NSA, CISA et FBI avertissent les entreprises d’IA basées en Chine d’extraire les modèles de pointe américains

L’Agence de sécurité nationale, l’Agence de cybersécurité et de sécurité des infrastructures et le Bureau fédéral d’enquête ont publié un avis conjoint sur la cybersécurité le 8 septembre 2026, avertissant que les entreprises d’intelligence artificielle basées en Chine extraient systématiquement des capacités propriétaires des modèles d’IA de pointe américains grâce à des campagnes d’extraction de connaissances à l’échelle industrielle en cours depuis au moins la fin de 2024.

Dans l’avis, désigné AA26-251A, les agences indiquent que ces campagnes « constituent le cœur – pas simplement un supplément » de la stratégie de développement de l’IA des entreprises. Selon l’avis, probablement avec la connaissance du gouvernement chinois, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI ont extrait des milliards de jetons à travers des millions d’échanges et de requêtes provenant de modèles d’IA de pointe américains, y compris des variantes de Claude, GPT, Gemini et Grok. Les agences déclarent que cette activité viole les conditions d’utilisation des entreprises américaines et menace le leadership technologique des États‑Unis.

L’annonce de l’avis de la CISA décrit l’extraction de connaissances comme une technique d’apprentissage automatique qui entraîne un modèle moins performant en utilisant les sorties d’un modèle plus grand et plus performant. Bien qu’il s’agisse d’une méthode d’entraînement valide, la CISA indique qu’elle peut être détournée pour acquérir des capacités auprès de concurrents en moins de temps et à moindre coût que le développement légitime. « Nous exhortons fortement les entreprises d’IA à prendre des mesures immédiates pour protéger leurs plateformes contre les campagnes d’extraction de connaissances qui menacent de réduire l’écart des avancées réalisées par les entreprises américaines », a déclaré le directeur par intérim de la CISA, Nick Andersen.

Activité attribuée à DeepSeek, Moonshot AI et autres

Selon l’avis, DeepSeek mène une campagne d’extraction organisée contre les modèles d’IA de pointe américains depuis au moins la fin de 2024 afin de générer des données d’entraînement synthétiques pour ses modèles, dont le R1, publié début 2025. Les agences indiquent que DeepSeek a ciblé les capacités de raisonnement, les optimisations spécialisées et les fonctions spécifiques à un domaine afin de réduire les coûts de calcul et de recherche, et que le coût d’entraînement de 5,6 million de dollars, cité publiquement par l’entreprise, est trompeur car il exclut le coût des données acquises par extraction malveillante. Entre la fin 2024 et le milieu 2025, l’avis précise que DeepSeek a extrait des modèles Claude 3.7, Claude Sonnet 4, Claude Sonnet 4.5, Claude Opus 4.1, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT‑4, GPT‑4o, GPT‑4 Mini, GPT‑4 Nano, GPT‑5 et Grok 4 pour entraîner ses modèles R1 et V3.

L’avis indique que Moonshot AI a mené une campagne d’extraction généralisée depuis au moins le milieu 2025, extrayant d’importantes données Claude Fable 5 pour entraîner son modèle Kimi‑K3 et des données GPT‑4o pour entraîner son modèle Kimi‑K2. Les capacités ciblées comprenaient l’optimisation du fine‑tuning supervisé, l’apprentissage par renforcement, l’ingénierie logicielle et les mathématiques, tirées d’un éventail de modèles Claude, GPT, Gemini et Grok. Selon l’avis, Moonshot AI a utilisé des millions d’échanges visant le raisonnement agentique et l’utilisation d’outils, le codage et l’analyse de données, le développement d’agents d’utilisation d’ordinateurs et la vision par ordinateur.

À la fin 2025, l’avis indique qu’Alibaba a extrait Claude‑4, Claude Opus, Claude Sonnet et GPT‑5 afin d’améliorer l’ingénierie logicielle, le dialogue du service client ainsi que la création d’images et de personnages dans sa famille de modèles Qwen. Au même moment, MiniMax a extrait les capacités de raisonnement en chaîne de pensée, d’apprentissage par renforcement, de fine‑tuning supervisé et d’ingénierie logicielle pour améliorer son modèle M2 à partir de Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro et Gemini 3 Pro. Selon l’avis, MiniMax a également utilisé Claude Code pour le développement logiciel interne et a employé des injections d’instructions pour tenter de faire croire à Claude Code qu’il s’agissait d’un produit MiniMax.

