Unemployment Labs сообщает о признаках использования Blackwell в китайских моделях ИИ

В анализе Unemployment Labs, подготовленном Уиллом ДеПью и опубликованном 12 ноября 2026 года, обнаружены закономерности инициализации, соответствующие экспортным ограничениям на графические процессоры NVIDIA Blackwell, в шести моделях с открытыми весами от DeepSeek, Moonshot AI, MiniMax и Ant Group.

Согласно анализу, DeepSeek-V4-Flash и MiniMax-M3 были инициализированы на чипах B200 или B300, а DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro и Ling-3.1-flash — на чипах GB200 или GB300. Совпадения указывают на аппаратную конфигурацию, использованную для создания начальных весов; вопрос о том, применялись ли эти чипы также для обучения, — отдельный вывод.

Последовательность релизов позволяет проследить, когда, по всей видимости, произошли изменения. В декабре 2024 года DeepSeek-V3 показала соответствие Hopper, а в апреле 2026 года за ней последовали две модели V4, соответствующие Blackwell. Kimi K2.5 от Moonshot AI соответствовала Hopper в январе 2026 года, а затем K3 — Blackwell в июле 2026 года; MiniMax-M2.7 и M3 прошли тот же путь соответственно в апреле и июне 2026 года; у Ling-3.0-flash и Ling-3.1-flash от Ant Group это произошло в августе и октябре 2026 года.

Эта закономерность наблюдалась не у всех. Самые новые модели Alibaba, Zhipu, Tencent, Xiaomi и StepFun, для которых удалось получить результаты, соответствовали Hopper, а не Blackwell.

Как инициализация раскрывает аппаратную конфигурацию

Метод основан на анализе весов — числовых параметров, которые корректируются в ходе обучения. В рассмотренной конфигурации PyTorch/cuRAND перед обучением использует генератор Philox, чтобы получать воспроизводимые значения на основе начального числа. Потоки графического процессора распределяют эти значения по позициям весов; при достаточно масштабной инициализации на каждый потоковый мультипроцессор (SM) приходится 2 048 потоков. Поэтому изменение числа SM меняет распределение одних и тех же сгенерированных чисел.

В испытанных конфигурациях чипы Hopper H100 SXM, H200 и H800 имеют 132 SM и 270 336 потоков; чипы B200 и B300 — 148 SM и 303 104 потока; GB200 и GB300 — 152 SM и 311 296 потоков. Результат указывает на одну из этих групп, но не позволяет определить конкретный чип внутри неё.

Веса, зарезервированные для слов или символов, отсутствовавших в обучающих данных, могут сохранять исходные значения почти без изменений, тогда как обученные веса могут удерживать более слабую статистическую связь с этими значениями. Исследователи подбирают начальное число и конфигурацию на одном наборе весов, а затем проверяют неизменённую комбинацию на отдельном наборе, не использовавшемся при поиске.

Согласно статистической модели, в отчёте оценивается, что примерно 6 трлн комбинаций начального числа и аппаратной конфигурации дали бы ожидаемое максимальное совпадение на уровне около 8 сигма — статистической меры отклонения от случайных колебаний. Наиболее сильные результаты для выявленных моделей составляют от 49 до 1 385 сигма, а каждый отдельный тест достигает как минимум 20 сигма.

Проверки на реальных чипах и оценки масштаба обучения

Эксперименты ДеПью с физическими чипами стали ещё одной проверкой. Используя восстановленное начальное число DeepSeek, H100 воспроизвёл сохранённые значения DeepSeek-V3, но не V4-Flash, тогда как B300 показал обратный результат. На B300 немодифицированный PyTorch воспроизвёл 461 из 469 выбранных строк V4-Flash с корреляцией выше 0,99; 445 строк совпали полностью, до каждого бита. Арендованный GB200 воспроизвёл все 13 сохранённых строк Kimi K3 с начальным числом Moonshot; изменение любого из двух восстановленных начальных чисел на единицу не дало ни одного совпадения строк.

В отчёте говорится, что метод дал результаты, согласующиеся со всеми 24 случаями, когда разработчик публично назвал конкретное аппаратное обеспечение для определённой модели. При этом отмечается, что 11 случаев относятся к контрольным точкам на нулевом шаге обучения, а родственные модели не являются независимыми. Поэтому это сравнение служит проверкой согласованности, а не измерением точности метода.

Kimi K3.1-Pro использует начальное число K3 и может представлять собой контрольную точку K3, прошедшую дополнительное дообучение. Предполагая, что аппаратное обеспечение, использованное для инициализации, применялось и для обучения, ДеПью оценивает, что для пяти отдельных финальных запусков потребовалось примерно от 500 до 3 000 графических процессоров Blackwell на каждый; обычно обучение длилось от двух до трёх месяцев. В расчёте объём вычислений для обучения делится на пропускную способность чипа при утилизации 35%; используются опубликованные DeepSeek данные о числе токенов и оценки числа токенов на основе количества весов для остальных моделей. При тех же расчётах для DeepSeek-V3 получилось от 2 000 до 2 500 чипов против 2 048, указанных DeepSeek.

Ограничения для обеспечения соблюдения экспортного контроля

Совпадение касается только инициализации и не позволяет учесть все процессоры, задействованные на последующих этапах обучения. Лаборатория могла создать начальные значения на одной системе, а затем перенести их; при использовании смешанных кластеров могли сохраниться следы лишь части оборудования; результат Hopper не исключает последующего обучения на Blackwell. По одним весам также нельзя установить владельца чипов, место их нахождения или способ приобретения. В отчёте ДеПью отмечается, что системы Blackwell можно арендовать за пределами Китая, и говорится, что сами по себе эти данные не доказывают ни контрабанду, ни нарушение экспортного контроля.

Выявленная аппаратная альтернатива — MI300X от AMD. Обычно в нём используется 304 вычислительных блока, но их можно разделить на две группы по 152 или настроить чип на работу с 148 блоками, воспроизведя конфигурации, полученные в физических испытаниях. В случае DeepSeek-V4-Flash из 377 сохранённых значений, различающихся у разных производителей, 363 совпали с NVIDIA и ни одно — с AMD. Эта числовая проверка не позволила сделать выводы об остальных пяти моделях, хотя, по оценке авторов отчёта, вероятность использования специально настроенного кластера AMD крайне мала.

В отчёте говорится, что для поставок B200, B300, GB200 и GB300 в Китай требуется лицензия США, однако о выдаче таких лицензий не сообщалось; также отмечается, что MI300X находится под контролем. Сам метод требует наличия общедоступных весов и распознаваемого шаблона инициализации, зависящего от аппаратного обеспечения. Инициализация на CPU не оставляет раскладки GPU, а генератор Baidu PaddlePaddle не содержит раскладки исследуемого чипа.

Анализ предоставляет политикам технические свидетельства доступа к аппаратному обеспечению, не формулируя выводов о правоприменении: общедоступные веса могут раскрывать шаблон инициализации, однако, чтобы определить, были ли нарушены меры экспортного контроля, потребуются свидетельства о том, где использовалось оборудование, кому оно принадлежало и каким образом был получен доступ.