Unemployment Labs segnala pattern Blackwell nei modelli di IA cinesi

Un’analisi di Unemployment Labs a cura di Will DePue, pubblicata il 12 novembre 2026, ha rilevato pattern di inizializzazione compatibili con le GPU Blackwell di NVIDIA, soggette a controlli sulle esportazioni, in sei modelli open-weight di DeepSeek, Moonshot AI, MiniMax e Ant Group.

L’analisi associa DeepSeek-V4-Flash e MiniMax-M3 all’inizializzazione su chip B200 o B300, e DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro e Ling-3.1-flash a chip GB200 o GB300. Le corrispondenze identificano la disposizione hardware alla base dei pesi iniziali; stabilire se gli stessi chip siano stati usati anche per l’addestramento è un’inferenza distinta.

Le release successive permettono di collocare nel tempo gli apparenti cambiamenti. DeepSeek-V3 ha dato un risultato indicativo di Hopper nel dicembre 2024, seguito dai due modelli V4 con risultati indicativi di Blackwell nell’aprile 2026. Kimi K2.5 di Moonshot AI ha dato un risultato indicativo di Hopper nel gennaio 2026, prima di K3 nel luglio 2026; MiniMax-M2.7 e M3 hanno seguito lo stesso schema, rispettivamente nell’aprile 2026 e nel giugno 2026; Ling-3.0-flash e Ling-3.1-flash di Ant Group hanno fatto altrettanto, rispettivamente nell’agosto 2026 e nell’ottobre 2026.

Lo schema non era universale. I modelli più recenti di Alibaba, Zhipu, Tencent, Xiaomi e StepFun per i quali era possibile ottenere una lettura hanno dato risultati indicativi di Hopper, anziché di Blackwell.

Come l’inizializzazione rivela la disposizione hardware

La tecnica parte dai pesi, i parametri numerici che vengono modificati durante l’addestramento. Prima dell’addestramento, la configurazione PyTorch/cuRAND esaminata usa il generatore Philox per produrre valori ripetibili a partire da un seme. I thread della GPU distribuiscono questi valori tra le posizioni dei pesi e, per un’inizializzazione sufficientemente ampia, vengono usati 2.048 thread per multiprocessore di streaming (SM). Di conseguenza, cambiando il numero di SM cambia la posizione in cui vengono assegnati gli stessi numeri generati.

Nelle configurazioni testate, i chip Hopper H100 SXM, H200 e H800 hanno 132 SM e 270.336 thread; i chip B200 e B300 hanno 148 SM e 303.104 thread; i chip GB200 e GB300 hanno 152 SM e 311.296 thread. Una lettura identifica uno di questi gruppi, non un chip specifico al suo interno.

I pesi riservati a parole o simboli assenti dai dati di addestramento possono conservare quasi intatti i valori iniziali, mentre i pesi sottoposti ad addestramento possono mantenere una relazione statistica più debole con tali valori. Gli investigatori selezionano un seme e una disposizione usando un insieme di pesi, quindi verificano la stessa combinazione, senza modificarla, su un insieme distinto, escluso dalla ricerca.

In base al proprio modello statistico, il rapporto stima che circa 6.000 miliardi di combinazioni di seme e disposizione produrrebbero, in media, una corrispondenza casuale massima di circa 8 sigma, una misura statistica della distanza dalla variazione casuale. I risultati massimi per i modelli identificati vanno da 49 a 1.385 sigma e ciascuno dei test individuali considerati raggiunge almeno 20 sigma.

Verifiche fisiche e stime della scala di addestramento

Le riproduzioni effettuate da DePue su chip fisici hanno fornito un’ulteriore verifica. Usando il seme recuperato di DeepSeek, un H100 ha riprodotto i valori conservati di DeepSeek-V3, ma non quelli di V4-Flash; un B300 ha prodotto il risultato opposto. Sul B300, PyTorch senza modifiche ha riprodotto 461 delle 469 righe selezionate di V4-Flash, con correlazioni superiori a 0,99; 445 righe sono state riprodotte integralmente, bit per bit. Un GB200 noleggiato ha riprodotto tutte e 13 le righe conservate di Kimi K3 usando il seme di Moonshot; modificando di un’unità uno qualsiasi dei due semi recuperati, non si è ottenuta alcuna riga corrispondente.

