Le problème des comptes Hydra : La défense de la distillation commence par la résolution d'identité (FR)

Le 23 février 2026, Anthropic a publié des chiffres mesurés sur un sujet que l'industrie de l'IA avait jusqu'alors principalement abordé de manière abstraite. Dans les campagnes de distillation identifiées, l'entreprise a rapporté que les laboratoires avaient « généré plus de 16 millions d'échanges avec Claude via environ 24 000 comptes frauduleux ». Un détail de ce rapport recadre l'ensemble du problème : « un seul réseau proxy a géré plus de 20 000 comptes frauduleux simultanément. »

Vingt mille comptes. Un seul acteur.

C'est la forme de la menace. La distillation adversariale — l'utilisation des sorties d'un modèle de pointe pour entraîner une copie moins chère de celui-ci — n'est pas exécutée par un seul compte suspect effectuant une seule requête suspecte. Elle est exécutée par une organisation qui répartit une seule campagne d'extraction sur des milliers de comptes, d'instruments de paiement, d'appareils et de chemins réseau, de sorte que chaque compte individuel semble anodin. Examinés un par un, aucun d'entre eux ne déclenche d'alerte. Examinés sous forme de graphe, ils constituent une seule machine.

C'est pourquoi la défense ne peut pas résider uniquement dans le modèle ou uniquement dans le trafic. Elle doit également répondre à une question que ces couches ne peuvent pas résoudre : qui est réellement derrière ces comptes ?

Points clés à retenir

• Anthropic a signalé plus de 16 millions d'échanges générés via environ 24 000 comptes frauduleux dans des campagnes de distillation identifiées, avec un seul réseau proxy gérant plus de 20 000 comptes simultanément.
• La distillation est un problème d'accès coordonné, et non un problème de requête unique. L'examen par compte y est structurellement aveugle.
• Le document de février 2026 du Frontier Model Forum définit la distillation adversariale et ses méthodes. Par conception, il se concentre sur la menace plutôt que sur les contrôles, et ne fait donc aucune recommandation concernant la vérification de compte, l'identité, la limitation de débit ou le contrôle d'accès.
• Les mesures d'atténuation listées par Anthropic incluent le « renforcement de la vérification pour les comptes éducatifs et de startup », ainsi que les classificateurs de détection et l'empreinte comportementale.
• Une couche d'accès vérifié fait trois choses que les contrôles de modèle ne peuvent pas faire : elle réduit l'anonymat, elle relie les comptes qui partagent une personne, un appareil ou un réseau, et elle rend un compte régénéré mort-né.
• La vérification d'identité seule n'empêche pas l'extraction de modèle. C'est une couche sur trois, et elle ne remplace pas les deux autres.

Ce qui s'est réellement passé

Le rapport d'Anthropic mérite d'être lu en entier, mais trois de ses conclusions sont particulièrement importantes pour quiconque conçoit des contrôles d'accès.

Le volume était concentré sur quelques acteurs. Anthropic a attribué « plus de 13 millions » d'échanges à MiniMax, « plus de 3,4 millions » à Moonshot AI, et « plus de 150 000 » à DeepSeek. Il ne s'agit pas de piratages opportunistes. Ce sont des programmes industriels soutenus.

Les comptes étaient coordonnés, et la coordination était visible dans les métadonnées. Anthropic a décrit des « schémas identiques, des méthodes de paiement partagées et une synchronisation coordonnée » qui « suggéraient un 'équilibrage de charge' » entre les comptes. L'attribution provenait des « métadonnées de requête et des indicateurs d'infrastructure » — dans un cas, des métadonnées de requête qui « correspondaient aux profils publics des cadres supérieurs de Moonshot. »

Les invites se sont répétées à une échelle absurde. Anthropic a noté des variations d'invites arrivant « des dizaines de milliers de fois via des centaines de comptes coordonnés. »

Lisez ces trois points ensemble et un schéma émerge. Presque tous les signaux qui ont exposé ces campagnes étaient des signaux relationnels — quelque chose partagé entre les comptes. Méthodes de paiement partagées. Synchronisation partagée. Infrastructure partagée. Modèles d'invites partagés. Aucun d'entre eux n'est visible si votre unité d'analyse est un seul compte.

