Ils croyaient écrire à un modèle chinois, Claude répondait

Quelqu'un a demandé de l'aide pour nettoyer un tableau de budget avant une réunion du jeudi. Les montants de quatre sites industriels étaient dedans : Hô Chi Minh-Ville, Kuala Lumpur, Bangkok, Ljubljana. Quelqu'un d'autre a collé la configuration d'un robot de notification en panne, jeton Telegram et deux clés d'API encore actives comprises.

Ces deux messages sont aujourd'hui reproduits, chiffres et clés noircis, dans un rapport public publié le 10 septembre par Anthropic. Ni l'une ni l'autre de ces personnes n'a jamais écrit à Anthropic. Elles s'adressaient à un assistant chinois.

Sept laboratoires nommés, et des chiffres qui appartiennent au plaignant

Le rapport, « Detecting and countering misuse of AI », couvre la période de décembre 2025 à août 2026 et accuse, selon ses propres termes, « sept laboratoires basés en Chine » d'avoir mené des campagnes de distillation contre Claude. Traduction : avoir fait tourner le modèle américain en masse pour récupérer ses réponses et entraîner les leurs.

Les sept sont Alibaba, Moonshot AI, DeepSeek, Zhipu (Z.ai à l'export), Xiaomi, SenseTime et MiniMax. Anthropic attribue à Alibaba un pic de près de 3 millions d'échanges par jour depuis plus de 3 500 comptes frauduleux, et plus de 151 millions d'échanges entre mai et juillet.

Un point doit être posé tout de suite, parce qu'il conditionne le reste. Ces chiffres sortent des journaux internes d'Anthropic. Aucun tiers ne les a audités, le rapport n'annonce aucune saisine d'autorité, et aucune des sept entreprises n'y est indiquée comme contactée pour donner sa version. C'est le relevé du compteur fourni par celui qui se dit volé.

Deux laboratoires servaient du Claude sans le dire

Le plus intéressant n'est pas l'ampleur du pompage, c'est le chemin qu'ont pris les données pour y arriver. Trois des sept laboratoires ont nourri Claude avec les conversations de leurs propres clients, et pas de la même manière.

Moonshot, l'éditeur de Kimi, aurait « silencieusement transféré les requêtes de ses clients vers Claude au lieu de les traiter avec Kimi », puis affiché les réponses de Claude. Le rapport parle de près de 300 000 requêtes clients relayées en dix jours, via 5 380 faux comptes situés surtout à Singapour et au Japon.

DeepSeek aurait fait la même chose, avec un tri : repérer certaines chaînes de caractères dans les requêtes entrantes pour identifier les développeurs travaillant depuis des outils de code tiers, puis rediriger ceux-là vers Claude Opus. Plus de 12,1 millions d'échanges en quatorze jours de juillet.

Xiaomi, lui, n'a pas fait ça, et la nuance compte. Anthropic précise que son enquête « n'indique pas que Xiaomi ait utilisé les réponses de Claude pour servir ses utilisateurs » : le fabricant aurait enregistré les conversations de ses propres clients avec ses modèles MiMo, puis les aurait rejouées vers Claude pour fabriquer des données d'entraînement. Plus de 400 000 requêtes en vingt jours.

Un identifiant de base gouvernementale russe, un fichier de police municipale

Ce que ces relais ont déposé chez Anthropic dépasse largement un tableau de budget. Le rapport décrit, côté DeepSeek, les requêtes d'un informaticien travaillant pour une agence liée au ministère russe de la Défense, qui ont exposé les identifiants actifs d'une base gouvernementale. Plus loin, des ingénieurs construisaient pour un bureau municipal de la sécurité publique chinois un outil comparant les déplacements d'une personne aux fichiers de police, indexé sur le numéro national d'identité.

Côté Moonshot, un utilisateur qu'Anthropic estime « probablement affilié à l'APL » faisait analyser les archives de centaines de caméras de Chengdu. Un ingénieur d'une grande entreprise d'État chinoise, lui, a livré du code interne et des identifiants actifs. Le rapport le formule ainsi : « L'utilisateur n'avait aucun moyen de savoir que son usage de Kimi était transféré à Claude. »

Au total, Anthropic dit avoir vu passer « des noms, des adresses e-mail, des données d'entreprise et d'autres données sensibles de centaines d'utilisateurs finaux, dans au moins une douzaine de langues ». Beaucoup de ces échanges venaient de services de routage tiers, ceux que des développeurs américains et européens utilisent pour basculer d'un modèle à l'autre. Un aiguillage de plus dans une chaîne où plus personne ne sait qui parle à qui.

Six noms le 8 septembre, sept le 10

Deux jours avant ce rapport, la NSA, la CISA et le FBI publiaient un avis conjoint sur le même sujet. Il nommait six entreprises : DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI.

Les deux listes ne coïncident pas. Cinq noms sont communs aux deux documents. StepFun, que les agences accusent, est absent du rapport d'Anthropic. Xiaomi et SenseTime, qu'Anthropic accuse, sont absents de l'avis des agences. Personne ne semble avoir relevé l'écart.

L'écart dit quelque chose de la répartition des rôles. L'avis des agences est précis sur les modèles copiés, mais il ne donne aucun volume, aucun décompte de comptes, et n'indique jamais d'où viennent ses informations. Le document qui apporte les preuves est celui de l'entreprise qui se dit victime. Le régulateur accuse sans montrer ; le vendeur montre parce que c'est lui qui détient le relevé.

On est allé lire les conditions d'utilisation

Reste la question que le rapport ne pose pas : ces utilisateurs pouvaient-ils le savoir ? Anthropic affirme que ces pratiques sont « probablement incompatibles avec les lois sur la vie privée et avec les propres conditions d'utilisation des laboratoires ». On est allé vérifier.

La politique de confidentialité de DeepSeek en vigueur à l'époque des faits énumère limitativement ses destinataires : prestataires techniques, groupe, transaction d'entreprise, autorités. Le seul partage d'entrée utilisateur qu'elle prévoit porte sur des mots-clés envoyés à un moteur de recherche. Rien sur l'envoi d'une conversation à un fournisseur de modèle étranger.

Chez Kimi, c'est plus net encore. La politique actuelle stipule que les données personnelles sont stockées en Chine et que l'entreprise ne les transmettra pas hors de Chine sans consentement distinct. Sa liste officielle des tiers destinataires compte une vingtaine d'entités : Tencent, Huawei, OPPO, Vivo, les opérateurs télécoms chinois, et côté occidental Google, Apple et AppsFlyer.

Toutes y figurent pour du login, du paiement ou de la mesure publicitaire. Aucun fournisseur de modèle, aucune ligne qui prévoie qu'une conversation parte ailleurs. Deux réserves : cette version date de fin août 2026, donc après la période décrite, et on n'a pas retrouvé de conditions propres à l'API MiMo de Xiaomi.

Qui devait les prévenir ?

Le rapport répond à moitié. Sur Moonshot, Anthropic écrit : « Nous ne savons pas si Moonshot a informé ses clients que leurs requêtes étaient réacheminées. » Sur sa propre démarche, rien. Le document ne dit nulle part si les personnes dont les messages sont reproduits ont été prévenues, ni comment leur contenu a été lu.

Anthropic tire pourtant de l'affaire une conclusion qui vaut bien au-delà d'elle : les fournisseurs de modèles continueront d'acquérir sur les usages réels une visibilité « que même les gouvernements et les organisations intergouvernementales n'ont pas ». La phrase est écrite comme un argument. Elle se lit comme un constat.