中国前沿AI模型带有出口管制GPU的“指纹”

中国顶尖前沿 AI 模型带有受出口管制的 NVIDIA Blackwell GPU 指纹

Will DePue November 12, 2026

执行摘要

我们对公开发布的 AI 模型进行取证分析，发现证据表明，尽管存在对华出口这些芯片的限制，DeepSeek、Moonshot AI、MiniMax 和 Ant Group 已获得使用 NVIDIA Blackwell GPU 的途径，并正在使用该硬件创建其 AI 模型。这些公司自 2026 年 4 月以来发布的六个模型包含与 Blackwell 硬件匹配的数值模式，而同一公司较早的模型则与 NVIDIA 较旧的 Hopper 代际匹配。研究结果表明，几家领先的中国 AI 开发者已开始使用 Blackwell 训练其最新模型。美国官员和新闻报道此前已指控 DeepSeek 和 Moonshot AI 使用 Blackwell 芯片，但未公布技术证据。

证据完全来自模型自身公开发布的权重，而非泄密或内部人士说法。我们恢复了模型初始值的痕迹，然后搜索能够重现这些初始值的硬件配置和初始配置；对于 DeepSeek-V4-Flash 和 Kimi K3，我们还在物理 Blackwell 芯片上确认了匹配。该指纹识别出权重是如何创建的，并支持——但并未证明——Blackwell 也执行了训练的推断。经过特殊配置的 AMD 硬件（同样受到对华出口限制）是我们已识别出的唯一替代方案；我们已对 DeepSeek-V4-Flash 排除该方案，并认为其对其他五个模型非常不可能。值得注意的是，我们的发现提供了获得先进计算硬件的技术证据，但并未确定芯片所在位置、如何获得访问权限，或是否违反了出口管制。

表 1. DeepSeek、Moonshot AI、MiniMax 和 Ant Group 相继模型中的硬件指纹 链接 ↗

• 向中国出口需要美国许可证；尚未有此类许可被报道。

Hopper 指纹无法区分 H800

中国实验室开始使用 Blackwell 训练的时间相对较近。截至 DeepSeek-V3（2024 年 12 月发布），DeepSeek 的模型都被识别为基于 Hopper 训练；从 DeepSeek V4（2026 年 4 月发布）起被识别为基于 Blackwell。截至 Kimi K2.5（2026 年 1 月），Moonshot 的模型都被识别为 Hopper；从 K3（2026 年 7 月）起为 Blackwell。有一个 Moonshot 模型处于两者之间：Kimi K2.7-Code 在 K3 发布前六周推出，基于 Hopper 时代的权重构建，但其中有一小部分与 B200 或 B300 匹配。截至 M2.7（2026 年 4 月），MiniMax 的模型都被识别为 Hopper；从 M3（2026 年 6 月）起为 Blackwell。Ant Group 的 Ling-3.0-flash（2026 年 8 月）被识别为 Hopper，而其 Ling-3.1-flash（2026 年 10 月）被识别为 Blackwell。Hopper 的识别结果并不能确定具体的芯片：H800、H100 SXM 和 H200 共享相同的指纹。

• 并非所有中国 AI 实验室都已转向 Blackwell。我们能够读取的来自 Alibaba（Qwen）、Zhipu（GLM）、Tencent、Xiaomi 和 StepFun 的最新模型，全部被识别为基于 Hopper 训练。Meituan 表示其 LongCat-2.0 完全在“AI ASIC 超级集群”上训练，我们在其发布的模型权重中没有发现 NVIDIA 的指纹。

• 该方法能够得出已知的正确答案。对 24 个特定模型，开发者已公开说明使用了何种硬件。在每一种情况下，我们的方法都与公开声明一致。NVIDIA 自己的 Nemotron-3 Ultra，其技术报告指出训练的一个阶段使用了 GB200，被识别为 152 个 SM，与 Kimi K3 相同。