Il rapporto afferma che il metodo ha concordato con tutti i 24 casi in cui uno sviluppatore aveva indicato pubblicamente l’hardware usato per uno specifico modello, ma avverte che 11 riguardano checkpoint allo step zero e che i modelli correlati non sono indipendenti. Il confronto costituisce quindi una verifica di coerenza, non una misurazione del tasso di accuratezza.

Kimi K3.1-Pro usa il seme di K3 e potrebbe essere un checkpoint di K3 sottoposto a ulteriore addestramento successivo. Ipotizzando che l’hardware usato per l’inizializzazione sia stato impiegato anche per l’addestramento, DePue stima che ciascuna delle cinque esecuzioni finali distinte abbia utilizzato circa 500–3.000 GPU Blackwell, generalmente per un periodo compreso tra due e tre mesi. Il calcolo divide la quantità di calcolo dell’addestramento per la capacità di elaborazione dei chip al 35% di utilizzo, usando il numero di token dichiarato da DeepSeek e stime dei token basate sui pesi per gli altri modelli. Applicando lo stesso calcolo a DeepSeek-V3 si ottengono da 2.000 a 2.500 chip, rispetto ai 2.048 dichiarati da DeepSeek.

Limiti per l’applicazione dei controlli sulle esportazioni

Una corrispondenza riguarda soltanto l’inizializzazione: non consente di censire tutti i processori usati nelle fasi successive dell’addestramento. Un laboratorio potrebbe generare i valori iniziali su un sistema e trasferirli; i cluster misti potrebbero lasciare tracce riconducibili solo ad alcuni componenti hardware; e un risultato indicativo di Hopper non esclude un successivo addestramento su Blackwell. I pesi, inoltre, non permettono di stabilire a chi appartengano i chip, dove si trovino o come siano stati acquisiti. Il rapporto di DePue osserva che i sistemi Blackwell possono essere noleggiati al di fuori della Cina e afferma che queste prove, da sole, non dimostrano né un contrabbando né una violazione dei controlli sulle esportazioni.

MI300X di AMD è l’alternativa hardware identificata. Normalmente usa 304 unità di elaborazione, ma può essere suddiviso in due gruppi da 152 oppure configurato per usarne 148, riproducendo le disposizioni nelle prove fisiche. Nel caso di DeepSeek-V4-Flash, dei 377 valori conservati che differiscono tra i produttori, 363 corrispondevano a NVIDIA e nessuno ad AMD. Questo test numerico non ha fornito una risposta definitiva per gli altri cinque modelli, anche se il rapporto ritiene molto improbabile l’esistenza di un cluster AMD configurato appositamente.

Il rapporto afferma che le esportazioni in Cina di B200, B300, GB200 e GB300 richiedono una licenza statunitense e che non è stata segnalata alcuna licenza di questo tipo; afferma inoltre che il MI300X è soggetto a controlli. Il metodo stesso richiede pesi pubblici e uno schema di inizializzazione riconoscibile e dipendente dall’hardware. L’inizializzazione tramite CPU non lascia alcuna configurazione della GPU, mentre il generatore PaddlePaddle di Baidu non presenta la configurazione del chip esaminato.

L’analisi fornisce ai responsabili politici prove tecniche dell’accesso all’hardware, senza trarre conclusioni sull’applicazione delle norme: i pesi pubblici possono rivelare uno schema di inizializzazione, ma per determinare se siano state violate le restrizioni all’esportazione servirebbero comunque prove su dove sia stato utilizzato l’hardware, a chi appartenesse e in che modo sia stato ottenuto l’accesso.