Un parfum ne se protège pas comme un roman. Sa composition n’est, dans la plupart des pays, ni une œuvre ni une invention brevetable : c’est une formule chimique gardée par le seul secret. La chromatographie en phase gazeuse a défait cet équilibre, un laboratoire remontant molécules et proportions depuis le flacon vendu en boutique. Les procès contre ces imitations ont peu prospéré : l’analyste n’observe pas un secret dérobé, mais un produit en vente.
Un grand modèle de langage vendu par interface de programmation occupe la même position. Ses poids restent enfermés dans un centre de données, mais chaque réponse échantillonne ce qu’il sait faire, et rien n’empêche d’en collecter assez pour entraîner un modèle plus petit dessus. Le procédé porte un nom, la distillation, décrit depuis 2015, et les laboratoires qui s’en plaignent l’appliquent à leurs propres modèles.
C’est là qu’Anthropic a choisi de porter le fer. Le 10 juin, le laboratoire de Dario Amodei a écrit au sénateur républicain Tim Scott et à la sénatrice démocrate Elizabeth Warren, dans une lettre qu’Ars Technica a pu obtenir, qu’il partageait de « nouveaux éléments de preuve confidentiels concernant la plus vaste campagne visant à exploiter illicitement les capacités de Claude que nous ayons jamais observée ». La mise en cause est Alibaba, inscrite depuis peu sur la liste américaine des entreprises travaillant pour l’armée chinoise. Restent à démêler cette lettre, le recours déposé le 23 juin et l’annonce chinoise du lendemain.
Une lettre au Congrès, déposée la veille d’une audition
Ce que le courrier affirme
Le texte n’est pas tombé un jour quelconque : la commission bancaire du Sénat, présidée par Tim Scott et dont Elizabeth Warren est la cheffe de file démocrate, tenait le lendemain une audition sur la domination américaine en IA. Anthropic y dit avoir observé, du 22 avril au 5 juin, « des opérateurs liés à Alibaba et à Alibaba Qwen, le laboratoire d’IA d’Alibaba » générant « plus de 28,8 millions d’échanges avec Claude via près de 25 000 comptes frauduleux ».
L’usage est jugé contraire à ses conditions et destiné à distiller son modèle. Alibaba aurait échappé à la détection en « recourant à des techniques d’obfuscation et à des réseaux de proxys », alors qu’« une économie de contournement [était] en pleine expansion » en Chine, ce qui exposerait d’autant plus Claude. L’extraction visait l’ingénierie logicielle, le raisonnement agentique et les tâches à long horizon, ce qui fait la valeur des agents.
La lettre souligne qu’« Alibaba est cotée à la bourse de New York, exerce ses activités aux États-Unis et doit rendre des comptes aux investisseurs et aux régulateurs américains », et que « pourtant, cette activité s’est déroulée dans les semaines qui ont suivi » la note par laquelle l’administration Trump avait jugé « inacceptables » les tentatives de cloner les outils américains.
La ligne de partage héritée de février
En février, Anthropic et sa concurrente OpenAI avaient déjà visé DeepSeek, Moonshot et MiniMax : un rapport du 23 février ventilait seize millions d’échanges entre eux, via quelque 24 000 comptes frauduleux. Les 28,8 millions imputés à Alibaba dépassent ce cumul à eux seuls, sur quarante-cinq jours. L’entreprise reconnaissait alors que « la distillation est une méthode d’entraînement largement utilisée et légitime ».
Elle rappelait que « par exemple, les laboratoires d’IA de pointe distillent régulièrement leurs propres modèles afin de créer des versions plus petites et moins coûteuses pour leurs clients ». Tout tenait à l’intention : le procédé devenait illicite s’il visait à « acquérir les capacités puissantes d’autres laboratoires en une fraction du temps et à un coût bien inférieur ». Aucun texte légal n’était cité alors, ni davantage aujourd’hui.
Pourquoi l’accusation ne va pas devant un juge
Une entreprise qui affirme détenir la preuve d’une exploitation illicite de son produit dispose en principe d’un tribunal. Les sorties d’un modèle, faute d’apport expressif humain, ne sont pourtant pas protégeables par le droit d’auteur, comme le posait Fenwick dès février 2025, et le secret d’affaires ne couvre pas ce qui est vendu à quiconque ouvre un compte.
