AI-translated from English; not yet reviewed by a fluent editor.

# Selon Anthropic, les nouvelles défenses de Claude réduisent de 90 à 99 % l’extraction de son raisonnement

> Anthropic affirme que les tentatives présumées de distillation sur sa plateforme extraient 90 à 99 % moins de raisonnement de Claude. Ces défenses modifient aussi l’intégration à l’API et la facturation des requêtes bloquées.

By BIG CHANGE Editorial

Published: 2026-10-13T08:42:18.603Z
Updated: 2026-10-13T08:42:18.603Z
Canonical: https://bigchange.ai/blog/anthropic-claude-distillation-defenses-reasoning

![Conceptual charcoal illustration of an unbranded desktop monitor seen from the side with a dark privacy filter attached over its blank screen.](https://bigchange.ai/api/media/file/anthropic-preserved-reasoning-hero-v1.png)
AI-generated conceptual illustration by BIG CHANGE. No Anthropic device, software interface, attack or test result is depicted.

Anthropic affirme que des changements apportés à Claude ont fortement réduit la quantité de son raisonnement protégé que les distillateurs présumés peuvent extraire. Dans un [compte rendu du 12 octobre sur ses défenses](https://www.anthropic.com/research/distillation-defenses), l’entreprise estime que les jetons de raisonnement obtenus par les distillateurs sur sa propre plateforme ont été divisés par 10 à 100 après l’introduction d’un nouveau classificateur. La mesure repose sur le trafic et l’identification des attaques par Anthropic ; l’entreprise n’a pas publié d’évaluation indépendante de la réduction globale.

## Le grand changement

- **Ce qui a changé :** Anthropic combine désormais des contrôles sur la réutilisation d’un bloc de raisonnement de Claude, un classificateur qui bloque les tentatives de révélation du raisonnement caché et des limites imposées aux comptes qui persistent. Son estimation interne indique que beaucoup moins de raisonnement parvient aux distillateurs identifiés via sa plateforme.
- **Pourquoi c’est important :** Les transcriptions complètes du raisonnement peuvent servir de matériel d’entraînement pour reproduire le comportement d’un modèle. Restreindre cette source augmente le travail nécessaire à une extraction non autorisée, tandis que les développeurs d’API doivent conserver certains historiques de conversation et peuvent devoir payer certaines requêtes bloquées.
- **À suivre :** La durabilité de la baisse dépend des prochaines méthodes des attaquants et du trafic qui ne passe pas directement par la plateforme d’Anthropic. L’entreprise dit n’avoir encore observé aucune tentative très sophistiquée et persistante contre les nouvelles défenses, et prévoit de continuer à les modifier.

## Trois contrôles visent différentes voies d’extraction

La distillation de modèles consiste à entraîner un système plus petit à partir des réponses d’un modèle plus performant. Ici, Anthropic s’inquiète de la collecte non autorisée du raisonnement complet et caché de Claude, qu’elle estime plus utile à un imitateur potentiel que le seul texte des réponses. Auparavant, Anthropic résumait le raisonnement avant de le montrer aux utilisateurs. Dans un test de programmation mené par l’entreprise, un modèle entraîné sur des transcriptions complètes de Claude Opus 4.8 a obtenu 80,4 % sur SWE-bench Verified, contre 71,8 % avec des transcriptions résumées. Cette expérience étaye la valeur des traces complètes dans ce contexte ; elle ne mesure pas l’amélioration d’un modèle extérieur particulier.

Le premier nouveau contrôle limite le déplacement des blocs de raisonnement. Anthropic dit que des attaquants ont tenté de déplacer ces blocs entre conversations, modèles et comptes pour amener Claude à révéler du texte protégé. Avec Claude Fable 5.1 et Opus 5.5, le « raisonnement préservé » rattache un bloc au contexte de la conversation précédente pour les nouveaux comptes API. Anthropic limite aussi les modèles autorisés à lire les blocs d’autres modèles et rattache le raisonnement de Sonnet 5.5 à l’organisation qui l’a produit.

La [documentation actuelle de l’API Claude](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) rend concrète la conséquence pour l’intégration : une requête API qui renvoie un bloc de raisonnement antérieur doit préserver l’invite système, les outils et les messages précédents concernés. Pour les comptes créés à partir du 31 août 2026, le contrôle de préfixe est activé par défaut. Les applications qui réécrivent le contexte antérieur ou reconstruisent une conversation enregistrée devront peut-être modifier sa restitution. La documentation précise que les historiques ordinaires, auxquels on ajoute simplement des messages, n’exigent aucun changement.

