Anthropic a publié le 12 octobre 2026 une note de recherche sur de nouvelles défenses contre les attaques de distillation visant Claude. Ces campagnes industrielles collectent les sorties du modèle, surtout les traces de raisonnement caché, pour entraîner des systèmes rivaux sans autorisation. Selon l'entreprise, les premières mesures indiquent une baisse d'environ 90 à 99 % des données récupérées par les distillateurs.
Le texte présente la distillation illicite comme un enjeu de sûreté et de sécurité nationale. Anthropic soutient que des modèles distillés peuvent approcher la frontière des capacités sans garde-fous proportionnés, et cite des cas liés à des laboratoires chinois. Elle affirme que Zhipu a distillé des capacités cyber de modèles américains pour GLM-5.3, y compris des tentatives visant Claude Fable 5 avant un changement de cible. Elle évoque aussi du trafic Moonshot où des requêtes Claude auraient été relayées depuis Kimi, dont une demande liée à l'analyse de vidéosurveillance d'une personne précise.
Les premières défenses résumaient le raisonnement de Claude avant affichage. Anthropic indique qu'un modèle entraîné sur des transcripts complets de Claude Opus 4.8 a atteint 80,4 % sur SWE-bench Verified, contre 71,8 % avec un raisonnement seulement résumé. Les attaquants sont alors passés à l'extraction active, en demandant la reproduction littérale du raisonnement antérieur et en testant des milliers de requêtes adversariales.
Le nouveau dispositif comporte trois volets. Le preserved thinking sur Claude Fable 5.1 et Claude Opus 5.5 empêche les nouveaux comptes API créés le 31 août 2026 ou après de modifier le contexte antérieur; des modèles plus récents limitent la réutilisation du raisonnement entre modèles et comptes. Sur Claude Sonnet 5.5, les transcripts ne sont accessibles qu'à l'organisation à l'origine de la requête. Un classifieur en deux étapes, dans la lignée des constitutional classifiers, cible les tentatives d'extraction sur Sonnet 5.5, Opus 5 et 5.5, et Fable 5 et 5.1, avec un taux de faux positifs déclaré inférieur à 0,1 %. Les tentatives répétées entraînent des plafonds plus stricts et des bannissements; depuis le 24 septembre, Anthropic refacture les requêtes bloquées par ces garde-fous avant la réponse de Claude.
Après le déploiement du classifieur, Anthropic affirme que les jetons de raisonnement extraits sur sa propre plateforme ont chuté d'un facteur 10 à 100, parfois jusqu'à des niveaux trop faibles pour être mesurés, et que des dizaines de milliers de comptes ont été bannis, souvent en moins de deux heures. La reprise Reuters du lendemain reprend les mêmes ordres de grandeur et la comparaison avec les refus liés aux biarmes.
Anthropic reconnaît le coût: revenus et billions de jetons de trafic payant refusés, mises à jour d'intégration imposées par le preserved thinking, et de rares faux positifs. Elle anticipe un jeu du chat et de la souris et n'a pas encore observé un contournement sophistiqué et persistant. Elle conclut que les autres développeurs de modèles frontière et les plateformes d'inférence doivent coopérer, car le trafic abusif traverse déjà l'API Anthropic, le cloud et d'autres fournisseurs.