Pendant deux décennies, une partie du trafic téléphonique international n’a pas suivi le chemin que payait l’abonné. Des intermédiaires achetaient des minutes en gros et les écoulaient par des routes grises, la voix arrivant après un détour que personne n’avait annoncé. Le commerce ne portait pas sur la conversation, mais sur l’écart entre deux tarifs, et cet écart faisait vivre une couche d’acteurs que nul annuaire ne recensait.
Un service facturé à l’unité et transporté sans que l’acheteur voie le trajet appelle mécaniquement cette couche intermédiaire. L’accès aux grands modèles de langage réunit les deux conditions. Paru le 10 septembre, le bilan semestriel qu’Anthropic consacre aux détournements de Claude en donne la mesure : sept laboratoires chinois auxquels il reproche d’avoir aspiré le modèle depuis décembre, près de 200 millions d’échanges, là où la première alerte, le 23 février, n’en visait que trois.
La lecture immédiate du document en fait un vol subi par un éditeur américain. Elle laisse dans l’ombre une seconde partie, jamais nommée : l’utilisateur. Celui qui a ouvert Kimi pour faire relire un contrat, l’ingénieur qui a collé un bloc de configuration dans DeepSeek. Leur requête est partie chez un tiers, y a été enregistrée, et sert de matériau d’entraînement ; ils ne l’apprennent que parce que le destinataire s’en plaint. Restent à examiner ce relais, l’industrie montée autour, et ce que le droit en saisit.
Le relais silencieux, ou la seconde victime du dossier
La distillation n’a pourtant rien d’une méthode clandestine : un modèle mûr, dit professeur, se voit soumettre des milliers de questions, et un modèle plus léger, dit élève, apprend sur ses réponses à reproduire sa manière. Toute la différence tient au consentement de celui qui a répondu. Le document compte 154 pages et couvre les activités perturbées entre décembre 2025 et août 2026, la distillation illicite y voisinant avec les opérations cyber, la surveillance, la fraude et le risque biologique. Chaque campagne reçoit un identifiant, de GTG-16001 pour DeepSeek à GTG-16012 pour SenseTime : ces laboratoires ne sont plus des clients en infraction contractuelle, mais des acteurs de menace suivis dans la durée.
La volumétrie est un acquis du dossier : 151 millions d’échanges pour Alibaba et ses modèles Qwen entre mai et juillet, avec des pointes à trois millions quotidiens, depuis plus de 3 500 comptes adossés à des identités fictives et à des cartes bancaires dérobées ; 3,4 millions en dix-sept jours pour Zhipu ; des transcriptions achetées à des revendeurs pour SenseTime ; une société-écran au catalogue exclusivement américain pour MiniMax. Le fait neuf est ailleurs : dans trois campagnes, la matière première venait de conversations d’utilisateurs.
Kimi, ou la requête qui changeait de destinataire
Moonshot AI aurait fait suivre à Claude, en dix jours à peine, près de 300 000 requêtes émanant de ses propres clients, depuis 5 380 comptes frauduleux ouverts à Singapour et au Japon, la réponse revenant à l’écran sous les couleurs de Kimi. De mai à juillet 2026, la campagne attribuée au laboratoire dépasse 23 millions d’échanges, dans la fenêtre exacte qui précède la sortie de Kimi K3.
DeepSeek et le tri sur l’en-tête des requêtes
DeepSeek y ajoute une sélection. Ses systèmes n’auraient pas détourné tout le trafic, mais filtré la chaîne user-agent pour isoler les sessions ouvertes depuis des outils de développement — claude-code, claude-agent-sdk, opencode —, et n’auraient redirigé que celles-là vers Claude Opus : plus de 12,1 millions d’échanges en quatorze jours, en juillet 2026. Le critère n’était pas le volume mais la valeur d’entraînement, une session agentique portant un objectif, des outils appelés et des reprises.
Xiaomi et le rejeu des conversations de codage
Xiaomi aurait rejoué dans Claude les conversations de codage de ses propres clients : plus de 400 000 échanges en vingt jours, entre mars et avril 2026, sur plus de 1 500 comptes. La requête est reprise après coup et non déviée en direct, mais le résultat ne change pas pour la personne à l’autre bout : son code est parti chez un tiers qu’elle n’avait pas choisi.