Pourquoi l'examen par compte échoue

La plupart des outils de lutte contre les abus sont construits autour d'un verdict par compte. Un compte s'inscrit, est évalué, se voit attribuer une bande de risque et une décision. Ce modèle fonctionne bien pour les abus pour lesquels il a été conçu — un fraudeur utilisant une carte volée, un spammeur bombardant un canal.

Il échoue face à la distillation pour une raison structurelle spécifique : l'attaquant contrôle la part de la campagne que chaque compte individuel supporte.

Si votre seuil d'examen est « un compte effectuant 50 000 requêtes inhabituelles », l'attaquant utilise 20 000 comptes effectuant 800 requêtes chacun. Si votre seuil diminue, il ajoute des comptes. L'économie le favorise car les comptes sont l'entrée la moins chère du système. Un appel API de modèle de pointe a un coût marginal réel ; une adresse e-mail n'en a pas.

Le problème d'optimisation de l'attaquant est donc simple : maintenir le comportement par compte en dessous de n'importe quel seuil par compte, et évoluer horizontalement. Et cela fonctionne, car la défense mesure le mauvais objet. Elle mesure les comptes alors que l'adversaire est un acteur.

C'est la propriété de l'hydre. Coupez une tête et deux autres apparaissent, car ce qui génère les comptes n'a jamais été touché. Un réseau proxy gérant plus de 20 000 comptes simultanément, comme l'a rapporté Anthropic, en est l'expression pure — à cette échelle, la suppression des comptes un par un n'est pas une défense, c'est une tâche de maintenance.

Pour vaincre une hydre, il faut arrêter de couper les têtes et commencer à trouver le corps.

Les trois couches d'une défense de distillation

Une défense sérieuse comporte trois couches, et elles sont gérées différemment.

Couche	Propriétaire	Rôle
Contrôles de modèle	Le fournisseur de modèle	Limiter les traces de raisonnement sensibles, façonner les sorties, protéger le comportement du modèle
Détection de trafic	Le fournisseur de modèle, ou une pile de recherche/fournisseur	Détecter les motifs d'extraction répétitifs, sémantiquement concentrés ou coordonnés
Accès vérifié	Infrastructure d'identité	Résoudre qui est derrière un compte, lier les identifiants partagés, appliquer la politique à tout ce qui est lié à un abuseur confirmé

Les deux premières couches sont bien comprises et activement étudiées. Du côté du trafic, des travaux académiques récents sont vraiment encourageants : Liu, Guo et Dong (arXiv 2606.05725, juin 2026) conçoivent la surveillance de l'extraction comme un test de distribution de fenêtres de trafic calibré sur des données bénignes, utilisant la divergence maximale moyenne dans l'espace sémantique calibrée uniquement sur le trafic bénin. Sur quatorze paires de requêtes attaquant-normales issues de quatre scénarios d'extraction, ils rapportent un taux de détection de 100 % pour les cas d'attaquants purs avec un taux de faux positifs de 0,3 % sur les requêtes bénignes.

C'est un résultat solide, et il convient d'être clair sur ce que cela signifie : la détection de trafic fonctionne, et ce n'est pas la couche dont Didit parle. L'analyse sémantique des distributions d'invites est le travail du fournisseur de modèle, et elle devrait y rester.

La troisième couche est celle qui a le moins de directives de conception publiées — y compris dans le propre document de référence de l'industrie sur la menace.

Ce que couvre le document de référence

Le Frontier Model Forum a publié son document de référence sur la distillation adversariale le même jour que le rapport d'Anthropic. C'est un bon document. Il définit la distillation adversariale comme l'accès clandestin aux sorties d'un modèle — généralement en violation des conditions d'utilisation — pour entraîner un modèle secondaire qui reproduit les capacités de l'enseignant tout en contournant sa formation de sécurité. Il répertorie les méthodes : exfiltration de chaîne de pensée, critique de chaîne de pensée, auto-notation de chaîne de pensée, génération d'invites pour l'apprentissage par renforcement et génération de données synthétiques. Il nomme les capacités ciblées : raisonnement mathématique et scientifique, codage agentique, traitement multimodal, raisonnement général.

Il reconnaît également la véritable tension dans cet espace — « répondre à ces préoccupations de sécurité sans entraver la recherche légitime. »

Ce qu'il ne contient aucune recommandation sur la vérification de compte, la résolution d'identité, la limitation de débit ou le contrôle d'accès.

