Distillation à l'échelle industrielle : Washington nomme six labos chinois, dix jours avant la visite de Xi Jinping

La distillation consiste à entraîner un modèle plus petit sur les sorties d'un modèle plus grand et plus coûteux, pour transférer des capacités en réduisant les dépenses de calcul. La CISA reconnaît dans son avis que la technique est légitime et utile en recherche. Ce qu'elle qualifie d'illégitime, c'est l'échelle et l'intention : selon les agences, les entreprises chinoises mènent « des activités de distillation agressives, malveillantes et ciblées à une échelle industrielle » qui forment, selon leurs mots, « le cœur — et non un simple complément — de leur stratégie de développement ».

Les six entreprises nommées sont DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI. Les modèles visés, selon l'avis, sont des variantes de Claude d'Anthropic, de GPT d'OpenAI, de Gemini de Google et de Grok de xAI. Les agences chiffrent l'activité en « milliards de tokens sur des millions d'échanges et de requêtes » depuis au moins fin 2024. Sur DeepSeek, l'avis est précis : une campagne organisée depuis fin 2024 ciblant les capacités de raisonnement, des optimisations spécialisées et des fonctions spécifiques à des domaines, pour générer des données d'entraînement synthétiques ayant servi à R1 et V3.

Le chiffre central de ce dossier n'a pas été produit par le gouvernement américain. Il vient d'Anthropic. Le 23 février 2026, l'entreprise avait publié un rapport détaillant des « campagnes à l'échelle industrielle » menées par DeepSeek, Moonshot et MiniMax : plus de 16 millions d'échanges générés avec Claude via environ 24 000 comptes frauduleux, en violation de ses conditions d'utilisation et de ses restrictions d'accès régionales. Claude n'est pas disponible en Chine. L'avis fédéral de septembre reprend la structure de cette démonstration privée et l'élargit à quatre fournisseurs et six labos.

Anthropic écrivait alors que le fait même que ces labos chinois aient produit des modèles performants par distillation renforçait la justification des restrictions à l'exportation — restrictions qu'elle dit soutenir depuis longtemps pour préserver l'avance américaine. Une entreprise qui dénonce le vol de ses sorties et qui, dans le même document, plaide pour le durcissement d'une politique commerciale dont elle bénéficie.

16 millions d'échanges

La distillation entre modèles propriétaires est interdite par les conditions d'utilisation de la plupart des fournisseurs américains, Anthropic comme OpenAI. Elle est aussi une pratique courante du secteur : les labos frontières distillent leurs propres modèles pour en produire des versions moins chères destinées aux clients. La CISA le reconnaît, en précisant que le partage de poids et la distillation existent dans le cadre de travaux légitimes. La ligne entre l'entraînement légitime et l'extraction interdite passe par les conditions contractuelles et l'usage de comptes frauduleux, pas par la technique elle-même.

Dès début 2025, après que DeepSeek soit devenue l'application gratuite la plus téléchargée sur iPhone, OpenAI avait indiqué avoir banni, avec Microsoft, des comptes soupçonnés de distiller ses technologies. DeepSeek figurait parmi les entreprises examinées. L'accusation gouvernementale de septembre n'ouvre donc pas un dossier : elle en officialise un que les fournisseurs privés documentent depuis dix-huit mois.

L'avis liste les modèles ciblés par chaque firme et décrit comment les requêtes auraient été dissimulées : répartition des opérations sur plusieurs fournisseurs et plusieurs voies d'accès pour échapper à la détection. Côté mitigations, les agences recommandent la détection des prompts malveillants, l'introduction de réponses trompeuses face aux tentatives de distillation, et le partage de renseignements entre fournisseurs. Ars Technica a contacté l'ensemble des entreprises dont les modèles auraient été visés ; aucune n'a répondu immédiatement, ce qui laisse ouverte la question du caractère praticable de ces recommandations.

5,5 millions de dollars

L'enjeu économique tient dans un écart de coût. DeepSeek revendique un entraînement de V3 pour environ 5,5 millions de dollars, contre les montants à trois chiffres annoncés pour les modèles frontières américains. Côté API, l'écart persiste : R1 se situe autour de 0,55 dollar par million de tokens en entrée et 2,19 dollars en sortie, un tarif que les revendeurs présentent comme 5 à 10 fois inférieur aux alternatives fermées comparables. C'est cet écart que l'avis américain désigne comme le produit d'une extraction, non d'une efficience.

La lecture n'est pas partagée. Le ministère chinois des Affaires étrangères a répondu dès le lendemain. Sa porte-parole Mao Ning a défendu les avancées chinoises comme « le résultat d'une autonomie scientifique et technologique de haut niveau » et a appelé Washington à renforcer la coopération « plutôt que de formuler des accusations sans fondement ». Un porte-parole de l'ambassade de Chine, Liu Chang, avait auparavant qualifié la démarche de campagne de « dénigrement » enracinée dans un préjugé anti-chinois, selon NBC News.

Pékin retourne l'argument. Le Quotidien du Peuple, organe du Parti communiste chinois, a rapporté qu'un porte-parole du ministère des Affaires étrangères affirmait que de nombreuses entreprises américaines ont elles-mêmes distillé des modèles chinois dans le cadre de leurs travaux de recherche et d'entraînement. Nombre de startups américaines veulent accéder aux modèles chinois, moins chers et suffisamment capables pour beaucoup de tâches. La même semaine, le ministère chinois de l'Industrie a dévoilé un plan visant à accroître fortement la capacité de calcul intelligent du pays sur cinq ans, selon le South China Morning Post — propriété d'Alibaba, l'une des six firmes nommées dans l'avis.

Le calendrier

L'avis paraît alors que l'administration Trump prépare la visite de Xi Jinping aux États-Unis fin septembre, et à quelques jours d'un dialogue bilatéral consacré aux risques de sécurité de l'IA prévu à la mi-septembre. Une accusation similaire avait été formulée en avril, avant un déplacement de Trump à Pékin. Les agences appellent à une réponse coordonnée entre le gouvernement américain, l'industrie privée et les nations alliées, en présentant l'activité comme une menace pour le leadership technologique américain et, au-delà, pour les capacités militaires et cyber que la Chine pourrait en tirer.

Pour un responsable IT européen, l'avis change moins la technique que le statut juridique des fournisseurs concernés. Les six labos couvrent une part significative des modèles ouverts et à bas coût utilisés aujourd'hui en production : DeepSeek, Qwen d'Alibaba, les modèles de Z.AI et de MiniMax circulent largement sur Hugging Face et dans les stacks d'inférence à coût contraint. Un modèle désigné par trois agences américaines comme le produit d'un vol de propriété intellectuelle reste techniquement déployable ; il devient plus difficile à justifier dans un dossier de conformité ou de due diligence fournisseur.

Aucune des entreprises américaines dont les modèles auraient été visés n'a chiffré publiquement le préjudice. Aucun des labos chinois n'a reconnu les faits. Les 16 millions d'échanges cités restent la mesure d'Anthropic, sur son périmètre, avec sa méthodologie de détection de comptes frauduleux — reprise par l'État fédéral sans chiffrage indépendant public.