Ce qu’une conversation réelle apporte qu’un jeu de questions n’a pas
Un corpus de prompts écrits pour l’occasion produit la distribution des problèmes que l’on a imaginés ; une session d’utilisateur produit celle des problèmes qui existent. S’y ajoute la trace de raisonnement, que Moonshot et DeepSeek auraient visée par des rejeux inter-sessions sur les signatures des blocs de réflexion étendue : le raisonnement entier là où le service ne sert qu’un résumé. Anthropic ajoute qu’ainsi distillé, ce raisonnement transfère des capacités sensibles en cyber et en biologie sans que les garde-fous suivent.
La chaîne logistique qui rend le détournement possible
Rien de tout cela ne fonctionnerait sans une couche d’intermédiaires que l’accusation n’a pas découverte. D’un côté, des parcs de comptes montés sur cartes bancaires volées et clés d’API dérobées. De l’autre, des boutiques qui commercialisent Claude dans les pays d’où il est absent, conservent chaque conversation au passage et la revendent à qui entraîne un modèle.
Les stations de transfert, documentées avant le rapport
Une enquête de Zilan Qian, de l’Oxford China Policy Lab, publiée le 5 mai 2026, décrivait déjà ces stations de transfert : des serveurs proxy à l’étranger qui reçoivent la requête d’un développeur, la relaient sous leur propre identité et lui renvoient la réponse. Le taux tourne autour d’un yuan pour un dollar de crédit d’API, soit 70 à 90 % sous le tarif officiel, et jusqu’à 5 à 10 % dans les cas extrêmes. Elles se vendent à ciel ouvert, sur Taobao, GitHub, Telegram et dans les groupes WeChat.
Le produit d’appel et la marge
L’approvisionnement en comptes mêle des méthodes légales — enregistrements en masse pour capter les cinq dollars de crédit offerts, revente de quotas inutilisés, partage d’un abonnement à 200 dollars entre plusieurs acheteurs — et l’achat de profils créés sur carte bancaire volée, que servent des fermes à SMS et des prestataires de contournement biométrique. Mais l’arbitrage sur les jetons ne finance pas 90 % de remise : la marge vient de la revente des journaux — prompts, réponses, appels d’outils, traces de raisonnement. Le client ne paie pas un dixième du prix, il paie le reste en nature.
Le même tuyau sert dans l’autre sens
Rien n’oblige un relais à détourner toujours dans le même sens. Une équipe du CISPA Helmholtz Center a audité dix-sept de ces services : sur un référentiel médical, la précision tombe de 83,82 % par l’API officielle à environ 37 % par les proxys, et 45,83 % des tests d’empreinte n’ont pas confirmé le modèle annoncé. Trois figures reviennent : la dégradation silencieuse, l’échange entre fournisseurs — un Opus servi par Qwen sous étiquette inchangée — et le routage du modèle bon marché sur les contextes longs.
Le miroir est exact : l’utilisateur de Kimi recevait du Claude sans le savoir, l’acheteur de Claude reçoit parfois du Qwen sans le savoir davantage. Le détournement ne suit pas une direction politique, il suit la marge. Et le problème n’est pas seulement de vie privée, il est de qualité invisible : ces dix-sept services avaient servi dans 187 articles académiques, dont 62,03 % publiés à comité de lecture.
Ce qui est parti avec les requêtes
Anthropic dresse du trafic capté un inventaire qui court sur une douzaine de langues : patronymes, adresses électroniques, jetons d’accès toujours valides, prévisions d’investissement d’un laboratoire pharmaceutique, code source propriétaire, identifiants d’ingénieurs d’entreprises d’État, accès à des bases en production livrés par des opérateurs liés au ministère russe de la Défense. Des données de vidéosurveillance y ont même été soumises à l’analyse par un utilisateur vraisemblablement rattaché à l’Armée populaire de libération, persuadé de s’adresser à Kimi.
Pour une entreprise, la conséquence relève du risque de chaîne d’approvisionnement, à ceci près que le maillon fautif est une boîte de dialogue : celle dont un prestataire a collé des identifiants valides dans Kimi n’a jamais choisi Moonshot. Une fraction du flux est passée par des plateformes de routage tierces dont l’Europe fait grand usage, et l’éditeur américain se borne à y voir des pratiques « probablement incompatibles » avec les lois sur la vie privée.