• 这些匹配的强度远超随机巧合所能解释的程度。只要尝试足够多的组合，即使是不相关的数字也可能看起来匹配。在我们的搜索中约 6 万亿个 seed-and-layout 组合里，最强的随机匹配预计仅能达到约 8 sigma——sigma 是衡量结果高出普通随机波动多少的指标。六个模型中每个模型的最强证据介于 49 到 1,385 sigma 之间。即使是我们报告的最弱的单项测试，也达到 20 sigma。

• 这些训练运行达到数据中心规模。根据每个模型的规模和训练所用的数据量，我们估计每次运行大约需要 500 到 3,000 块 Blackwell GPU，持续两到三个月（表 2），前提是每个模型都在初始化它的硬件上训练。将同样的算法应用于 DeepSeek-V3，得出 2,000 到 2,500 块芯片；DeepSeek 披露的数字是 2,048。按每块 GPU 约 70,000 美元计算——这一成本源自《华尔街日报》的一篇报道：约 36,000 块 Blackwell 芯片正被安装在马来西亚供 ByteDance 使用，将耗资超过 25 亿美元——其中最大的集群将耗资 1.5 亿至 2 亿美元，五个集群合计超过 5 亿美元。这些数字仅涵盖最终训练运行；这些实验室在受出口管制的 GPU 上的总支出很可能达到数十亿美元。

表 2. 各次训练运行的粗略规模 Link ↗

训练算力（约 6 × 激活参数 × 训练 token 数）除以芯片在 35% 利用率下的吞吐量，按两到三个月的运行时间计（DeepSeek-V4-Flash 为六到八周）。DeepSeek 披露了其 token 数量；对于其他模型，我们根据权重进行了估算。

我们的调查

中国前沿 AI 模型带有受出口管制 GPU 的指纹

模型的权重（也称为参数）是数十亿个可调数字，决定它如何处理信息并生成答案。训练会反复调整这些数字；但在训练开始前，它们需要初始值。在本文考察的软件中，这些值来自一种名为 Philox 的伪随机数生成（PRNG）算法：Philox 以确定性的方式生成看似随机的数字。Philox 的起始输入是一个称为“种子”的数字。给定相同的种子和设置，Philox 每次都会生成相同的数字。这使工程师可以从同一出发点重复实验。

为了快速填充数十亿个权重，PyTorch——大多数主要 AI 模型开发中使用的软件框架——将 Philox 所做的工作分配给 GPU 上许多并行工作单元，称为线程。（它通过 NVIDIA 的随机数生成库 cuRAND 来完成这一点。）每个线程根据种子生成自己的数字序列，并填充一组特定位置。线程数量随后决定了这些位置如何分配。在本文考察的 NVIDIA 芯片上，足够大的初始化会为每个称为流式多处理器（SM）的处理单元使用最多 2,048 个线程。因此，拥有更多 SM 的芯片会将同一任务分配给更多工作单元，从而改变它们的数字被放置的位置。

图 1 展示了这在简化 GPU 上的工作方式：该 GPU 有六个 SM，每个 SM 有八个线程，总共 48 个线程。把权重想象成一长排空盒子，为了适应页面而折成一个网格。第一个线程填充第一个盒子，第二个线程填充第二个盒子，依此类推，直到所有 48 个线程。然后，第一个线程的下一个数字进入第 49 个盒子，再下一个进入第 97 个盒子，以此类推。黑色轮廓沿着这一个线程穿过网格：第一个线程每隔 48 个位置填充一个。颜色标识每一组值由哪个处理单元提供，而右侧面板中的亮度表示数值本身。

现在保持种子不变，但使用一个有五个 SM 而不是六个 SM 的 GPU。在我们简化的例子中，这意味着 40 个线程而不是 48 个线程。第一个线程生成完全相同的序列，但现在把它的数字放入第 1、41、81 个盒子，而不是第 1、49、97 个盒子。图 2 追踪这些数字位置的变化。在整个网格中，只有 6% 的数值与原始排列匹配。种子是对的，但工作单元数量错了。正因如此，模型权重的排列方式才成为判断用于创建它的芯片的线索。

