Unemployment Labs wykrywa wzorce Blackwella w chińskich modelach AI

Analiza Unemployment Labs autorstwa Willa DePue’a, opublikowana 12 listopada 2026 r., wykazała wzorce inicjalizacji zgodne z objętymi kontrolą eksportu układami GPU Blackwell firmy NVIDIA w sześciu modelach o otwartych wagach od DeepSeek, Moonshot AI, MiniMax i Ant Group.

Analiza wskazuje, że DeepSeek-V4-Flash i MiniMax-M3 zainicjowano na układach B200 lub B300, a DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro i Ling-3.1-flash — na układach GB200 lub GB300. Dopasowania pozwalają ustalić układ sprzętowy, na którym utworzono wagi początkowe; to, czy te same układy służyły również do trenowania, jest odrębnym wnioskiem.

Kolejne premiery pozwalają umiejscowić w czasie widoczne zmiany. DeepSeek-V3 dał odczyt wskazujący na Hopper w grudniu 2024 r., a następnie dwa modele V4 dały odczyt wskazujący na Blackwell w kwietniu 2026 r. Kimi K2.5 od Moonshot AI dał odczyt wskazujący na Hopper w styczniu 2026 r., przed premierą K3 w lipcu 2026 r.; MiniMax-M2.7 i M3 wykazały ten sam wzorzec odpowiednio w kwietniu 2026 r. i czerwcu 2026 r.; Ling-3.0-flash i Ling-3.1-flash od Ant Group — w sierpniu 2026 r. i październiku 2026 r.

Wzorzec nie był powszechny. Najnowsze modele, dla których można było uzyskać odczyt, od Alibaba, Zhipu, Tencent, Xiaomi i StepFun wskazywały na Hopper, a nie na Blackwell.

Jak inicjalizacja ujawnia układ sprzętowy

Metoda opiera się na wagach, czyli parametrach liczbowych dostosowywanych podczas trenowania. Przed trenowaniem badana konfiguracja PyTorch/cuRAND wykorzystuje generator Philox do tworzenia powtarzalnych wartości na podstawie ziarna. Wątki GPU rozdzielają te wartości między pozycje wag, a odpowiednio duża inicjalizacja wykorzystuje 2 048 wątków na multiprocesor strumieniowy (SM). Zmiana liczby SM zmienia więc rozmieszczenie tych samych wygenerowanych liczb.

W testowanych konfiguracjach układy Hopper H100 SXM, H200 i H800 mają 132 SM i 270 336 wątków; układy B200 i B300 — 148 SM i 303 104 wątki; a układy GB200 i GB300 — 152 SM i 311 296 wątków. Odczyt wskazuje jedną z tych grup, ale nie pozwala określić konkretnego układu w jej obrębie.

Wagi przypisane słowom lub symbolom nieobecnym w danych treningowych mogą niemal dokładnie zachować swoje wartości początkowe, podczas gdy wagi poddane trenowaniu mogą wykazywać słabszy statystyczny związek z tymi wartościami. Badacze wybierają ziarno i układ na jednym zestawie wag, a następnie testują tę niezmienioną kombinację na osobnym zestawie, który nie został uwzględniony w wyszukiwaniu.

Zgodnie z zastosowanym modelem statystycznym raport szacuje, że spośród około 6 bilionów kombinacji ziarna i układu najsilniejsze oczekiwane dopasowanie przypadkowe wyniosłoby około 8 sigma — miarę statystyczną odległości od losowych wahań. Najsilniejsze wyniki dla wskazanych modeli mieszczą się w przedziale od 49 do 1 385 sigma, a każdy uwzględniony test osiąga co najmniej 20 sigma.

Weryfikacja na fizycznych układach i szacunki dotyczące skali trenowania

Odtworzenia przeprowadzone przez DePue’a na fizycznych układach stanowiły dodatkową weryfikację. Przy użyciu odzyskanego ziarna DeepSeek układ H100 odtworzył zachowane wartości DeepSeek-V3, ale nie V4-Flash, natomiast B300 wykazał odwrotny wynik. Na B300 niezmodyfikowany PyTorch odtworzył 461 z 469 wybranych wierszy V4-Flash, przy korelacjach powyżej 0,99; w tym 445 wierszy odtworzono w całości, bit po bicie. Wypożyczony GB200 odtworzył wszystkie 13 zachowanych wierszy Kimi K3 przy użyciu ziarna Moonshot; zmiana któregokolwiek z odzyskanych ziaren o jeden nie dała żadnych dopasowanych wierszy.

