报告称 DeepSeek、月之暗面等 6 个模型权重带有 Blackwell 硬件指纹

引用本报告

执行摘要

我们对公开发布的 AI 模型进行取证分析，发现证据表明 DeepSeek、Moonshot AI、MiniMax 和蚂蚁集团已获得 NVIDIA 的 Blackwell GPU，尽管这些芯片受到对华出口限制，并且它们正在使用这些硬件来创建其 AI 模型。这些公司自 2026 年 4 月以来发布的六个模型包含与 Blackwell 硬件匹配的数值模式，而同一公司更早的模型则与 NVIDIA 较旧的 Hopper 代际匹配。这些发现表明，几家领先的中国 AI 开发者已开始使用 Blackwell 训练其最新模型。美国官员和媒体报道此前已指控 DeepSeek 和 Moonshot AI 在使用 Blackwell 芯片，但未公布技术证据。

证据完全来自模型自身公开的权重，而非泄露或内部人士的说法。我们恢复了模型初始值的痕迹，然后搜索能够重现这些痕迹的硬件配置和初始配置；对于 DeepSeek-V4-Flash 和 Kimi K3，我们还在物理 Blackwell 芯片上确认了匹配。该指纹识别了权重是如何创建的，并支持（但未证明）Blackwell 也执行了训练的推断。经过特殊配置的 AMD 硬件（同样受到对华出口限制）是我们已识别出的唯一替代方案；我们已为 DeepSeek-V4-Flash 排除了它，并认为其余五个模型使用它的可能性极低。值得注意的是，我们的发现提供了获得先进计算硬件的技术证据，但并未确定芯片所在位置、如何获得访问权限，或是否违反了出口管制。

表 1. DeepSeek、Moonshot AI、MiniMax 和蚂蚁集团 successive 模型中的硬件指纹 链接 ↗

• 出口至中国需获得美国许可证；目前尚无相关报道。

Hopper 指纹无法区分 H800 与 H100 SXM 或 H200；上述 H800 的认定来自实验室披露，并非本方法的发现。

附录 2 中的完整模型列表 ↓

主要发现

1. 来自四家中国实验室的六个模型被读取为基于 Blackwell 训练。DeepSeek-V4-Flash 和 MiniMax-M3 与 NVIDIA 的 Blackwell 级 B200 或 B300 芯片相匹配，这些芯片拥有 148 个处理器核心（称为流式多处理器，即 SM）。DeepSeek-V4-Pro、Kimi K3、Kimi K3.1-Pro 和 Ling-3.1-flash 与 GB200 或 GB300 芯片相匹配，同属 Blackwell 级，拥有 152 个处理器核心。Kimi K3.1-Pro 与 K3 起始于相同的种子，可能是 K3 经过进一步后训练的检查点。
2. 中国实验室相对较晚才开始在 Blackwell 上训练。DeepSeek 的模型直到 DeepSeek-V3（2024 年 12 月发布）都被读取为基于 Hopper 训练，从 DeepSeek V4（2026 年 4 月发布）起被读取为基于 Blackwell。Moonshot 的模型直到 Kimi K2.5（2026 年 1 月）都被读取为 Hopper，从 K3（2026 年 7 月）起被读取为 Blackwell。有一个 Moonshot 模型介于两者之间：Kimi K2.7-Code 发布于 K3 之前六周，基于 Hopper 时代的权重构建，但其中有一小部分与 B200 或 B300 相匹配。MiniMax 的模型直到 M2.7（2026 年 4 月）都被读取为 Hopper，从 M3（2026 年 6 月）起被读取为 Blackwell。Ant Group 的 Ling-3.0-flash（2026 年 8 月）被读取为 Hopper，而其 Ling-3.1-flash（2026 年 10 月）被读取为 Blackwell。Hopper 的读取结果无法识别具体芯片：H800、H100 SXM 和 H200 共享相同的指纹。
3. 并非所有中国 AI 实验室都已转向 Blackwell。我们能读取到的来自阿里巴巴（Qwen）、智谱（GLM）、腾讯、小米和 StepFun 的最新模型，均被读取为基于 Hopper 训练。美团表示其 LongCat-2.0 完全在“AI ASIC 超级计算集群”上训练，我们在其发布的模型权重中未发现 NVIDIA 指纹。
4. 该方法能得出已知的正确答案。对于 24 个特定模型，开发者已公开说明使用了什么硬件。在每一种情况下，我们的方法都与公开声明一致。NVIDIA 自家的 Nemotron-3 Ultra，其技术报告指出训练某一阶段使用了 GB200，读数为 152 个 SM，与 Kimi K3 相同。
5. 这些匹配远强于随机所能解释的程度。当尝试足够多的组合时，即使是不相关的数字也可能看起来匹配。在我们搜索中约 6 万亿个种子与布局组合里，最强的偶然匹配预计能达到约 8 sigma——这是衡量结果高出普通随机波动多少的指标。六个模型中每一个的最强证据范围从 49 到 1,385 sigma。即使是我们报告的最弱单项检验也达到 20 sigma。
6. 这些训练运行是数据中心规模的。根据每个模型的规模及其训练所用的数据量，我们估计每次运行需要大约 500 到 3,000 块 Blackwell GPU，持续两到三个月（表 2），假设每个模型是在初始化它的硬件上训练的。同样的算术应用于 DeepSeek-V3 得出 2,000 到 2,500 块芯片；DeepSeek 披露的是 2,048 块。按每块 GPU 约 70,000 美元计算——这一成本由《华尔街日报》的一篇报道暗示，该报道称约 36,000 块 Blackwell 芯片在马来西亚为字节跳动安装将花费超过 25 亿美元——这些集群中最大的一个将花费 1.5 亿到 2 亿美元，五个加起来超过 5 亿美元。这些数字仅涵盖最终训练运行；各实验室在受出口管制的 GPU 上的总支出很可能达到数十亿美元。