因此，复现权重需要同时满足两个条件。种子必须生成正确的数字，线程数必须把它们放在正确的位置。种子正确但线程数错误时，大多会得到正确的数字但位置错误；线程数正确但种子错误时，会得到不同的数字。图 3 展示了为什么只有正确的组合才能重建原始排列。

在真实芯片上，线程数要大得多，但原理相同。在本文考察的 NVIDIA 配置中，Hopper H100 SXM、H200 和 H800 有 132 个 SM，并使用 270,336 个线程；Blackwell B200/B300 有 148 个 SM，并使用 303,104 个线程；Blackwell GB200/GB300 有 152 个 SM，并使用 311,296 个线程。因此，恢复出线程数可以告诉我们这些硬件组中哪一个与起始排列匹配，尽管它无法区分同一组内的不同芯片。例如，Hopper 匹配无法区分 H800 与 H100 或 H200。

问题在于，这种布局是否有足够多的部分能在训练后保留下来，让我们得以还原它。某些权重，例如为训练中从未遇到的词或符号保留的权重，可能未被触及，并几乎完全保留其起始值。我们可以将这些保留下来的值直接与候选种子和线程数生成的起始值进行比较。图 4 展示了这样的比较：DeepSeek-V3 保留下来的权重与 Hopper 布局匹配，而 DeepSeek-V4-Flash 的则与 Blackwell 布局匹配。

即使是被训练改变过的权重，也可能保留其起始值的微弱痕迹。每个最终权重都是其起始值加上训练期间所做的所有调整。如果这些调整没有完全抵消或压过起始差异，其中一些差异就会留存下来。例如，两个权重起始值分别为 0.2 和 0.8，各自增加约 0.1，之后它们的顺序仍会相同。真实的调整变化要大得多，因此单个权重能告诉我们的信息很少。但在数十万个权重上，我们可以检验起始值较高的权重是否仍倾向于对应最终值较高的权重。图 5 展示了这种微弱但可测量的关系。这是在这些权重中的发现，而不是保证能在每次训练运行中都保留下来的性质。

这些留存下来的痕迹让我们能够反向推断。假设在一个使用图 1 布局的虚构示例中，种子 7 让第一个线程产生 0.2、−0.5 和 0.8。若有 48 个线程，这些值会进入位置 1、49 和 97；若有 40 个线程，它们会进入位置 1、41 和 81。如果已发布的权重保留了第一种模式，我们可以尝试候选种子和线程数，直到重新构造出它。在实际调查中，我们比较对应位置上的数千个值。未受触及的权重可以完全匹配；训练过的权重可能只表现出上述较弱的相似性。无论哪种情况，我们都寻找最能重现留存模式的组合。

然后，我们在未参与搜索的权重上检验该组合。我们用一组权重选定种子和线程数后，用它们预测另一组权重的起始值，而不调整任一设置来改善拟合。在这些此前未使用的权重上匹配，比仅在帮助我们选择组合的权重上匹配更有力。图 6 展示了比较结果：DeepSeek-V3 匹配 Hopper H100 SXM、H200 或 H800 芯片的初始化布局；DeepSeek-V4-Flash 匹配 Blackwell B200/B300；Kimi K3 匹配 Blackwell GB200/GB300。

在我们的调查中，我们在来自四家中国公司的六个模型中发现了强烈暗示 Blackwell 芯片初始化的模式：DeepSeek 的 DeepSeek-V4-Flash 和 DeepSeek-V4-Pro，Moonshot AI 的 Kimi K3 和 Kimi K3.1-Pro，MiniMax 的 MiniMax-M3，以及 Ant Group 的 Ling-3.1-flash。V4-Flash 和 MiniMax-M3 匹配 148-SM 布局；其余四个匹配 152-SM 布局。这些是起始权重的指纹，它们支持但不单独证明这些 AI 模型训练使用了 Blackwell 芯片。