Le deuxième contrôle d’Anthropic est un classificateur en deux étapes, entraîné et testé contre les tentatives d’extraction du raisonnement caché. Selon l’entreprise, il fonctionne sur ses modèles les plus performants généralement accessibles, notamment Sonnet 5.5, Opus 5 et 5.5, ainsi que Fable 5 et 5.1. Anthropic rapporte un taux de faux positifs inférieur à 0,1 % pour ces protections. Elle dit avoir corrigé des techniques consistant, par exemple, à demander le raisonnement antérieur dans une autre langue ou entre balises de sortie. L’article ne fournit pas de test indépendant de ce taux et ne démontre pas que toutes les futures méthodes d’extraction seront bloquées.

Le troisième contrôle agit au niveau du compte. Anthropic affirme que des tentatives d’extraction répétées peuvent entraîner des limites d’utilisation plus strictes ou des bannissements. Depuis le 24 septembre, l’entreprise facture de nouveau certaines requêtes bloquées avant la réponse de Claude, dans des catégories définies à faible taux de faux positifs, dont la distillation. Des utilisateurs légitimes peuvent donc subir à la fois un blocage erroné et des frais ; Anthropic reconnaît aussi que le raisonnement préservé a obligé certains développeurs à modifier leurs intégrations.

## Ce que mesure la baisse rapportée

Anthropic estime le nombre de jetons de raisonnement de Claude extraits par les distillateurs **sur sa propre plateforme**. Après l’introduction du classificateur, ce nombre aurait été constamment 10 à 100 fois inférieur à celui d’avant, et le classificateur détecterait les techniques décrites dans le rapport de septembre sur ses modèles les plus puissants généralement accessibles. L’estimation dépend de la capacité d’Anthropic à identifier le trafic de distillation et ne peut, à elle seule, mesurer l’extraction chez d’autres fournisseurs ni une méthode d’attaque non reconnue.

L’entreprise dit avoir banni des dizaines de milliers de comptes liés à la distillation, souvent dans les deux heures suivant le début d’une campagne. Elle affirme aussi que les distillateurs acheminent du trafic via des plateformes cloud tierces et d’autres fournisseurs d’inférence. Ces déclarations rendent importante la limite de la plateforme : une baisse des jetons extraits observée par Anthropic prouve un changement dans le trafic qu’elle peut mesurer, pas le volume total de données d’entraînement non autorisées collectées à partir de Claude partout.

Anthropic dit n’avoir pas encore observé de tentative très sophistiquée et persistante pour contourner les défenses actuelles. Cette réserve compte davantage qu’une affirmation de réussite permanente. L’entreprise a documenté une forte baisse interne et une approche opérationnelle pour protéger le raisonnement du modèle ; la suite dépendra de l’adaptation des attaquants et de la capacité des autres voies d’accès à détecter le même comportement.

## Sources et lectures complémentaires

- [Anthropic, « Renforcer nos défenses contre les attaques de distillation »](https://www.anthropic.com/research/distillation-defenses), 12 octobre 2026. Le récit de l’entreprise constitue la source principale sur les contrôles, l’estimation interne de l’extraction, le taux de faux positifs et les compromis pour les utilisateurs. Sa mesure de plateforme n’a pas été reproduite indépendamment pour cet article.
- [Claude Platform, « Raisonnement préservé »](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking), consulté le 13 octobre 2026. La documentation actuelle de l’API précise les règles relatives aux blocs et aux préfixes, les dates des comptes concernés et les modes d’intégration qui peuvent nécessiter des changements. Nous avons consulté la documentation ; BIG CHANGE n’a exécuté aucune requête API.
- [Anthropic, rapport de renseignement sur les menaces, septembre 2026](https://www.anthropic.com/threat-intelligence-report-september-2026), septembre 2026. Le rapport antérieur de l’entreprise donne le contexte des méthodes d’extraction auxquelles Anthropic dit avoir réagi ; il s’agit du propre récit de l’entreprise sur ces campagnes.

## Sources

- [Anthropic, Renforcer nos défenses contre les attaques de distillation](https://www.anthropic.com/research/distillation-defenses) — Récit de première main de l’entreprise sur les contrôles, mesures internes et compromis reconnus ; les estimations sont attribuées et ne sont pas vérifiées indépendamment.
- [Claude Platform, Raisonnement préservé](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) — Documentation API actuelle de première main sur la liaison des blocs, les contrôles de préfixe et les changements d’intégration ; BIG CHANGE n’a effectué aucune requête API.
- [Anthropic, rapport de renseignement sur les menaces, septembre 2026](https://www.anthropic.com/threat-intelligence-report-september-2026) — Récit antérieur de première main sur les méthodes ; élément de contexte, pas une corroboration indépendante des résultats d’octobre.