Unemployment Labs meldt Blackwell-patronen in Chinese AI-modellen

Een analyse van Unemployment Labs door Will DePue, gepubliceerd op 12 november 2026, vond initialisatiepatronen die overeenkomen met Blackwell-GPU’s van NVIDIA waarop exportbeperkingen van toepassing zijn, in zes open-weightmodellen van DeepSeek, Moonshot AI, MiniMax en Ant Group.

De analyse brengt DeepSeek-V4-Flash en MiniMax-M3 in verband met initialisatie op B200- of B300-chips, en DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro en Ling-3.1-flash met GB200- of GB300-chips. De overeenkomsten identificeren de hardware-indeling achter de begingewichten; of die chips ook voor de training zijn gebruikt, is een afzonderlijke gevolgtrekking.

Opeenvolgende releases maken zichtbaar wanneer de vermoedelijke veranderingen plaatsvonden. DeepSeek-V3 leverde in december 2024 een Hopper-resultaat op, gevolgd door de twee V4-modellen met een Blackwell-resultaat in april 2026. Kimi K2.5 van Moonshot AI leverde in januari 2026 een Hopper-resultaat op, vóór K3 in juli 2026; MiniMax-M2.7 en M3 volgden hetzelfde patroon, respectievelijk in april 2026 en juni 2026; Ant Groups Ling-3.0-flash en Ling-3.1-flash deden dat in augustus 2026 en oktober 2026.

Het patroon gold niet voor alle modellen. De nieuwste modellen van Alibaba, Zhipu, Tencent, Xiaomi en StepFun waarvan de indeling kon worden vastgesteld, leverden Hopper-resultaten op in plaats van Blackwell-resultaten.

Hoe initialisatie een hardware-indeling blootlegt

De methode begint bij gewichten: de numerieke parameters die tijdens de training worden aangepast. Vóór de training gebruikt de onderzochte PyTorch/cuRAND-configuratie de Philox-generator om op basis van een seed reproduceerbare waarden te genereren. GPU-threads verdelen die waarden over de posities van de gewichten, en bij een voldoende grote initialisatie worden 2.048 threads per streamingmultiprocessor (SM) gebruikt. Een verandering in het aantal SM’s verandert dus waar dezelfde gegenereerde getallen terechtkomen.

In de geteste configuraties hebben Hopper H100 SXM-, H200– en H800-chips 132 SM’s en 270.336 threads; B200- en B300-chips hebben 148 SM’s en 303.104 threads; GB200- en GB300-chips hebben 152 SM’s en 311.296 threads. Een resultaat identificeert een van deze groepen, niet een specifieke chip binnen die groep.

Gewichten die zijn gereserveerd voor woorden of symbolen die niet in de training voorkomen, kunnen hun beginwaarden vrijwel exact behouden, terwijl getrainde gewichten mogelijk een zwakkere statistische relatie met die waarden behouden. De onderzoekers kiezen een seed en indeling op basis van één verzameling gewichten en testen die ongewijzigde combinatie vervolgens op een afzonderlijke verzameling die buiten de zoekopdracht is gehouden.

Op basis van zijn statistische model schat het rapport dat ongeveer 6 biljoen combinaties van seeds en indelingen een verwachte sterkste kansmatch van circa 8 sigma zouden opleveren; sigma is een statistische maat voor de afstand tot willekeurige variatie. De sterkste resultaten voor de geïdentificeerde modellen lopen uiteen van 49 tot 1.385 sigma, en elke afzonderlijke test komt uit op minstens 20 sigma.

Fysieke tests en schattingen van de trainingsomvang

De fysieke reproducties van DePue met chips leverden een extra controle op. Met de teruggevonden seed van DeepSeek reproduceerde een H100 de behouden waarden van DeepSeek-V3, maar niet die van V4-Flash; een B300 deed precies het omgekeerde. Op de B300 reproduceerde ongewijzigde PyTorch 461 van de 469 geselecteerde rijen van V4-Flash, met correlaties boven 0,99; 445 rijen kwamen daarbij volledig bit voor bit overeen. Een gehuurde GB200 reproduceerde alle 13 behouden rijen van Kimi K3 met de seed van Moonshot; als een van beide teruggevonden seeds met één werd verhoogd, kwamen er geen rijen overeen.