我们调查的局限

中国前沿 AI 模型带有受出口管制 GPU 的指纹

值得注意的是，我们用来识别这些模型初始化时所使用硬件的取证方法仅适用于某些模型。它需要已公开的权重，因此闭源模型无法检查。它还需要生成初始权重的软件留下可识别的、依赖硬件的模式。在这里检查的 GPU 上，PyTorch 会留下这样的模式；用于训练百度 ERNIE-5.5 模型的百度 PaddlePaddle 框架则不会。我们能够恢复 ERNIE-5.5 的种子（2760），但无法确定初始化它时使用了哪种硬件。同样，在普通处理器而非 GPU 上初始化的权重不会留下 GPU 指纹；阿里巴巴的若干 Qwen3 模型就是这样初始化的，因此没有留下任何痕迹表明训练它们使用了哪些 GPU。我们也没有在美团 LongCat-2.0 中发现指纹，该公司称其是在“AI ASIC superpods”上训练的；尽管进行了穷尽式搜索，我们也没有在 DeepSeek-V4.1-Flash 中发现指纹。

该方法识别的是生成初始权重的硬件，而不是后来参与训练该模型的每一块芯片。当一次训练运行在将用于训练它的同一批 GPU 上生成权重时，该指纹同时指向二者。但实验室可以在一个系统上生成权重，再将其迁移到另一个系统，或在新硬件上继续训练现有模型。仅凭权重无法排除这些可能性。混合集群会带来同样的限制。如果 NVIDIA 芯片生成了一些权重，而华为芯片后来参与训练它们，NVIDIA 的模式可能保留下来，却不揭示华为的参与。不同代际的 NVIDIA 芯片可能在各自初始化的部分留下不同模式，前提是这些痕迹存留下来。在 Kimi K3 中，至少 64 个分别设定种子的进程都留下了相同的 152-SM 布局。因此，与 Blackwell 兼容的模式支持在初始化阶段使用了 Blackwell，但需考虑下文所述的 AMD 替代可能性；它不能证明整个训练运行都使用了 Blackwell。同样，Hopper 模式也不能排除后来在 Blackwell 上训练。

权重也无法揭示芯片归谁所有或位于何处。Blackwell 系统可以从中国境外的数据中心租用。这些证据涉及对硬件的获取；仅凭证据本身，不能证明芯片被走私到中国，也不能证明发生了出口管制违规。

不同的芯片能否产生这些与 Blackwell 兼容的模式之一？在这里测试的 NVIDIA 配置中，较旧的芯片不能：软件可以让芯片使用较少的处理单元，但不能让它拥有超过物理数量的处理单元。在这里考察的标准 PyTorch 行为下，它们无法产生 148 或 152-SM 的布局。中国市场销售的 Blackwell 显卡每个 SM 使用不同数量的线程，也不会产生上述任一 SM 总数。

AMD 提供了另一种可能性。MI300X 通常使用 304 个处理单元，但可以分成两组、每组 152 个，或配置为仅使用 148 个。其随机数软件也能生成与 NVIDIA 相同的底层序列。这种配置会非常不寻常，但我们在物理 MI300X 上确认，当其被限制为使用 152 或 148 个单元时，它能复现我们与 Blackwell 关联的布局，因此仅凭布局不能解决这个问题。

为了区分它们，我们寻找数值本身中的微小数值差异。AMD 和 NVIDIA 在数字生成过程中对一项计算的处理略有不同。在一台物理 MI300X 上，DeepSeek-V4-Flash 的保留权重指向 NVIDIA：在两家供应商结果不同的 377 个值中，已发布的权重有 363 个与 NVIDIA 匹配，没有一个与 AMD 匹配。同一测试无法判定另外五个模型，但我们认为对它们而言 AMD 解释非常不可能。在正常配置下，MI300X 不会产生这两种布局中的任何一种；实验室将不得不配置整个集群，使其使用与 Blackwell 芯片相同数量的处理单元。其他公开证据也指向 Blackwell：美国官员和新闻报道声称 DeepSeek 和 Moonshot AI 使用了 Blackwell 芯片，且 Ant Group 的公开代码包含在 GB300 上生成的基准测试结果。