Raport podaje, że metoda dała zgodne wyniki we wszystkich 24 przypadkach, w których twórca publicznie wskazał sprzęt użyty do trenowania konkretnego modelu, z zastrzeżeniem, że 11 z tych przypadków dotyczy punktów kontrolnych z kroku zero, a powiązane modele nie są niezależne. Dlatego porównanie stanowi sprawdzian zgodności, a nie pomiar dokładności.

Kimi K3.1-Pro używa ziarna K3 i może być punktem kontrolnym K3 poddanym dalszemu trenowaniu po wstępnym treningu. Zakładając, że sprzęt użyty do inicjalizacji służył również do trenowania, DePue szacuje, że pięć odrębnych końcowych przebiegów wymagało za każdym razem około 500–3 000 układów GPU Blackwell, zazwyczaj przez dwa–trzy miesiące. Obliczenie polega na podzieleniu nakładów obliczeniowych związanych z trenowaniem przez przepustowość układów przy 35-procentowym wykorzystaniu; wykorzystuje ujawnione przez DeepSeek liczby tokenów oraz szacunki liczby tokenów oparte na wagach dla pozostałych modeli. Zastosowanie tych samych obliczeń do DeepSeek-V3 dało wynik od 2 000 do 2 500 układów, w porównaniu z ujawnioną przez DeepSeek liczbą 2 048.

Ograniczenia w egzekwowaniu kontroli eksportu

Dopasowanie dotyczy wyłącznie inicjalizacji; nie pozwala sporządzić pełnego wykazu procesorów użytych na późniejszych etapach trenowania. Laboratorium może utworzyć wartości początkowe w jednym systemie, a następnie je przenieść; klastry mieszane mogą pozostawić ślady tylko części użytego sprzętu, a wynik wskazujący na Hopper nie wyklucza późniejszego trenowania na układach Blackwell. Wagi nie pozwalają też ustalić, kto jest właścicielem układów, gdzie się znajdują ani w jaki sposób je pozyskano. Raport DePue’a zauważa, że systemy Blackwell można wynajmować poza Chinami, i stwierdza, że same te dowody nie potwierdzają ani przemytu, ani naruszenia kontroli eksportu.

Wskazaną alternatywą sprzętową jest MI300X firmy AMD. Zwykle ma 304 jednostki obliczeniowe, ale można go podzielić na dwie grupy po 152 jednostki lub skonfigurować tak, by korzystał ze 148, odtwarzając układy zaobserwowane w testach fizycznych. W przypadku DeepSeek-V4-Flash 363 z 377 zachowanych wartości różniących się między dostawcami pasowały do NVIDIA, a żadna nie pasowała do AMD. Ten test liczbowy nie rozstrzygnął kwestii pozostałych pięciu modeli, choć raport uznaje istnienie specjalnie skonfigurowanego klastra AMD za bardzo mało prawdopodobne.

Raport stwierdza, że eksporty B200, B300, GB200 i GB300 do Chin wymagają amerykańskiej licencji, a nie zgłoszono wydania żadnych takich licencji; podaje również, że MI300X jest objęty kontrolą. Sama metoda wymaga publicznie dostępnych wag oraz rozpoznawalnego wzorca inicjalizacji zależnego od sprzętu. Inicjalizacja procesora nie pozostawia układu GPU, a generator PaddlePaddle firmy Baidu nie zawiera układu badanego chipu.

Analiza dostarcza decydentom technicznych dowodów na dostęp do sprzętu, ale nie przesądza o egzekwowaniu przepisów: publicznie dostępne wagi mogą ujawniać wzorzec inicjalizacji, jednak ustalenie, czy doszło do naruszenia ograniczeń eksportowych, nadal wymagałoby dowodów na to, gdzie używano sprzętu, kto był jego właścicielem i w jaki sposób uzyskano do niego dostęp.