Une analyse de mars 2026 rapproche même la distillation de la rétro-ingénierie admise par la jurisprudence Sega contre Accolade. Reste le pénal, et il a rétréci : l’arrêt Van Buren, rendu en 2021 par la Cour suprême, a établi qu’un utilisateur autorisé violant des conditions d’utilisation ne commet pas l’accès non autorisé que réprime le Computer Fraud and Abuse Act. Celui-ci ne redevient mobilisable qu’en cas de faux comptes ou de contournement des contrôles d’accès.
La loi qui manque, et le texte qui attend
Le chiffre des 28,8 millions est l’argument politique ; les faux comptes sont l’argument pénal. La politique d’usage du 15 septembre 2025 prohibe bien la model distillation sans autorisation, mais c’est un contrat, aux remèdes d’un contrat. Ce que la lettre réclame est donc un fondement légal qui n’existe pas encore et existe déjà en projet. Déposé le 15 avril par Bill Huizenga avec John Moolenaar, le Deterring American AI Model Theft Act of 2026 chargerait le secrétaire d’État d’identifier sous cent quatre-vingts jours les entités menant des attaques d’extraction.
Ce que l’échelle des chiffres laisse entendre
Vingt-huit millions d’échanges impressionnent, mais un ordre de grandeur ne vaut que rapporté à l’objectif prêté. Le modèle s1 de Stanford a atteint en janvier 2025 le niveau d’o1-preview en raisonnement à partir de mille traces distillées depuis Gemini Thinking. Si mille exemples suffisent à transférer une compétence, 28,8 millions relèvent moins de la copie que de la cartographie d’un espace de capacités.
Que l’interface soit le point de fuite est établi depuis que Nicholas Carlini et treize coauteurs ont récupéré, en mars 2024, la couche de projection d’embedding de modèles en production pour quelques dizaines de dollars. Une enquête du 5 mai signée Zilan Qian, à Oxford, décrit en outre un marché gris revendant des jetons Claude 70 à 90 % sous le tarif, où le même accès est monétisé trois fois, la revente des journaux d’échanges comme jeux d’entraînement venant en dernier.
La liste du Pentagone et le compte à rebours du 30 juin
Le 8 juin, l’administration a ajouté BYD, Baidu, NIO et Alibaba à sa liste des entreprises travaillant pour l’armée chinoise. Le dispositif découle de la section 1260H de la loi de programmation militaire pour 2021 : la mise à jour y a inscrit soixante-cinq entités et porte le total à 188 contre 134 un an plus tôt. Aucune sanction n’y est attachée ; c’est l’accès aux achats du département de la Défense qui se referme.
Ce que la désignation coûte réellement à Alibaba
Le Pentagone en fait un contributeur de la fusion militaro-civile à la base industrielle de défense chinoise, au titre d’une affiliation au ministère de l’Industrie et des Technologies de l’information, sans qu’un contrat militaire soit requis. La section 805 de la loi de programmation pour 2024 lui interdit, dès le 30 juin 2026, de contracter avec une entité inscrite, et la section 851 coupe le même jour ces entités du lobbying américain. L’enjeu dépasse pourtant des marchés qu’Alibaba n’a pas : la liste est l’antichambre d’une désignation par l’Office of Foreign Assets Control, qui interdirait aux Américains de négocier ses titres.
Le précédent Xiaomi et les deux issues possibles
Alibaba a saisi le juge le mardi 23 juin, sept jours avant l’entrée en vigueur du premier volet, devant la division de San José du tribunal fédéral de Californie du Nord. Sa ligne est de pure procédure administrative : les décisions n’auraient aucun fondement en fait ni en droit, son conseil serait indépendant, ses produits relèveraient du commerce de détail et de l’informatique d’entreprise.
Le précédent en tête de tous est Xiaomi, désigné le 14 janvier 2021 sous l’ancêtre du dispositif : le tribunal fédéral du district de Columbia lui accordait une injonction le 12 mars faute de dossier suffisant, et le Pentagone l’en retirait le 11 mai. Mais Xiaomi plaidait à Washington, sur un motif plus étroit. Soit le juge californien exige des faits circonstanciés, soit il valide un critère assez large pour rendre inscriptible presque toute grande entreprise chinoise.
