Le 8 septembre 2026, la NSA, la CISA et le FBI ont publié un avis conjoint de cybersécurité, référencé AA26-251A, qui nomme six sociétés chinoises d'intelligence artificielle : DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI. Les trois agences les accusent de mener, depuis fin 2024 au moins, des campagnes de distillation « à l'échelle industrielle » contre les modèles de pointe américains. Le document dépasse la simple mise en garde : il décrit des méthodes, attribue des cibles à chaque société et prescrit aux fournisseurs américains une riposte technique, y compris l'altération discrète des réponses servies aux comptes suspects.
Ce que les agences affirment
La distillation consiste à entraîner un modèle sur les sorties d'un modèle plus capable. La pratique est courante et légitime, y compris chez les laboratoires américains qui distillent leurs propres modèles pour en produire des versions plus légères. Ce que l'avis vise est différent : l'interrogation massive d'API concurrentes, en violation des conditions d'utilisation, pour en récupérer les capacités. Selon les agences, ces campagnes ont extrait « des milliards de tokens sur des millions d'échanges » auprès des familles Claude, GPT, Gemini et Grok. La formule centrale du document, reprise par CNN, résume la thèse : « l'ampleur et la sophistication de ces campagnes indiquent que la distillation n'est pas un supplément au développement de modèles de ces entreprises, mais son cœur critique » (traduction ActuIA).
L'avis détaille les cibles société par société, d'après les reprises de The Next Web et Unite.AI. DeepSeek aurait puisé dans Claude, GPT, Gemini et Grok entre fin 2024 et mi-2025 pour entraîner R1 et V3, en ciblant le raisonnement. Moonshot AI, éditeur de Kimi, aurait extrait des millions d'échanges depuis mi-2025 sur le raisonnement agentique, le code et la vision. Alibaba se serait concentré fin 2025 sur le génie logiciel et le service client, avec Claude et GPT-5 en ligne de mire. StepFun aurait visé le code et les fonctions agentiques entre fin 2025 et début 2026, Z.AI la chaîne de pensée de GPT-5.5 et de Claude Opus à partir de mi-2026. Le cas de MiniMax est le plus singulier : les agences décrivent des tentatives d'injection de prompt destinées à faire croire à Claude Code qu'il était un produit MiniMax.
Le document règle aussi un compte avec le récit fondateur de DeepSeek. Le coût d'entraînement de 5,6 millions de dollars, largement cité depuis janvier 2025, y est qualifié de trompeur parce qu'il exclut le coût des données obtenues par distillation malveillante. L'argument revient à dire que la performance à bas coût de R1 reposait pour partie sur les investissements des laboratoires américains.
Une infrastructure de contournement
La partie la plus technique de l'avis décrit comment ces volumes ont pu être atteints malgré les restrictions géographiques et les plafonds d'usage. Les agences évoquent la création de comptes frauduleux, l'achat en masse d'abonnements premium, et un marché gris de proxys d'API appelés « stations de transfert », qui revendent l'accès aux modèles américains depuis la Chine en masquant l'origine des requêtes. Les campagnes les plus abouties ajouteraient un routage centralisé des requêtes, un nettoyage automatisé des métadonnées et une optimisation des quotas pour répartir la charge entre comptes. Des prompts de jailbreak serviraient enfin à extraire la chaîne de raisonnement que les fournisseurs cachent, ce qui explique la place de cette capacité parmi les cibles.
L'avis fournit des indicateurs de détection : comptes partagés entre plusieurs adresses IP, usage continu sans les variations d'un utilisateur humain, ratio anormal entre abonnements souscrits et volume consommé. Il cite des divulgations de l'industrie faisant état de réseaux de proxys gérant des dizaines de milliers de comptes frauduleux en simultané.
Ce que les agences demandent aux fournisseurs
Trois actions immédiates sont recommandées aux entreprises américaines. La première est classique : détecter et bloquer les prompts, comptes, réseaux et comportements anormaux. La deuxième l'est moins : appliquer des « changements de réponse ciblés qui altèrent subtilement les réponses aux tentatives suspectes de distillation malveillante », c'est-à-dire servir aux distillateurs présumés des sorties dégradées ou faussées sans les en informer. La troisième organise le partage de renseignements entre fournisseurs de modèles, plateformes cloud et agrégateurs d'API. Le document mentionne aussi la limitation de débit, l'obfuscation des sorties et le red teaming adverse, et invite les entreprises à signaler les incidents au FBI.
