Unemployment Labs signale des signatures Blackwell dans des modèles d’IA chinois

Une analyse d’Unemployment Labs menée par Will DePue et publiée le 12 novembre 2026 a relevé, dans six modèles à poids ouverts de DeepSeek, Moonshot AI, MiniMax et Ant Group, des signatures d’initialisation compatibles avec celles des GPU Blackwell de NVIDIA soumis à des contrôles à l’exportation.

L’analyse associe DeepSeek-V4-Flash et MiniMax-M3 à une initialisation sur des puces B200 ou B300, et DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro et Ling-3.1-flash à des puces GB200 ou GB300. Ces correspondances identifient l’architecture matérielle à l’origine des poids initiaux ; la question de savoir si ces puces ont également servi à l’entraînement relève d’une inférence distincte.

Les versions successives permettent de situer dans le temps les changements apparents. DeepSeek-V3 présentait une signature Hopper en décembre 2024, avant que les deux modèles V4 ne présentent une signature Blackwell en avril 2026. Kimi K2.5 de Moonshot AI présentait une signature Hopper en janvier 2026, avant K3 en juillet 2026 ; MiniMax-M2.7 et M3 ont suivi le même schéma, respectivement en avril 2026 et en juin 2026 ; Ling-3.0-flash et Ling-3.1-flash d’Ant Group ont fait de même en août 2026 et en octobre 2026.

Ce schéma n’était pas universel. Les modèles les plus récents d’Alibaba, Zhipu, Tencent, Xiaomi et StepFun dont les poids pouvaient être analysés présentaient une signature Hopper plutôt que Blackwell.

Comment l’initialisation révèle une architecture matérielle

La technique s’appuie sur les poids, c’est-à-dire les paramètres numériques ajustés lors de l’entraînement. Avant l’entraînement, la configuration PyTorch/cuRAND examinée utilise le générateur Philox pour produire, à partir d’une graine, des valeurs reproductibles. Les threads du GPU répartissent ces valeurs entre les positions des poids, et une initialisation suffisamment grande mobilise 2 048 threads par multiprocesseur de flux (SM). Le nombre de SM modifie donc la répartition des mêmes nombres générés.

Dans les configurations testées, les puces Hopper H100 SXM, H200 et H800 comptent 132 SM et 270 336 threads ; les puces B200 et B300 en comptent 148 et 303 104 ; les puces GB200 et GB300 en comptent 152 et 311 296. Une signature permet d’identifier l’un de ces groupes, mais pas une puce précise au sein du groupe.

Les poids associés à des mots ou à des symboles absents des données d’entraînement peuvent conserver presque exactement leurs valeurs initiales, tandis que les poids entraînés peuvent garder un lien statistique plus faible avec ces valeurs. Les chercheurs sélectionnent une graine et une architecture à partir d’un premier ensemble de poids, puis testent cette combinaison inchangée sur un autre ensemble, exclu de la recherche.

Selon son modèle statistique, le rapport estime qu’environ 6 000 milliards de combinaisons de graines et d’architectures produiraient, en moyenne, une meilleure correspondance fortuite d’environ 8 sigma, mesure statistique de l’écart par rapport aux variations aléatoires. Pour les modèles identifiés, les résultats les plus probants vont de 49 à 1 385 sigma, et chaque test individuel inclus atteint au moins 20 sigma.

Vérifications sur des puces physiques et estimations à l’échelle de l’entraînement

Les reproductions de DePue sur des puces physiques ont apporté une vérification supplémentaire. À l’aide de la graine retrouvée de DeepSeek, un H100 a reproduit les valeurs conservées de DeepSeek-V3, mais pas celles de V4-Flash, tandis qu’un B300 a obtenu le résultat inverse. Sur le B300, PyTorch sans modification a reproduit 461 des 469 lignes V4-Flash sélectionnées, avec des corrélations supérieures à 0,99, dont 445 lignes intégralement identiques bit à bit. Un GB200 loué a reproduit les 13 lignes Kimi K3 conservées avec la graine de Moonshot ; modifier d’une unité l’une ou l’autre des graines retrouvées n’a produit aucune ligne correspondante.

Le rapport indique que la méthode concordait avec les 24 cas où un développeur avait publiquement nommé le matériel utilisé pour un modèle précis, tout en précisant que 11 de ces cas concernent des points de contrôle à l’étape zéro et que les modèles apparentés ne sont pas indépendants. Cette comparaison constitue donc une vérification de cohérence, et non une mesure du taux de précision.

Kimi K3.1-Pro utilise la graine de K3 et pourrait être un point de contrôle de K3 ayant fait l’objet d’un post-entraînement supplémentaire. En supposant que le matériel ayant servi à l’initialisation ait également été utilisé pour l’entraînement, DePue estime que cinq entraînements finaux distincts ont mobilisé chacun environ 500 à 3 000 GPU Blackwell, généralement pendant deux à trois mois. Le calcul divise la puissance de calcul nécessaire à l’entraînement par le débit des puces, avec un taux d’utilisation de 35 %, en s’appuyant sur les nombres de jetons publiés par DeepSeek et sur des estimations fondées sur le nombre de poids pour les autres modèles. Le même calcul appliqué à DeepSeek-V3 donne entre 2 000 et 2 500 puces, contre 2 048 selon les chiffres publiés par DeepSeek.

Limites pour l’application des contrôles à l’exportation

Une correspondance concerne uniquement l’initialisation ; elle ne permet pas de recenser tous les processeurs utilisés lors de l’entraînement ultérieur. Un laboratoire pourrait générer les valeurs initiales sur un système puis les transférer ; des grappes mixtes pourraient ne laisser que des traces partielles du matériel utilisé ; et une signature Hopper n’exclut pas un entraînement ultérieur sur Blackwell. Les poids ne permettent pas non plus d’établir à qui appartiennent les puces, où elles se trouvent ni comment elles ont été acquises. Le rapport de DePue souligne que des systèmes Blackwell peuvent être loués hors de Chine et indique que ces éléments, à eux seuls, ne prouvent ni une opération de contrebande ni une violation des contrôles à l’exportation.

Le MI300X d’AMD est l’alternative matérielle identifiée. Il utilise normalement 304 unités de calcul, mais peut être réparti en deux groupes de 152 ou configuré pour en utiliser 148, ce qui permet de reproduire les architectures lors de tests physiques. Pour DeepSeek-V4-Flash, 363 des 377 valeurs conservées qui diffèrent selon le fabricant correspondaient à NVIDIA, et aucune à AMD. Ce test numérique n’a pas permis de trancher pour les cinq autres modèles, bien que le rapport juge très improbable l’existence d’une grappe AMD configurée spécialement à cet effet.

Le rapport indique que l’exportation vers la Chine des B200, B300, GB200 et GB300 nécessite une licence américaine et qu’aucune licence de ce type n’a été signalée ; il précise également que le MI300X est soumis à des contrôles. La méthode elle-même nécessite des poids publics et un motif d’initialisation reconnaissable, dépendant du matériel. Une initialisation sur processeur ne laisse aucune configuration de processeurs graphiques, et le générateur PaddlePaddle de Baidu ne présente pas la configuration de puces examinée.

L’analyse fournit aux décideurs des éléments techniques attestant d’un accès au matériel, sans conclure à une infraction : les poids publics peuvent révéler un motif d’initialisation, mais déterminer si les contrôles à l’exportation ont été enfreints nécessiterait toujours des éléments indiquant où le matériel a été utilisé, à qui il appartenait et comment l’accès a été obtenu.