表 2. 每次训练运行的大致规模 链接 ↗

训练算力（约 6 × 活跃参数 × 训练 token 数）除以 35% 利用率下的芯片吞吐量，运行时间为两到三个月（DeepSeek-V4-Flash 为六到八周）。DeepSeek 披露了其 token 数；对于其他模型，我们根据权重进行了估计。

我们的调查

一个模型的权重，也称为参数，是数十亿个可调数值，决定它如何处理信息并生成答案。训练会反复调整这些数值；但在训练开始之前，它们需要初始值。在本文考察的软件中，这些值来自一种名为 Philox 的伪随机数生成（PRNG）算法：Philox 以确定性的方式生成看似随机的数字。Philox 的起始输入是一个称为“种子”的数字。给定相同的种子和设置，Philox 每次都会生成相同的数字。这让工程师可以从同一个起点重复实验。

为了快速填充数十亿个权重，PyTorch——用于开发大多数主流 AI 模型的软件框架——将 Philox 所做的工作分配给 GPU 上的许多并行工作单元，称为线程。（它通过 cuRAND 实现这一点，这是 NVIDIA 的随机数生成库。）每个线程从种子生成自己的数字序列，并填充特定的一组位置。线程数量随后决定了这些位置如何分配。在本文考察的 NVIDIA 芯片上，足够大的初始化会为每个称为流式多处理器（SM）的处理单元使用最多 2,048 个线程。因此，拥有更多 SM 的芯片会将同一任务分配给更多工作单元，从而改变它们的数字去向。

图 1展示了这在一个简化的 GPU 上如何运作：该 GPU 有六个 SM，每个 SM 有八个线程，总共 48 个线程。把权重想象成一长排空盒子，为了适应页面而折成网格。第一个线程填充第一个盒子，第二个线程填充第二个盒子，依此类推，直到全部 48 个线程。然后第一个线程的下一个数字进入第 49 个盒子，再下一个进入第 97 个盒子，以此类推。黑色轮廓沿着这一个线程穿过网格：第一个线程填充每隔 48 个的位置。颜色标识每个处理单元提供哪一组值，而右侧面板中的亮度表示数值本身。

现在保持种子固定，但改用具有五个 SM 而非六个的 GPU。在我们的简化示例中，这意味着 40 个线程而非 48 个。第一个线程生成的序列完全相同，但现在把它的数字放进第 1、41、81 等位置，而不是第 1、49、97 个位置。图 2随着这些数字的位置变化进行追踪。在整个网格中，只有 6% 的数值与原始排列一致。种子是对的，但工作线程数错了。正因如此，模型权重的排列方式成为了推断用于创建它的芯片的线索。

因此，复现权重需要同时满足两个条件。种子必须生成正确的数字，线程数必须把它们放到正确的位置。正确的种子配错误的线程数，大多会得到正确的数字但位置错误；正确的线程数配错误的种子，则会得到不同的数字。图 3展示了为什么只有正确的组合才能重建原始排列。