C'est un choix de portée, et un choix judicieux : le document vise à définir la menace et ses méthodes, et non à prescrire des contrôles. La conception de la couche d'accès est simplement un document différent.

C'est un document que l'industrie n'a pas vraiment encore écrit, cependant — alors que le laboratoire qui a mesuré la menace a listé le « renforcement de la vérification pour les comptes éducatifs et de startup » parmi les mesures d'atténuation dans lesquelles il investit, juste à côté des classificateurs de détection et de l'empreinte comportementale. La couche d'accès fait un travail réel en pratique et a très peu de directives de conception publiées derrière elle. C'est ce dont parle le reste de cet article.

Ce que fait réellement la couche d'accès vérifié

Soyons précis sur l'affirmation ici, car c'est en surévaluant que toute cette catégorie perd en crédibilité.

La vérification d'identité ne détecte pas la distillation. Elle ne peut pas voir la sémantique des invites, elle ne sait pas quelle capacité est ciblée, et elle ne vous dira jamais qu'un flux de requêtes ressemble à une exfiltration de chaîne de pensée. C'est le travail de la couche de trafic.

Ce que l'identité fait, c'est modifier la structure des coûts de l'attaquant de quatre manières spécifiques.

Elle réduit l'anonymat. Un compte lié à une personne vérifiée ou à une entreprise enregistrée est un compte avec un propriétaire attribuable. Cela n'empêche pas les abus, mais cela change ce que les abus coûtent et ce qu'ils risquent.

Elle relie les comptes qui partagent quelque chose de physique. Deux comptes enregistrés par le même visage, le même appareil ou le même réseau sont liés, que leur comportement semble lié ou non. C'est le signal que l'examen par compte ne peut pas produire, et c'est exactement la classe de signal — méthode de paiement partagée, synchronisation partagée, infrastructure partagée — qui a fait surface les campagnes décrites par Anthropic.

Elle rend la régénération coûteuse. La propriété de l'hydre dépend du fait que les nouveaux comptes sont bon marché et déconnectés des anciens. Lorsqu'un cas d'abus confirmé se propage à tous les identifiants qu'il a touchés — visage, document, téléphone, e-mail, IP et appareil — le compte suivant créé à partir de la même infrastructure échoue à la porte au lieu d'être attrapé 800 requêtes plus tard.

Elle évite les frictions pour les développeurs légitimes. C'est la contrainte qui rend l'ensemble viable. La vérification appliquée à tout le monde est une taxe sur la croissance. La vérification appliquée de manière adaptative — par niveau d'accès, quota, volume de crédit, géographie ou alerte comportementale de la couche de trafic — met la friction sur le risque et laisse le chemin du développeur de confiance rapide.

Quatre choses. Aucune d'elles n'est « empêcher l'extraction ». Toutes les quatre sont réelles.

Où Didit s'intègre

Didit est une infrastructure pour l'identité et la fraude, et les primitives qui composent une couche d'accès vérifié sont celles que nous proposons déjà et dont nous publions les prix :

• Vérification d'identité — document d'identité, vivacité passive, correspondance faciale et analyse IP, regroupés à 0,33 $ par vérification, avec 500 vérifications KYC gratuites par mois.
• Recherche faciale 1:N — recherche biométrique parmi les utilisateurs vérifiés que votre propre application a inscrits, gratuit avec la vérification. C'est la primitive qui relie deux comptes à une seule personne.
• Analyse IP et d'appareil — 0,03 $, et incluse dans le forfait à 0,33 $. Émet DUPLICATED_IP_ADDRESS, DUPLICATED_DEVICE_FINGERPRINT, DEVICE_RECOVERED_HIGH_CONFIDENCE, AUTOMATION_FRAMEWORK_DETECTED et les codes associés.
• API de listes — listes de blocage sur 12 types d'entrée, où le blocage à partir d'une session confirmée extrait automatiquement les identifiants capturés par cette session — visage, document, téléphone, e-mail, IP et appareil.
• Authentification biométrique — 0,10 $ pour une revérification sans mot de passe, pour lier une action privilégiée à la personne qui s'est inscrite plutôt qu'à un jeton porteur.
• Vérification d'entreprise — à partir de 2,00 $ par entreprise : recherche au registre, propriétaires effectifs et dirigeants, avec un contrôle d'entité à 0,20 $ et toute vérification d'identité liée pour un propriétaire effectif facturée aux tarifs standard de vérification d'utilisateur. Pour l'accès au niveau organisationnel et de recherche.

