Anthropic verrouille Claude : distillation en recul, refus facturés
Anthropic estime avoir réduit de 90 à 99 % le raisonnement extrait par les distillateurs. Ses clients en paient une part : requêtes refusées facturées depuis le 24 septembre, intégrations API à reprendre, sans hausse de tarif.
Anthropic a publié le 12 octobre le bilan de ses défenses contre la distillation de Claude. Ce billet en rubrique Policy estime que le raisonnement extrait par les distillateurs sur sa plateforme a reculé de 90 à 99 %.
Le bilan reconnaît un coût pour ses propres clients. Il tient en deux mécanismes : des requêtes refusées désormais facturées au tarif normal du modèle, depuis le 24 septembre, et des intégrations API à reprendre à cause du « preserved thinking ».
Le classifieur et les bannissements
Ce résultat repose d'abord sur un classifieur en deux étapes, du type « constitutional classifiers », éprouvé par des « red teams » internes et externes. L'entreprise le juge à peu près aussi robuste que ses garde-fous anti-armes biologiques, avec moins de 0,1 % de faux positifs dans les catégories filtrées. Elle parle elle-même de preuve précoce.
Les comptes qui insistent subissent des limites d'usage plus strictes, puis des bannissements. Des dizaines de milliers de comptes liés à la distillation ont été bannis, souvent moins de deux heures après le début d'une campagne, selon le billet.
Des refus facturés depuis le 24 septembre
Depuis cette date, les requêtes refusées avant toute réponse sont facturées dans trois catégories : « bio », « frontier_llm » et « reasoning_extraction », celle qui couvre la distillation. La facturation se fait au tarif du modèle qui a tourné, sur toutes les plateformes. Les refus survenus avant toute sortie dans les autres catégories restent, eux, non facturés.
Anthropic reconnaît que la promesse de février n'est pas totalement tenue : ses contre-mesures devaient épargner les clients légitimes, or les classifieurs bloquent à tort des requêtes bénignes dans moins de 0,1 % des cas, désormais facturées. Le volume absolu de ces erreurs n'est pas publié, seul ce taux l'est.
Ni hausse de prix, ni frais nouveau, ni facteur de vérification dans le billet du 12 octobre ou les notes de version : les refus concernés sont facturés comme toute autre requête, au tarif du modèle qui a tourné.
La plateforme cite comme exemple de tarif courant Claude Opus 5.5 : 4 $ le million de tokens en entrée, 20 $ en sortie. Anthropic avance sa propre facture : un chiffre d'affaires significatif abandonné et des milliers de milliards de tokens de trafic payant venant des distillateurs.
Le preserved thinking côté API
Introduit avec Claude Fable 5.1 et Claude Opus 5.5, le « preserved thinking » empêche un compte API de modifier le contexte placé avant le raisonnement de Claude. Le contrôle s'impose par défaut aux comptes créés à partir du 31 août 2026 (00:00 UTC). Sur Fable 5.1, renvoyer un bloc de réflexion après avoir changé le prompt système, les outils ou un message antérieur renvoie une erreur 400.
Les comptes plus anciens n'y sont soumis que sur option : il faut envoyer le paramètre `thinking.block_binding.prefix_mismatch_behavior`, avec l'en-tête bêta `thinking-binding-controls-2026-08-01`. Autre verrou : le raisonnement de ces modèles n'est plus lisible par les modèles plus anciens, aux garde-fous plus faibles. Avec Claude Sonnet 5.5, un transcript de raisonnement n'est accessible qu'à l'organisation dont la requête l'a produit.
Depuis le 28 septembre, un bloc de réflexion produit par Claude Sonnet 5.5 ne fonctionne que dans le compte qui l'a produit, ou dans un compte lié. Envoyé depuis un autre compte, il est supprimé avant que le modèle ne le voie, et la requête aboutit. Rien ne change pour les utilisateurs de claude.ai, de Claude Code, de Claude Managed Agents ou du Claude Agent SDK, ni pour un code qui se contente d'ajouter des messages sans toucher au préfixe.
Ce que la mesure prouve et ne prouve pas
La baisse de 90 à 99 % ne porte que sur la plateforme d'Anthropic. L'entreprise y mesure les tokens de raisonnement extraits, désormais 10 à 100 fois moins nombreux qu'avant le classifieur, certains jours sous le seuil de mesure. Les distillateurs répartissent leur trafic entre clouds tiers et autres fournisseurs.
L'utilité de ces transcripts est documentée par une expérience d'Anthropic : un modèle Claude pré-entraîné sur les transcriptions complètes de Claude Opus 4.8 atteint 80,4 % à SWE-bench Verified, contre 71,8 % avec les seuls raisonnements résumés. Anthropic pose elle-même les limites : personne ne sait combien de temps ces gains tiendront, et un jeu du chat et de la souris est attendu. Aucune tentative de contournement très sophistiquée et persistante n'a été observée.
De l'alerte de février à GLM-5.3
La première alerte date du 23 février. Anthropic accusait alors DeepSeek, Moonshot AI et MiniMax d'avoir généré plus de 16 millions d'échanges avec Claude via environ 24 000 comptes frauduleux. Un même réseau proxy gérait à lui seul plus de 20 000 comptes simultanément.
Le bilan décrit aussi la distillation des capacités cyber de modèles américains menée par Zhipu pendant le développement de GLM-5.3. D'abord visé, Claude Fable 5 a été abandonné : les garde-fous cyber dégradaient les attaques, puis l'opération s'est reportée sur un Claude plus ancien et le modèle d'un autre laboratoire. Zhipu figure déjà, pour une autre opération d'extraction de raisonnement, dans le rapport menaces de septembre. Le 17 septembre, le CAISI, centre d'évaluation du NIST, jugeait GLM-5.3 le modèle à poids ouverts le plus capable en cyber, avec environ quatre mois de retard sur la frontière américaine.
Le bilan arrive un mois après l'avis conjoint NSA, CISA et FBI du 8 septembre sur la distillation chinoise, que nous couvrions ici : même sujet, sans lien publié entre les deux documents. Reste à surveiller le volume des requêtes bénignes facturées par erreur, qu'Anthropic ne publie pas.