Mythos, retiré du marché mondial avant d’avoir un rival
Dévoilé le 7 avril, Mythos est un modèle Claude de sécurité offensive : il découvre des vulnérabilités inédites, écrit des exploits fonctionnels et rétro-conçoit des binaires fermés. Anthropic revendique 181 exploits sur des vulnérabilités de Firefox là où Opus 4.6 n’y parvenait que deux fois, et le réserve au consortium fermé Glasswing.
Douze jours avant l’annonce chinoise, ce marché s’est refermé. Le 12 juin, le Bureau of Industry and Security a exigé une licence d’exportation pour tout accès étranger à Fable 5 et Mythos 5 ; incapable d’identifier ces utilisateurs, Anthropic a coupé les deux modèles pour toute sa clientèle. Le CSIS, qui juge la base légale incertaine, prévient que cela « va vraisemblablement pousser les clients étrangers à considérer des options qu’ils jugent plus fiables ». Ces semaines de tension avec l’administration éclairent la lettre du 10 juin.
Yitian Tulong, deux outils et un chiffre invérifiable
C’est dans ce vide que 360 Digital Security Group, que ses antivirus ont fait connaître sous le nom de Qihoo 360, a présenté le mercredi 24 juin sa réponse chinoise à Mythos. Son fondateur Zhou Hongyi a dévoilé le projet « Yitian Tulong », emprunté au roman de wuxia de Jin Yong où deux armes légendaires donnent la suprématie à qui les détient. Il rassemble Tulongfeng, qui traque les vulnérabilités logicielles, et Yitianzhen, qui automatise la défense et la réponse aux incidents.
Ce que confirmé par les autorités veut dire en Chine
Tulongfeng aurait identifié 3 432 failles, dont 105 confirmées par les autorités chinoises, chiffres qu’aucun tiers ne peut recouper. Or le second a un sens réglementaire particulier : depuis le 1er septembre 2021, toute vulnérabilité découverte en Chine doit être signalée sous quarante-huit heures à ce même ministère de l’Industrie, sans publication ni transfert hors du pays, et l’Atlantic Council documentait en 2023 un circuit alimentant des organismes offensifs. Confirmé par les autorités signifie versé à la base nationale, et la comparaison porte moins sur deux modèles que sur deux régimes de divulgation.
Derrière la copie, la substitution
Le récit du vol laisse dans l’ombre une réalité plus prosaïque. Au 24 juin, les modèles chinois à poids ouverts représentaient environ 61 % des jetons consommés sur OpenRouter, principal routeur neutre, et quatre des cinq modèles les plus utilisés y étaient chinois. L’écart de capacité, lui, se mesure : Epoch AI l’établit à sept mois en moyenne depuis 2023, et Zhou Hongyi reconnaissait à Pékin 20 à 30 % de retard.
Brian Chesky, patron d’Airbnb, déclarait en octobre 2025 s’appuyer largement sur Qwen pour son agent de service client, très bon, rapide et bon marché selon lui, et deux commissions de la Chambre ont écrit à Airbnb en avril. Une entreprise dont le concurrent gagne des positions sur le prix a un intérêt évident à requalifier la concurrence en vol.
L’hypothèse n’a pas à être tranchée pour être posée, d’autant que la matière manque dans les deux sens : éléments confidentiels chez Anthropic, chiffres invérifiables chez 360, contestation sans détail chez Alibaba. Claude Opus 4.8 s’est du reste identifié comme Tongyi Qianwen dans deux exécutions sur quatre d’un script interrogeant l’API en chinois, sans qu’on y voie une distillation de Qwen.
L’accusatrice plaide sur un terrain où son passif est établi : dans Bartz contre Anthropic, le juge William Alsup avait admis en juin 2025 l’entraînement sur des livres légalement acquis, mais non leur téléchargement depuis des bibliothèques clandestines, et l’entreprise a transigé pour 1,5 milliard de dollars. La distinction revendiquée aujourd’hui est celle qu’un juge lui opposait un an plus tôt : il est reproché à Alibaba non d’avoir appris de Claude, mais d’avoir ouvert 25 000 comptes pour le faire.
