OpenAI accuse Moonshot d’une campagne d’extraction de données à grande échelle

OpenAI affirme avoir interrompu une campagne visant à faire apparaître le raisonnement interne protégé de ses modèles GPT. L’entreprise attribue un noyau de l’activité à des personnes associées à Moonshot AI, le développeur de la famille de modèles Kimi. Elle ne dit toutefois pas pouvoir relier tous les opérateurs observés à un acteur unique, et les chiffres publiés correspondent à des tentatives — pas nécessairement à des extractions réussies.

Ce qu’OpenAI dit avoir observé

Selon l’entreprise, l’activité a débuté le 1er juillet 2026. Les 24 et 25 juillet, elle a recensé 16 000 requêtes utilisant un schéma d’extraction, provenant de plus de 4 000 utilisateurs. Son enquête a ensuite repéré des consignes similaires chez plus de 15 000 utilisateurs au total. OpenAI dit avoir interrompu le groupe d’activité concerné au 28 juillet.

L’une des méthodes décrites consistait à copier le raisonnement chiffré d’une conversation, puis à demander à un modèle, dans un autre échange, de le déchiffrer et de le transcrire. OpenAI affirme que ces procédés cherchaient à rendre visible aux utilisateurs un contenu qui n’est normalement pas fourni dans les réponses. Elle souligne que ses statistiques mesurent des tentatives, et non la quantité de raisonnement effectivement récupérée.

Des accusations plus larges, mais des chiffres collectifs

Dans un avis publié en septembre, la NSA, la CISA — l’agence américaine chargée de la cybersécurité et de la sécurité des infrastructures — et le FBI citent Moonshot parmi six entreprises basées en Chine qu’ils accusent d’avoir mené des campagnes de distillation contre des modèles américains. La distillation consiste à entraîner un modèle à partir des réponses d’un modèle plus puissant : c’est une méthode qui peut être légitime, mais que les agences décrivent ici comme une extraction non autorisée.

L’avis évoque, pour l’ensemble des entreprises citées, des milliards de jetons extraits au moyen de millions de requêtes depuis au moins fin 2024. Il ne s’agit pas de chiffres propres à Moonshot. Les agences indiquent également que les requêtes auraient transité par plusieurs voies, notamment des API, des services cloud et des agrégateurs tiers susceptibles de masquer les informations sur leur origine.

Anthropic formule une accusation distincte : l’entreprise affirme que Moonshot a discrètement transmis à Claude près de 300 000 demandes de clients en dix jours, dont la grande majorité aurait été dirigée vers le modèle Opus, sans en avertir les utilisateurs. Selon Anthropic, les réponses auraient été utilisées pour améliorer les modèles de Moonshot. Il s’agit là encore d’allégations de l’entreprise, et non d’une preuve indépendante que chaque échange a servi à entraîner un modèle.

Kimi K3 dans Codex : une intégration, pas une preuve de lien

Le 30 septembre, des médias ont rapporté que des entreprises pouvaient utiliser Kimi K3 dans l’outil de programmation Codex d’OpenAI, par l’intermédiaire de Baseten, un fournisseur américain d’inférence — c’est-à-dire un service qui fait tourner les modèles pour répondre aux requêtes. Les frais pouvaient être imputés aux engagements de dépenses OpenAI déjà en place, sans ouvrir de nouveau contrat fournisseur. Cette intégration a été présentée comme une première pour un modèle chinois à poids ouverts dans ce circuit d’achat d’entreprise. 31

Le contraste avec les accusations d’OpenAI est frappant, mais les éléments disponibles ne montrent pas que l’accès de Kimi K3 à Codex ait facilité les tentatives d’extraction alléguées. Ces deux informations doivent donc être distinguées. 3

Quelles mesures de protection ?

L’avis des agences appelle les entreprises américaines à mettre en place une détection et des mesures d’atténuation face aux campagnes de distillation à grande échelle. Il souligne notamment que les requêtes peuvent emprunter différentes voies d’accès, ce qui complique l’identification de leur origine. Les informations accessibles ici ne permettent pas d’établir une liste exhaustive des contrôles recommandés par les agences ; mieux vaut donc ne pas leur attribuer un ensemble précis de mesures au-delà de ces indications.