Volgens het rapport kwam de methode overeen met alle 24 gevallen waarin een ontwikkelaar publiekelijk de hardware van een specifiek model had genoemd. Het rapport waarschuwt daarbij dat het bij 11 gevallen om checkpoints van stap nul gaat en dat verwante modellen niet onafhankelijk van elkaar zijn. De vergelijking is daarom een consistentiecontrole, geen gemeten nauwkeurigheidspercentage.

Kimi K3.1-Pro gebruikt de seed van K3 en kan een K3-checkpoint zijn waarop verdere nabewerking na de training is toegepast. Als we ervan uitgaan dat de hardware voor de initialisatie ook voor de training is gebruikt, schat DePue dat er vijf afzonderlijke definitieve trainingsruns waren, elk met ongeveer 500 tot 3.000 Blackwell-GPU’s en doorgaans een duur van twee tot drie maanden. De berekening deelt de trainingsberekeningen door de chipdoorvoer bij een benuttingsgraad van 35%, met gebruikmaking van de door DeepSeek bekendgemaakte aantallen tokens en schattingen op basis van de gewichten voor de overige modellen. Dezelfde berekening toegepast op DeepSeek-V3 komt uit op 2.000 tot 2.500 chips, tegenover de 2.048 die DeepSeek bekendmaakte.

Beperkingen voor de handhaving van exportcontroles

Een overeenkomst heeft alleen betrekking op de initialisatie; daarmee kan niet worden vastgesteld welke processors allemaal tijdens latere trainingsfasen zijn gebruikt. Een lab kan beginwaarden op het ene systeem genereren en die overzetten, gemengde clusters kunnen slechts sporen van een deel van de hardware achterlaten, en een Hopper-resultaat sluit latere training op Blackwell niet uit. Ook kunnen gewichten niets aantonen over het eigendom, de locatie of de aanschaf van chips. In het rapport van DePue staat dat Blackwell-systemen buiten China kunnen worden gehuurd en dat dit bewijs op zichzelf noch smokkel, noch een overtreding van exportcontroles aantoont.

De MI300X van AMD is het geïdentificeerde hardwarealternatief. Deze chip heeft normaal gesproken 304 rekeneenheden, maar kan worden opgesplitst in twee groepen van 152 of worden geconfigureerd voor 148 eenheden, waardoor de indelingen uit de fysieke tests kunnen worden gereproduceerd. Voor DeepSeek-V4-Flash kwamen 363 van de 377 behouden waarden die tussen leveranciers verschillen overeen met NVIDIA, en geen enkele met AMD. Die numerieke test gaf geen uitsluitsel over de vijf andere modellen, hoewel het rapport een speciaal geconfigureerd AMD-cluster zeer onwaarschijnlijk acht.

In het rapport staat dat voor de uitvoer van B200, B300, GB200 en GB300 naar China een Amerikaanse vergunning vereist is en dat er geen dergelijke vergunningen zijn gemeld; ook staat erin dat de MI300X onder exportcontrole valt. De methode zelf vereist openbare modelgewichten en een herkenbaar initialisatiepatroon dat afhankelijk is van de hardware. Initialisatie op een CPU laat geen GPU-indeling achter, en de generator van Baidu’s PaddlePaddle bevat de onderzochte chipindeling niet.

De analyse levert beleidsmakers technisch bewijs van toegang tot hardware, maar trekt geen conclusie over handhaving: openbare modelgewichten kunnen een initialisatiepatroon blootleggen, maar om vast te stellen of exportcontroles zijn geschonden, is nog bewijs nodig over waar de hardware is gebruikt, wie de eigenaar was en hoe toegang is verkregen.