Will DePue取证报告:六款中国AI模型被指训练于NVIDIA Blackwell芯片

六款模型匹配Blackwell指纹

一份于11月12日发布的取证研究称,四家中国头部人工智能实验室最新推出的六款模型,是在NVIDIA的Blackwell芯片上训练的,而美国出口管制明令禁止这类芯片运往中国。作者是前OpenAI研究员Will DePue,他通过在X上发帖公布了结论,并同时公开了完整方法与代码。报告点名的六款模型均发布于2026年4月之后,分别是DeepSeek的DeepSeek-V4-Flash与DeepSeek-V4-Pro、月之暗面的Kimi K3与Kimi K3.1-Pro、MiniMax的MiniMax-M3,以及蚂蚁集团的Ling-3.1-flash。其中DeepSeek-V4-Flash和MiniMax-M3对应B200或B300,其余四款对应GB200或GB300,即NVIDIA的旗舰级机架系统。识别依据是初始化数值,也就是模型权重在训练开始前被赋予的随机起点。报告指出,这些数值的排布方式与生成它们的特定芯片绑定,因此公开发布的检查点会留下一份可读出的训练硬件痕迹。报告同时承认,该方法无法显示芯片位于何处、由谁持有。把同一批测试跑向这些公司的早期发布时,结果读出的是上一代Hopper:DeepSeek截至2024年12月的V3,月之暗面截至2026年1月的Kimi K2.5,MiniMax截至2026年4月的M2.7。DeepSeek与月之暗面此前曾表示使用H800训练。按这一判读,转向Blackwell就发生在今年。

@willdepue · X 帖子

在X上发帖.

在 X 上查看

种子取证方法与边界

其机制相当具体。PyTorch等框架用一个单独的种子数生成模型的起始数值,并把工作并行分派到大量GPU线程上。线程数与芯片的算力单元对应:Hopper为132,B200和B300为148,GB200和GB300为152。同一颗种子因此会生成相同数值、但落在不同位置,而训练从未触及的权重几乎原样保留着起点。DePue报告称,团队针对公开检查点搜索了约6万亿个种子与芯片排布的组合。据报告估算,纯巧合至多产生约8个标准差的匹配,而这六款模型中最强的证据介于49至1,385个标准差之间,最弱的单项测试也有20。结果还在实体硬件上得到复现:种子953049583在B300上逐位还原了DeepSeek-V4-Flash未被改动的初始化数值,在H100上则不能;一台租用的GB200以0.999995的相关度复现了Kimi K3。对24款由开发者自行披露训练硬件的模型的检验全部吻合,报告称这属于一致性核查,而非实测准确率。报告也为自身划定了边界:它只能识别生成初始权重的芯片,不能覆盖完整训练过程,且权重无法暴露芯片的持有者或所在位置;中国以外的数据中心可以租用Blackwell,证据本身无法证明走私或违反出口管制。规模估算显示,Kimi K3约用了4,500块Blackwell GPU,DeepSeek-V4-Pro约3,000块,五次运行合计接近12,000块。DePue在11月12日修订了这些数字,同时表示他对这些估算信心有限,因为没有任何实验室披露训练效率或时长。并非所有实验室都换了芯片:阿里巴巴的Qwen、智谱、腾讯、小米和StepFun仍读作Hopper,而美团称LongCat-2.0完全由自研AI芯片训练,未显示任何NVIDIA指纹。DePue称Anthropic与OpenAI的资深研究员独立验证了这一结果,但未点名;截至目前,包括NVIDIA在内的所有涉事公司均未公开回应。

对出口管制执法而言,这一发现把审计环节从口岸搬到了检查点。公开权重长期被视作公共产物,而一个可靠的指纹会把每一次模型发布变成事实上的硬件披露,实验室很难再收回。该方法的局限同样是结构性的:它指认的是芯片家族,而非某一批货运,海外租用的算力完全落在其盲区之内,政策问题也随之指向这里。如果四家实验室保持沉默,就需要监管机构来查清芯片实际所在;如果指纹方法经受住复现检验,此后中国每一款新模型的发布都会被读两遍,一遍读能力,一遍读硬件。