Trois horloges tournent sans dépendre les unes des autres : le 30 juin, pour les interdictions de contracter et de démarcher ; un juge californien, qui dira s’il faut des faits pour désigner une société militaire chinoise ; une proposition de loi en commission. L’Europe, appelée le 5 juin par l’ambassadeur américain à choisir son camp, n’a la main sur aucune des trois. Aucune ne résout la difficulté de fond, car une industrie qui vend l’accès à une boîte noire vend de quoi l’imiter en partie. Le parfumeur a déplacé sa valeur vers la marque et le renouvellement ; reste à savoir si un laboratoire d’IA dispose du même temps.
Aller plus loin
Le vocabulaire vient d’un atelier de NIPS 2014, où Distilling the Knowledge in a Neural Network décrit l’entraînement d’un réseau élève sur la distribution de probabilités d’un professeur plutôt que sur les bonnes réponses. Rien n’y suppose que les deux modèles aient le même propriétaire, d’où la difficulté à en faire un délit.
La matrice argumentative que la lettre de juin réemploie se lit dans Detecting and preventing distillation attacks, publié le 23 février, qui ventile les seize millions d’échanges entre DeepSeek, Moonshot et MiniMax et trace la frontière entre distillation légitime et illicite.
Le produit auquel 360 prétend répondre est documenté par son éditeur dans Assessing Claude Mythos Preview’s cybersecurity capabilities, qui donne les chiffres de référence, 181 exploits fonctionnels sur des vulnérabilités JavaScript de Firefox contre deux réussites pour Opus 4.6, et détaille le périmètre du projet Glasswing.
La démonstration expérimentale tient dans Stealing Part of a Production Language Model, où l’attaque coûte moins de vingt dollars sur les modèles Ada et Babbage, confirme au passage leurs dimensions cachées, et voit la matrice complète de gpt-3.5-turbo chiffrée à moins de deux mille dollars de requêtes.
Pour comprendre pourquoi une victime autoproclamée écrit au Sénat plutôt qu’à un tribunal, l’analyse DeepSeek, Model Distillation, and the Future of AI IP Protection passe les recours en revue, du copyright inopérant au CFAA rétréci par Van Buren, jusqu’au brevet.
Le véhicule par lequel une accusation deviendrait sanction existe déjà comme texte déposé, et H.R. 8283, Deterring American AI Model Theft Act of 2026 se lit en quelques pages : définition de l’attaque par extraction, délai imposé au secrétaire d’État, fondements pris dans l’Export Control Reform Act.
L’économie de contournement expédiée en une incise remplit une enquête, et How to Buy Cheap Claude Tokens in China en restitue la chaîne, des vendeurs de comptes aux plateformes de SMS de vérification, avec une substitution de modèle sur dix-sept proxys audités.
Ce qu’on résume par une liste a une base légale et un échéancier, détaillés par Pentagon Adds 65 New Entities to the 1260H List of Chinese Military Companies, qui expose la mise à jour du 8 juin et les deux échéances de la section 805, en 2026 pour les contrats directs et en 2027 pour les biens produits.
La grille de lecture du recours de San José vient d’un précédent, exposé dans D.C. District Court Blocks Xiaomi Designation as Communist Chinese Military Company, où le tribunal du district de Columbia accorde une injonction en jugeant, sur le fondement de l’Administrative Procedure Act, le dossier insuffisant.
Le chaînon entre la partie américaine et la partie chinoise se trouve dans The Department of Commerce Restricted Access to Anthropic’s Latest Models. What Comes Next?, qui examine l’autorité invoquée le 12 juin par le Bureau of Industry and Security et anticipe le report des clients étrangers ailleurs.
Lus ensemble, ces documents décrivent moins un vol qu’un défaut de construction. Ouvrir un modèle à la requête payante, c’est livrer de quoi en reproduire une part ; la technique est publiée depuis dix ans et pratiquée par les plaignants eux-mêmes ; et le droit ne saisit ni le procédé ni son produit, seulement la manière dont les comptes ont été ouverts. Restent trois leviers, tous politiques : une liste qui menace l’accès aux capitaux, une licence qui coupe l’accès au modèle, une loi en commission. Chacun agit sur la circulation, aucun sur ce qui circule.