Entre la fin 2025 et le début 2026, l’avis indique que StepFun a extrait des données de Claude Opus 4.1 et 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT‑5 Mini, GPT‑5 Pro, GPT‑5.1, GPT‑5.1 Codex et GPT‑5.2 afin d’améliorer les fonctions de codage et d’agentic de son modèle Step 4. À la mi‑2026, Z.AI avait extrait des milliards de jetons de données GPT‑5.5 et Claude Opus 4.8 pour développer des capacités de raisonnement en chaîne de pensée, selon l’avis.

Tactiques et techniques

L’avis indique que les entreprises acheminent les requêtes d’extraction via des interfaces de programmation d’applications natives, des fournisseurs de cloud distants et des agrégateurs tiers qui masquent les métadonnées des utilisateurs, et qu’elles utilisent un marché gris de proxys d’API, appelés stations de transfert, pour contourner les restrictions géographiques, éluder les protections et compromettre la traçabilité. Selon l’avis, les économies de coûts proviennent d’achats en gros d’abonnements premium partagés entre les équipes de développeurs, et les tactiques avancées comprennent l’extraction de raisonnement en chaîne de pensée, le basculement automatisé entre les voies lors de tentatives de blocage, ainsi que des cadres d’évaluation de la qualité conçus pour détecter les contre‑mesures défensives.

Les agences ont associé l’activité au cadre MITRE ATLAS à travers les phases du cycle de vie de l’adversaire, de la création de ressources à l’exfiltration, incluant la création de comptes frauduleux et des invites de contournement qui forcent les modèles à révéler le raisonnement en chaîne de pensée caché. L’avis indique que DeepSeek a utilisé des invites demandant aux modèles d’imaginer et d’articuler le raisonnement interne derrière les réponses terminées, et que MiniMax a redirigé les échanges vers un nouveau modèle Claude dans les 24 heures suivant sa sortie.

L’avis détaille également quatre techniques qu’il qualifie de novatrices: contournement des restrictions régionales combiné à l’exploitation d’abonnements, infrastructure centralisée de routage des requêtes, assainissement automatisé des métadonnées des requêtes, et optimisation systématique des quotas et des coûts. Les indicateurs de détection répertoriés dans l’avis comprennent des comptes partagés utilisés depuis plusieurs adresses IP et agents utilisateurs, une utilisation continue 24 h/24 sans variation humaine, des ratios abonnement‑utilisation anormaux, ainsi que de nouveaux abonnements fonctionnant immédiatement à pleine capacité.

Mesures d’atténuation recommandées

Les agences recommandent aux entreprises d’IA américaines d’entreprendre trois actions immédiates: mettre en œuvre une détection et une atténuation complètes des invites, comptes, réseaux et comportements anormaux ou malveillants ; déployer des modifications ciblées des réponses qui modifient subtilement les réponses aux tentatives d’extraction malveillantes suspectées ; et instaurer un partage d’intelligence inter‑organisationnel entre les fournisseurs de modèles, les plateformes cloud et les agrégateurs d’API.

Les modifications de réponse peuvent inclure la confidentialité différentielle ou la mise à disposition de modèles déclassés pour les requêtes d’extraction suspectées, indique l’avis, et les entreprises devraient faire varier ces changements d’une requête à l’autre afin de compliquer l’évaluation de la qualité des réponses. L’avis recommande de ne pas informer les utilisateurs suspectés d’une extraction malveillante lorsque les réponses sont modifiées, tout en précisant que les chercheurs en sécurité de l’IA et les évaluateurs tiers doivent être informés des changements de modèle.

L’avis énumère des mesures d’atténuation tirées du MITRE ATLAS, notamment des limites de taux de requêtes, des contrôles d’accès aux modèles de production, la journalisation de la télémétrie IA, l’obfuscation des sorties, le red‑team adversarial, le renforcement des modèles, les ensembles, et des limites à la diffusion des artefacts de modèle. Il cite également la taxonomie d’apprentissage automatique adversarial du NIST, incluant la confidentialité différentielle avec son compromis bruit‑utilité, les interventions avant et après l’entraînement, ainsi que les techniques d’instruction et de formatage des invites.

L’avis appelle à une réponse coordonnée entre le gouvernement américain, le secteur privé et les nations alliées, indiquant que les divulgations de l’industrie documentent des réseaux de proxys gérant simultanément des dizaines de milliers de comptes frauduleux. Il invite les organisations touchées par ces campagnes à déposer une plainte auprès du FBI Internet Crime Complaint Center.