Le directeur par intérim de la CISA, Nick Andersen, a résumé l'intention : « Nous exhortons vivement les entreprises d'IA à prendre des mesures immédiates pour protéger leurs plateformes contre les campagnes de distillation qui menacent de combler l'écart des avancées réalisées par les entreprises américaines » (traduction ActuIA, citation rapportée par Unite.AI).
L'aboutissement d'une année d'accusations privées
L'avis fédéral consolide des alertes lancées par les laboratoires eux-mêmes. Le 12 février 2026, OpenAI avait adressé au House Select Committee on China un mémo affirmant avoir observé des comptes liés à des employés de DeepSeek développant des méthodes pour contourner ses restrictions d'accès, avec des routeurs obscurcis, selon Rest of World. Le même mois, Anthropic accusait DeepSeek, MiniMax et Moonshot AI d'avoir généré plus de 16 millions d'échanges avec Claude via quelque 24 000 comptes frauduleux. En juin, l'éditeur de Claude écrivait à des sénateurs et à la Maison-Blanche pour dénoncer, cette fois chez Alibaba, la plus grande campagne de distillation jamais menée contre son modèle : environ 25 000 comptes et près de 29 millions d'échanges entre avril et juin, centrés sur le génie logiciel et le raisonnement agentique, rapporte The Next Web.
La Maison-Blanche avait déjà repris ces griefs à son compte. Le 23 avril, Michael Kratsios, conseiller scientifique du président, publiait un mémo dénonçant des campagnes délibérées et industrielles menées par des entités « principalement basées en Chine », et soutenait un projet de loi de la commission des affaires étrangères de la Chambre autorisant des sanctions contre les acteurs étrangers qui extraient les capacités des modèles américains, selon NPR. L'avis du 8 septembre transforme ce discours politique en document opérationnel signé par les agences de renseignement et de sécurité.
Réactions et limites
Pékin a répondu sans attendre. Liu Chang, porte-parole de l'ambassade de Chine à Washington, a qualifié l'avis d'« attaque délibérée contre le développement et les progrès de la Chine dans l'industrie de l'IA », ajoutant que de telles actions ne feraient qu'étouffer les avancées mondiales de l'IA, d'après Bloomberg. Le ministère des Affaires étrangères a jugé les accusations infondées. Aucune des six sociétés n'avait réagi au moment de la publication. Le calendrier compte : l'avis précède de quelques semaines une rencontre prévue entre Donald Trump et Xi Jinping, et Bloomberg relève que les agences suggèrent que ces campagnes ont eu lieu « avec la connaissance du gouvernement chinois », sans que l'avis en apporte la démonstration publique.
Plusieurs réserves méritent d'être gardées à l'esprit. L'avis attribue des comptes et des flux à des sociétés nommées, mais ne rend pas publics les éléments d'attribution ; il s'appuie pour partie sur les divulgations des laboratoires américains, qui sont aussi les concurrents commerciaux des sociétés visées. La distillation en tant que telle n'est pas illégale ; l'infraction alléguée tient à la fraude sur les comptes et à la violation des conditions d'utilisation, et la qualification de vol de secrets commerciaux avancée par les agences reste à éprouver devant un tribunal. Kyle Chan, de la Brookings Institution, avait averti dès avril qu'il serait extrêmement difficile de distinguer une distillation non autorisée d'un usage légitime à fort volume. Cette difficulté se retourne contre la deuxième recommandation : altérer discrètement les réponses des comptes suspects expose les fournisseurs à dégrader, sans le dire, le service de clients légitimes dont les flottes d'agents présentent précisément les signatures listées, usage continu, débit maximal, comptes partagés. Une entreprise européenne qui exploite des agents autonomes sur des API américaines a désormais une raison concrète de documenter ses usages et de surveiller la qualité de ses sorties.
Reste la question que l'avis pose sans la trancher : si les modèles ouverts chinois, très utilisés en Europe pour leur coût et leur licence, doivent une part de leurs capacités aux modèles américains, la riposte prescrite pourrait ralentir leur prochaine génération. La suite dépendra de ce que les fournisseurs américains déploieront réellement, et du sort de la loi de sanctions en attente au Congrès.