Le droit le plus récent ne dit rien de ce cas
L’article 50 du règlement européen sur l’intelligence artificielle est applicable depuis le 2 août 2026. Il oblige à informer une personne physique qu’elle interagit avec un système d’IA, « au plus tard au moment de la première interaction », sauf si la chose est évidente, et n’impose nulle part de dire quel modèle répond. L’utilisateur de Kimi savait qu’il parlait à une machine ; ce qu’il ignorait, c’est laquelle, et de quel côté de quelle frontière.
Ce qui mord, c’est le droit d’avant
L’article L121-2 du Code de la consommation, en vigueur depuis le 28 mai 2022, qualifie de trompeuse l’allégation fausse portant sur les qualités substantielles ou l’origine du service, quand l’article L121-3 vise l’omission d’une information substantielle. Le règlement général sur la protection des données impose d’indiquer les destinataires, le transfert hors Espace économique européen et sa garantie, et d’informer avant qu’une nouvelle catégorie n’apparaisse.
Le mur de la compétence
Encore faut-il quelqu’un pour les faire appliquer. Le 30 janvier 2025, le Garante italien ordonnait la limitation immédiate du traitement des données des utilisateurs italiens par les deux sociétés DeepSeek, deux jours après une demande d’explications jugée tout à fait insuffisante ; celles-ci répondaient n’opérer ni en Italie, ni sous l’empire du droit de l’Union. La France ne pèse du reste que 4 % des téléchargements de DeepSeek.
La parade, l’angle mort, et ce qui reste vérifiable
Outre des filtres qu’il dit avoir resserrés, Anthropic annonce trois contre-mesures : ne plus renvoyer que des résumés de raisonnement, déployer un mécanisme cryptographique de préservation de la réflexion, et imposer une vérification d’identité aux comptes ouverts depuis les régions à risque. La première n’a rien d’une improvisation : des travaux de février 2026 proposaient déjà de réécrire les traces du professeur sans altérer l’exactitude de la réponse, et d’y loger un filigrane décelable chez l’élève.
L’opacité a pourtant un coût rarement dit : ce qui rend le vol moins rentable rend le produit moins vérifiable pour ceux qui le paient. Reste la faiblesse du dossier, et elle n’est pas mince. Celui qui accuse concourt sur le même marché que les accusés, pas un des sept laboratoires n’a pris la parole à ce jour, l’instruction repose sur les seules pièces du plaignant, et le cabinet Haas notait dès mars que l’autorité morale d’Anthropic souffre de ce que ses propres modèles se sont nourris de données captées sans autorisation.
Le grief n’est pas inédit pour autant. OpenAI accusait DeepSeek d’avoir distillé ses modèles dès janvier 2025, quand R1 affolait les marchés ; Google a relevé cette année des attaques de même nature ; la première salve d’Anthropic visait déjà trois laboratoires et 16 millions d’échanges. Surtout, le dossier se partage : les attributions nominatives dépendent de la parole d’Anthropic, l’existence de l’infrastructure non — documentée depuis le 5 mai par une chercheuse d’Oxford, mesurée depuis mars par des universitaires allemands.
Vérifier soi-même à qui l’on parle reste difficile. Les tests statistiques sur les sorties exigent un nombre prohibitif de requêtes et échouent sur les substitutions les plus fines ; la piste la plus fiable passe aujourd’hui par le canal agentique, en prenant l’empreinte du fournisseur sur la distribution de ses appels d’outils.
Le rapport du 10 septembre sera lu comme une pièce de plus dans la rivalité entre laboratoires américains et chinois. Il documente surtout un déplacement : la conversation d’un utilisateur vaut désormais assez cher pour qu’une filière s’organise afin de l’intercepter, avec ses courtiers en comptes, ses relais et ses acheteurs de journaux.
Le déséquilibre est moins celui de deux pays que celui de deux positions. Le laboratoire volé mesure, compte, publie 154 pages et déploie des parades en quelques mois. L’utilisateur détourné n’a ni instrument, ni notification, ni interlocuteur : il apprend l’existence du problème par le communiqué de celui qui s’en plaint pour de tout autres raisons que les siennes.