在真实芯片上，线程数要大得多，但原理相同。在本文考察的 NVIDIA 配置中，Hopper H100 SXM、H200 和 H800 有 132 个 SM，使用 270,336 个线程；Blackwell B200/B300 有 148 个 SM，使用 303,104 个线程；Blackwell GB200/GB300 有 152 个 SM，使用 311,296 个线程。因此，还原线程数可以告诉我们这些硬件组中哪一组与初始排列相匹配，尽管它无法区分同一组内的不同芯片。例如，匹配到 Hopper 时，无法区分 H800、H100 或 H200。

问题在于，这种排列在训练后有多少能保留下来，足以让我们还原它。有些权重，例如为训练中从未遇到的词或符号保留的权重，可能完全未被改动，几乎精确地保留其初始值。我们可以将这些保留下来的值，与由候选种子和线程数生成的初始值直接比较。图 4展示了这样的比较：DeepSeek-V3 保留下来的权重与 Hopper 排列匹配，而 DeepSeek-V4-Flash 的则与 Blackwell 排列匹配。

即使是训练已经改变的权重，也可能保留其初始值的微弱痕迹。每个最终权重等于其初始值加上训练期间所做的所有调整。如果这些调整没有完全抵消或压倒初始差异，那么其中一些差异就会保留下来。例如，两个初始值分别为 0.2 和 0.8 的权重，各自增加约 0.1，之后它们的顺序仍然相同。真实的调整变化要大得多，因此单个权重能告诉我们的信息很少。但在数十万个权重上，我们可以检验较高的初始值是否仍然倾向于对应较高的最终值。图 5展示了这种微弱但可测量的关系。这是在这些权重中的发现，并非保证在每次训练运行中都能保留的属性。

这些残留的痕迹让我们能够反向推断。假设在一个使用图 1 布局的虚构示例中，种子 7 使第一个线程产生 0.2、−0.5 和 0.8。在 48 个线程下，这些值进入位置 1、49 和 97；在 40 个线程下，它们进入位置 1、41 和 81。如果已发布的权重保留了第一种模式，我们可以尝试候选种子和线程数，直到重现它。在实际调查中，我们比较对应位置上的数千个值。未受训练的权重可以完全匹配；训练后的权重可能只显示出上述较弱的相似性。无论哪种情况，我们都寻找最能重现残留模式的组合。

然后我们在未参与搜索的权重上测试该组合。在用一组权重选定种子和线程数后，我们用它们来预测另一组权重的起始值，而不调整任何设置来改善拟合。在这些此前未使用的权重上匹配，比仅在帮助选择组合的权重上匹配是更强的证据。图 6 显示了比较结果：DeepSeek-V3 与 Hopper H100 SXM、H200 或 H800 芯片的初始化布局匹配；DeepSeek-V4-Flash 与 Blackwell B200/B300 匹配；Kimi K3 与 Blackwell GB200/GB300 匹配。

在我们的调查中，我们发现了强烈暗示在 Blackwell 芯片上进行初始化的模式，涉及四家中国公司的六个模型：DeepSeek 的 DeepSeek-V4-Flash 和 DeepSeek-V4-Pro、Moonshot AI 的 Kimi K3 和 Kimi K3.1-Pro、MiniMax 的 MiniMax-M3，以及蚂蚁集团的 Ling-3.1-flash。V4-Flash 和 MiniMax-M3 匹配 148-SM 布局；其余四个匹配 152-SM 布局。这些是初始权重的指纹，它们支持但并不单独证明使用 Blackwell 芯片训练 AI 模型。

我们调查的局限性

值得注意的是，我们用来识别这些模型初始化所用硬件的取证方法仅适用于某些模型。它需要公开的权重，因此闭源模型无法检查。它还需要来自生成初始权重的软件的可识别、依赖硬件的模式。此处检查的 GPU 上的 PyTorch 会留下这样的模式；而用于训练百度 ERNIE-5.5 模型的百度 PaddlePaddle 框架则不会。我们能够恢复 ERNIE-5.5 的种子（2760），但无法确定其初始化所用的硬件。同样，在普通处理器而非 GPU 上初始化的权重不会留下 GPU 指纹；阿里巴巴的若干 Qwen3 模型就是以这种方式初始化的，因此没有留下使用哪些 GPU 训练它们的痕迹。我们也没有在美团的 LongCat-2.0（该公司称其是在“AI ASIC 超级集群”上训练的）或 DeepSeek-V4.1-Flash 中发现任何指纹，尽管进行了穷尽式搜索。

