ses défenses, incitant les laboratoires chinois d’IA à se concentrer davantage sur Astra d’OpenAI, identifié dans le rapport comme GPT-6 Astra.

Les éléments disponibles n’établissent ni l’ampleur de ce changement dans le secteur chinois de l’IA, ni la quantité de données d’Astra recueillies, ni le fait que l’activité alléguée ait amélioré de manière significative un modèle nommé. Ils indiquent toutefois une évolution de la compétition entre des fournisseurs de modèles qui cherchent à empêcher l’imitation non autorisée et des laboratoires qui cherchent à reproduire des capacités avancées à moindre coût.

OpenAI a également signalé une campagne coordonnée de distillation qui, selon l’entreprise, impliquait des personnes liées à Moonshot. D’après la réponse de l’entreprise relayée par The Decoder, elle prend le problème au sérieux, mais a constaté que les attaquants modifient leurs méthodes lorsque de nouvelles protections sont mises en place.

Ce que montrent les éléments disponibles — et ce qu’ils ne montrent pas

Les informations les plus solides de cet ensemble proviennent de The Information, mais le texte intégral de l’article n’était pas disponible dans les sources fournies. The Decoder présente le récit et attribue les principales conclusions à des personnes au fait du dossier. L’utilisation alléguée d’Astra constitue donc un développement important rapporté par les médias, et non une divulgation publique confirmée par DeepSeek ou Moonshot AI.

Selon The Decoder, Moonshot a refusé de commenter, tandis que DeepSeek n’a pas répondu à une demande de réaction. Ces absences de réponse ne confirment ni n’infirment les accusations. Les éléments disponibles ne comprenaient aucun journal technique, jeu de données, volume de requêtes, relevé d’entraînement ou résultat indépendant de référence.

L’affirmation d’Anthropic selon laquelle ses nouvelles méthodes ont réduit de 90 à 99 % la quantité de données que les attaquants pouvaient extraire est un résultat communiqué par l’entreprise. Les sources ne précisent ni les conditions de test, ni la définition des données extraites, ni le fait que la réduction s’applique de manière égale aux différentes stratégies d’attaque. Il faut donc considérer ce chiffre comme une affirmation du fournisseur plutôt que comme une mesure générale de sécurité.

Les informations rapportées ne montrent pas non plus qu’Astra d’OpenAI soit systématiquement plus vulnérable que Claude. Le changement apparent peut refléter l’accès relatif, la qualité du modèle, les contrôles des comptes, les tarifs, le comportement des sorties ou l’évolution des tactiques des attaquants. Ces facteurs restent indéterminés.

Pourquoi cela compte pour les concepteurs d’IA

Pour les entreprises développant des modèles de pointe, l’activité rapportée transforme l’accès aux sorties en problème de sécurité autant qu’en fonctionnalité produit. Les contrôles d’API, les limites de débit, la vérification des comptes, la détection des anomalies, le comportement de refus et la surveillance deviennent tous des éléments de protection des capacités du modèle. Les défenses doivent également tenir compte d’adversaires qui répartissent les requêtes entre plusieurs comptes, varient les prompts ou combinent des requêtes en apparence ordinaires dans un effort de collecte plus vaste.

Pour les petits concepteurs d’IA, la distillation peut réduire le coût nécessaire pour atteindre des performances compétitives, mais la dépendance aux sorties d’une autre entreprise crée des risques juridiques, opérationnels et techniques. Un système entraîné intensivement sur un modèle externe peut hériter de ses angles morts, de ses schémas de refus, de ses biais ou de ses conventions de mise en forme. Il peut également devenir vulnérable si le fournisseur modifie les règles d’accès ou introduit des restrictions de sortie.

Les acheteurs professionnels doivent interpréter avec prudence les affirmations concernant l’imitation de modèles. Un fournisseur peut afficher des scores de référence similaires sans offrir la même fiabilité dans les flux de production, l’utilisation d’outils, les tâches à long contexte, la gestion de la sécurité ou la précision propre à un domaine. L’activité alléguée autour d’Astra ne montre pas qu’un système distillé offre des performances équivalentes et n’établit pas non plus que les organisations utilisant ces systèmes ont participé sciemment à une extraction non autorisée.

L’épisode a également des implications concurrentielles. Si les défenses déplacent simplement l’attention de Claude vers Astra, les fournisseurs de modèles pourraient être confrontés à un cycle continu de contre-mesures plutôt qu’à une solution ponctuelle. Cela pourrait accroître le coût de fourniture de modèles très performants et encourager les fournisseurs à proposer des interfaces plus strictement contrôlées, des signaux de provenance ou des niveaux d’accès différenciés.

Ce qu’il faut surveiller ensuite

Le premier signal sera de voir si OpenAI révèle publiquement davantage de détails sur la campagne liée à Moonshot, notamment les méthodes détectées et les contrôles déployés ensuite. Des éléments techniques aideraient à distinguer un abus ciblé des affirmations générales concernant les laboratoires chinois d’IA.

Un deuxième signal sera la publication éventuelle par Anthropic de tests indépendants concernant la réduction annoncée de 90 à 99 % des données extraites. Les détails relatifs aux hypothèses d’attaque, aux méthodes de mesure et aux performances face à des attaquants adaptatifs détermineront la portée réelle de ce chiffre.

Les chercheurs et les opérateurs de plateformes devraient également surveiller les sorties de modèles nommément cités de DeepSeek et Moonshot AI à la recherche de similitudes inhabituelles dans la structure des réponses, les profils de capacités ou le comportement. De telles similitudes ne prouveraient pas à elles seules une distillation, mais pourraient conduire à un examen plus approfondi des sources d’entraînement et des méthodes d’évaluation.

Enfin, les fournisseurs d’API pourraient commencer à communiquer davantage sur la vérification des clients, la surveillance des usages, le filigranage des sorties et les restrictions visant la collecte automatisée. Ces mesures seront importantes pour les développeurs légitimes comme pour les équipes de sécurité, car des contrôles trop agressifs peuvent rendre l’expérimentation et la recherche ouverte plus difficiles.

Le point de vue de Creati.ai

Le passage rapporté de Claude à Astra doit être compris comme une course aux armements autour de l’accès au comportement des modèles, et non comme la preuve qu’un fournisseur a définitivement perdu le contrôle de son système. Les éléments disponibles sont trop limités pour établir l’ampleur de l’extraction alléguée ou les capacités des modèles qui en auraient résulté.

L’histoire constitue néanmoins un avertissement pratique pour les concepteurs : la sécurité des sorties ne peut être dissociée de la stratégie de déploiement du modèle. Les fournisseurs ont besoin de défenses capables de s’adapter à l’évolution des modes d’attaque, tandis que les acheteurs devraient évaluer la provenance, les politiques d’accès et les performances indépendantes plutôt que de supposer qu’une similarité des résultats de référence prouve une véritable équivalence des capacités.