Vous composez ceux-ci dans la politique dont votre plateforme a besoin. La composition est votre architecture ; les primitives sont les pièces. Chacune est livrée via l'API unifiée /v3/ avec un prix publié et sans minimum — certaines comme leur propre point de terminaison, comme POST /v3/face-search/, et certaines via un flux de travail de session, comme l'authentification biométrique, qui n'a pas de point de terminaison autonome.

Cas d'utilisation

• Fournisseurs de modèles de pointe. Liez les accès à quota élevé, à crédit élevé et de niveau recherche à une personne ou une entreprise vérifiée, tout en laissant les niveaux gratuits et à faible volume sans friction.
• Plateformes API d'IA et fournisseurs d'inférence. Les revendeurs et agrégateurs héritent de l'abus sans hériter de la pile de détection. Une couche d'accès est souvent le seul contrôle qu'ils possèdent réellement.
• Produits de codage et d'agents IA. L'abus d'essai et le farming de crédits utilisent les mêmes mécanismes de multiplication de comptes que la distillation. Les mêmes primitives de liaison traitent les deux.
• Plateformes et marchés d'IA cloud. La vérification au niveau de l'organisation répond à la question « s'agit-il d'une véritable entreprise avec de véritables propriétaires effectifs » avant qu'un quota d'entreprise ne soit accordé.

Questions fréquemment posées

La vérification d'identité empêche-t-elle la distillation de modèle ?

Non. L'extraction est empêchée — dans la mesure du possible — par les contrôles de sortie au niveau du modèle et par la détection sémantique du trafic. L'identité réduit l'anonymat, relie les comptes dans le cadre d'une campagne et fait échouer rapidement les comptes régénérés. C'est une couche sur trois.

La vérification ne va-t-elle pas éloigner les développeurs légitimes ?

Seulement si vous l'appliquez à tout le monde. La conception qui fonctionne est adaptative : vérifiez en fonction du risque, du niveau, du quota, du volume de crédit, de la géographie ou d'une alerte comportementale. La plupart des développeurs ne devraient jamais voir une étape de vérification. Le KYC réutilisable de Didit est gratuit, de sorte qu'un développeur déjà vérifié ailleurs sur le réseau peut passer un contrôle sans le refaire.

Didit peut-il me dire si un flux de requêtes ressemble à de la distillation ?

Non. Didit ne voit pas vos invites et n'analyse pas la sémantique des requêtes. Ce signal provient de votre propre couche de trafic. Ce que Didit fournit, c'est la résolution d'identité pour associer cette alerte à un acteur, et les primitives d'application pour agir sur tous les comptes qui lui sont connectés.

Combien cela coûte-t-il à l'échelle d'une plateforme d'IA ?

La vérification est tarifée par vérification réussie sans minimum : 0,33 $ pour le forfait d'identité complet, 0,03 $ pour l'analyse IP et d'appareil seule, gratuite pour la recherche faciale 1:N, 0,10 $ pour la réauthentification biométrique, et à partir de 2,00 $ pour la vérification d'entreprise. Parce que la politique est adaptative, vous ne payez que sur la fraction de l'accès qui justifie réellement un contrôle. Les 500 premières vérifications KYC chaque mois sont gratuites.

Nous avons déjà un fournisseur de fraude. Pourquoi est-ce différent ?

La plupart des outils de fraude renvoient un verdict par compte. Le problème de la distillation est un problème par acteur, et les primitives qui relient les comptes à un seul acteur — recherche biométrique 1:N parmi vos propres utilisateurs, corrélation d'appareil et d'IP, et propagation de la liste de blocage à travers chaque identifiant à partir d'un seul cas confirmé — sont les choses spécifiques que la notation par compte ne fait pas.

Prêt à commencer ?

Commencez par la primitive qui produit le signal de liaison qui vous manque aujourd'hui.

• Lisez la documentation — Recherche faciale 1:N, avertissements d'analyse IP et d'appareil, et l'API de listes.
• Découvrez le produit — Vérification d'utilisateur et Vérification d'entreprise.
• Consultez les tarifs — chaque module est publié, paiement au succès, sans minimum.
• Commencez gratuitement — créez un compte sur business.didit.me et effectuez vos 500 premières vérifications KYC par mois sans frais.