该方法识别的是生成初始权重的硬件，而不是后来参与训练模型的每一块芯片。当一次训练运行在将要用于训练的同一批 GPU 上生成其权重时，指纹会同时指向两者。但实验室可以在一个系统上生成权重，再将其迁移到另一个系统，或者在新硬件上继续训练现有模型。仅凭权重无法排除这些可能性。混合集群会带来同样的局限。如果部分权重由 NVIDIA 芯片生成，而华为芯片后来参与训练，NVIDIA 的模式可能仍然存在，却不会暴露华为的参与。不同代际的 NVIDIA 芯片可能在它们初始化的部分留下不同的模式，前提是这些痕迹得以保留。在 Kimi K3 中，至少有 64 个独立设置种子的进程各自留下了相同的 152-SM 布局。因此，一个兼容 Blackwell 的模式支持其在初始化阶段被使用（但需考虑下文提到的 AMD 替代方案）；它并不能证明整个训练过程都使用了 Blackwell。同样，一个 Hopper 模式也不能排除后来在 Blackwell 上训练的可能。

权重也无法揭示芯片归谁所有或位于何处。Blackwell 系统可以从中国境外的数据中心租用。这些证据涉及的是对硬件的访问；仅凭其本身，并不能证明芯片被走私进入中国，也不能证明发生了出口管制违规。

不同的芯片能否产生这些兼容 Blackwell 的模式之一？在此测试的 NVIDIA 配置中，较旧的芯片不能：软件可以使用一块芯片更少的处理单元，但无法赋予它超过其物理拥有的数量。在此考察的标准 PyTorch 行为下，它们无法产生 148 或 152-SM 的布局。面向中国市场的 Blackwell 显卡每个 SM 使用不同的线程数，也不会产生这两个总数中的任何一个。

AMD 提供了另一种可能性。MI300X 通常使用 304 个处理单元，但可以分成两组各 152 个，或配置为仅使用 148 个。其随机数软件也能生成与 NVIDIA 相同的底层序列。这样的配置会非常不寻常，但我们在物理 MI300X 上确认，限制为 152 或 148 个单元时，它能复现我们与 Blackwell 关联的布局，因此仅凭布局无法确定问题。

为了区分它们，我们在数值本身中寻找细微的数值差异。AMD 和 NVIDIA 在数字生成过程中的一项计算略有不同。在物理 MI300X 上，DeepSeek-V4-Flash 的保留权重指向 NVIDIA：在两家厂商结果不同的 377 个值中，已发布的权重有 363 个与 NVIDIA 匹配，没有一个与 AMD 匹配。同样的测试无法确定其他五个模型，但我们认为对它们而言 AMD 的解释极不可能。在其正常配置下，MI300X 不会产生这两种布局；实验室必须将整个集群配置为使用与 Blackwell 芯片相同数量的处理单元。其他公开证据也指向 Blackwell：美国官员和媒体报道声称 DeepSeek 和 Moonshot AI 在使用 Blackwell 芯片，而蚂蚁集团的公开代码包含在 GB300 上生成的基准测试结果。

验证我们的发现

为了复现将 DeepSeek-V3 关联到 Hopper、将 DeepSeek-V4-Flash 关联到 Blackwell 的结果，我们在 Hopper 级 NVIDIA H100 和 Blackwell 级 NVIDIA B300 上运行了未经修改的 PyTorch。我们已确定 DeepSeek 的种子数为 953049583，并发现它被用于 DeepSeek-V3 和 DeepSeek-V4-Flash 两者的初始化。使用该种子，H100 复现了 DeepSeek-V3 中保留的起始值，但未复现 V4-Flash 的；B300 复现了 V4-Flash 中保留的值，但未复现 V3 的。在 B300 上，未经修改的 PyTorch 复现了 DeepSeek-V4-Flash 中 469 个选定行里的 461 行，相关性高于 0.99，其中 445 个完整行逐位一致。有 8 个选定行被训练部分改变。在 H100 上，它逐位复现了 DeepSeek-V3 中全部 57,344 个保留值。两块芯片都未能复现对方模型保留的行。将种子改变 1 后，两台机器上都没有复现出任何匹配行。在租用的 GB200 上，未经修改的 PyTorch 同样使用 Moonshot 的种子 20256586 复现了 Kimi K3 的全部 13 个保留行；将种子改变 1 后则一个都没复现。