Ce que l’affaire met à l’épreuve dépasse la distillation. Un système conversationnel est devenu un maillon de chaîne d’approvisionnement sans traçabilité, là où d’autres industries documentent depuis longtemps l’origine de ce qu’elles vendent. Le terrain qui s’ouvre n’est pas l’interdiction d’un usage, mais la vérifiabilité : savoir quelle machine répond, y compris quand celui qui la fait répondre n’a aucun intérêt à ce qu’on le sache.
Aller plus loin
Tout part d’un document de 154 pages qu’il vaut mieux parcourir soi-même : le rapport Detecting and countering misuse of AI de septembre 2026 expose les études de cas laboratoire par laboratoire, la description du relais des requêtes clients et le catalogue des contre-mesures. C’est la pièce accusatoire, à lire comme telle.
La couche des revendeurs se comprend par l’enquête de terrain que Zilan Qian a menée pour l’Oxford China Policy Lab, How to Buy Cheap Claude Tokens in China, parue quatre mois avant le rapport et sans lien avec Anthropic : taux de change, points de vente, filière d’approvisionnement en comptes et contournement biométrique y sont décrits de l’intérieur.
Le modèle économique de ces proxys est explicité par Luke James dans Chinese grey market sells Claude API access at 90% off : la remise sur les jetons y est un coût d’acquisition, et la collecte des journaux de conversation la vraie source de marge.
Le sens inverse du détournement est chiffré par Real Money, Fake Models: Deceptive Model Claims in Shadow APIs, audit de dix-sept services proxy mené au CISPA : chute de précision, dérives du comportement de sécurité, échecs d’empreinte, et 187 articles académiques bâtis sur des modèles dont l’identité n’était pas celle annoncée.
Pour qui cherche à vérifier à quel modèle il s’adresse, AgentProv: Auditing Agentic LLM API Providers via Tool-use Policy Probes, accepté à EMNLP 2026, décrit l’état de l’art peu avant le rapport : l’empreinte prise sur la distribution des appels d’outils réussit là où les méthodes fondées sur le texte échouaient.
Le rendement de l’aspiration se mesure dans s1: Simple test-time scaling, où mille questions accompagnées de traces distillées suffisent à faire d’un modèle ouvert un concurrent des modèles propriétaires. On y comprend pourquoi une trace complète vaut qu’on monte une infrastructure pour la capter.
La course entre l’aspirateur et sa cible se lit dans Hiding in Plain Sight: Detectability-Aware Antidistillation of Reasoning Models, qui pose l’anti-distillation en problème de théorie des jeux : la défense doit dégrader l’apprentissage de l’élève tout en restant invisible, faute de quoi l’aspirateur change de méthode.
Le contexte militaire de la demande est documenté dans la note de Sunny Cheung pour la Jamestown Foundation, Chinese Research Details Distillation for Military Use, qui recense des dizaines de publications chinoises de 2024 à 2026 visant le chaînage de pensée des modèles occidentaux pour la surveillance et le cyber.
L’opposabilité du droit européen se juge sur pièce avec la décision par laquelle le Garante italien a bloqué DeepSeek en janvier 2025 : les sociétés mises en cause y soutenaient n’opérer ni en Italie, ni sous l’empire du droit de l’Union.
Le périmètre de l’obligation de transparence tient en quelques lignes dans l’article 50 du règlement européen sur l’intelligence artificielle, applicable depuis le 2 août 2026 : il faut dire à la personne qu’elle s’adresse à un système d’IA, au plus tard lors de la première interaction, et rien de plus sur l’identité du modèle.
Lus ensemble, ces documents déplacent la question. L’infrastructure du détournement est attestée par des sources sans intérêt dans la querelle, la substitution de modèle est mesurée et joue dans les deux sens, et le droit disponible sait qualifier une allégation fausse sur l’origine d’un service sans pouvoir atteindre une société qui conteste jusqu’au principe de la compétence. Ce qui manque n’est pas une norme de plus : c’est un moyen, pour la personne qui tape sa question, de savoir où elle part et qui la lit.