当答案已知时，我们的取证方法也能得出正确答案。有 24 个案例中，开发者公开指明了特定模型背后的硬件；我们的取证方法与每一个都一致。Meta 的 Llama 3.1 模型在 H100 上训练，读数为 132；EleutherAI 的 8 个 Pythia 模型在 A100 上训练，读数为 108。NVIDIA 自家的 Nemotron-3 Ultra，其技术报告指明某一训练阶段使用 GB200，读数为 152，与 Kimi K3 相同。DeepSeek 和 Moonshot 曾报告早期模型使用 H800。我们的 Hopper 读数与这些披露一致，但也与 H100 SXM 或 H200 硬件一致；它们并未独立验证 H800 的使用。

当我们将已发布的权重与候选种子和芯片布局生成的数字进行比较时，即使候选是错的，也难免会有一些相似之处。多少相似度才算证据，取决于我们比较了多少权重：少数几个数字的一致很容易是偶然的，而数千个数字的一致则很难用巧合解释。我们的统计模型会考虑所比较权重的数量，并衡量观测到的匹配超出偶然预期相似度的程度。我们用标准差来表示这个距离，即sigma。分数越高，意味着反对偶然匹配的证据越强，前提是统计模型正确描述了数据中的随机变化。

我们还必须考虑我们尝试了多少个候选。搜索大约六万亿种种子与布局的组合，给了我们数万亿次机会去找到一个幸运的匹配。在正态分布模型下，五西格玛或更高的正匹配大约每 350 万次比较才会偶然出现一次。这在单次测试中会很惊人，但在像我们这样大规模的搜索中并不令人意外。因此，我们以大约八西格玛作为基准，来评估整个搜索过程中出现的偶然匹配。

我们的发现大幅超过了这一基准。我们首先用一组权重选择一个种子和布局，然后在另一组未参与选择的权重上测试同一组合。这检验了所显现的指纹是否超出了引导我们找到它的那些数字。六个模型各自的最强证据从 49 西格玛到 1,385 西格玛不等；即使是最弱的单项测试也达到了 20 西格玛。在我们的统计模型下，这些结果太强了，不可能归因于偶然的相似。它们确立了共享初始化模式的证据；要精确识别是哪种计算硬件产生了该模式，以及它是否也执行了训练，则需要上文讨论的单独论证。

结论

基于我们的取证调查，我们认为我们有强有力的证据表明，六个中国 AI 模型是在受出口管制的 NVIDIA 硬件上初始化的，而对于 DeepSeek-V4-Flash，证据是确凿的；我们认为，这一初始化也强烈表明它们是在同一批受出口管制的硬件上训练的。尽管这留下了其他未解问题——例如开发这些模型的公司是通过何种途径获得受出口管制的 NVIDIA 系统的——但我们认为这一事实值得公众紧急关注。

来源

• The Information，2025 年 12 月 10 日，关于 DeepSeek 与 Blackwell（经 Bloomberg）。
• Reuters，2026 年 2 月 23 日，“官员称，中国 DeepSeek 无视美国禁令，在 Nvidia 最好的芯片上训练 AI 模型”（转载副本）。
• Michael Kratsios，白宫 OSTP 主任，2026 年 7 月 22 日，关于 Moonshot AI（经 Bloomberg）。
• The Wall Street Journal，2026 年 3 月，关于马来西亚为字节跳动使用的 Blackwell 芯片（经 Reuters）。
• DeepSeek 工程师的 GitHub 评论，2025 年 6 月 12 日：DeepGEMM pull request 112。
• 蚂蚁集团的 GB300 基准测试结果，2026 年 3 月 31 日：cuLA，BENCHMARK_GB300.md。
• 美国出口许可规则：15 CFR 742.6。
• 披露的硬件：DeepSeek-V3 Technical Report；Kimi K2 paper；Nemotron-3 Ultra Technical Report。
• 设置线程布局的 PyTorch 代码：DistributionTemplates.h。
• 模型权重：DeepSeek-V3，V4-Flash，V4-Pro，Kimi K3，K3.1-Pro，MiniMax-M3，Ling-3.1-flash。

如何引用本报告

建议引用格式：

Will DePue，“Top Chinese Frontier AI Models Carry the Fingerprint of Export-Controlled NVIDIA Blackwell GPUs，” Unemployment Labs，2026 年 11 月 12 日，https://unemploymentlabs.com/checkpoint-forensics。

BibTeX：

@techreport{depue2026blackwell,
  author      = {DePue, Will},
  title       = {{Top Chinese Frontier AI Models Carry the Fingerprint of Export-Controlled NVIDIA Blackwell GPUs}},
  institution = {Unemployment Labs},
  year        = {2026},
  month       = nov,
  url         = {https://unemploymentlabs.com/checkpoint-forensics}
}

在新闻报道中，请将研究发现归因于 Will DePue，并链接到本页面。