验证我们的发现

为了复现将 DeepSeek-V3 与 Hopper 关联、将 DeepSeek-V4-Flash 与 Blackwell 关联的结果，我们在 Hopper 级 NVIDIA H100 和 Blackwell 级 NVIDIA B300 上运行了未修改的 PyTorch。我们已经确定 DeepSeek 的种子数为 953049583，并发现它被用于 DeepSeek-V3 和 DeepSeek-V4-Flash 两者的初始化。使用该种子，H100 复现了 DeepSeek-V3 中保留的起始值，但没有复现 V4-Flash 的；B300 复现了 V4-Flash 中保留的值，但没有复现 V3 的。在 B300 上，未修改的 PyTorch 复现了 DeepSeek-V4-Flash 中 469 个选定行中的 461 个，相关性高于 0.99，包括 445 个完全逐位匹配的整行。八个选定行被训练部分改变。在 H100 上，它逐位复现了 DeepSeek-V3 中全部 57,344 个保留值。两块芯片均未复现对方模型的保留行。将种子改变 1 后，两台机器上均未复现任何匹配行。在一台租用的 GB200

我们还必须考虑我们尝试了多少候选组合。搜索大约六万亿种种子与布局组合，意味着我们有数万亿次机会找到一次幸运匹配。在正态分布模型下，5 sigma 或更高的阳性匹配约每 350 万次比较会偶然出现一次。这在单次检验中会很惊人，但在我们这样大规模的搜索中出现在某处并不意外。因此，我们以约 8 sigma 作为基准，用于评估整个搜索中的偶然匹配。

我们的发现大幅超过该基准。我们首先使用一组权重选择一个种子和布局，然后在另一组未参与选择的权重上测试同一组合。这检验了表面指纹是否延伸到引导我们发现它的那些数字之外。六个模型中每个模型的最强证据介于 49 到 1,385 sigma 之间；即使所报告的最弱单项检验也达到 20 sigma。在我们的统计模型下，这些结果太强，不能归因于偶然相似。它们确立了共享初始化模式的证据；要准确识别是哪种计算硬件产生了该模式，以及该硬件是否也执行了训练，需要上文讨论的单独论证。

结论

基于我们的取证调查，我们相信有强有力证据表明，六个中国 AI 模型是在受出口管制的 NVIDIA 硬件上初始化的，并且对于 DeepSeek-V4-Flash，证据是确凿的；我们认为，这一初始化也强烈表明它们在同一受出口管制的硬件上进行了训练。尽管这留下其他未解问题——例如开发这些模型的公司是通过何种情形获得受出口管制的 NVIDIA 系统的——但我们认为这一事实值得公众紧急关注。

DeepSeek 跨模型世代复用一个种子，Moonshot 使用一条规则推导其种子，因此我们可以逐个模型追踪每个实验室的硬件。日期为权重发布时间。

| LLM 7B/67B, Coder, V2, V3 (Dec 2024), V3.2 | 132 | H100 / H800 / H200

¹ 报告整体披露。DeepSeek-V2 和 V2-Lite 共用一句“H800 集群”，MoE-16B 称“A100 或 H800”，Coder 称“A100 和 H800”。MiniMax 的 MiniMax-01 论文描述了一个 H800 集群，Ant Group 的 Ling 2.0 报告称其训练运行在“Hopper GPUs”上。这些与我们的读数一致，但不是独立测试。V2-Lite 复用了 MoE-16B 的初始化：它们保留的行逐字节相同。

² 需要许可证。B200、B300、GB200 和 GB300 在出货前就需要美国对华出口许可证，且这些产品均未见报道。AMD MI300X 也受到管制。

³ 存在合规版本。A100/H100 级别自 2022 年 10 月起受到管制，但具有相同 SM 数量的 A800 和 H800 直到 2023 年 10 月仍可出口。

文章标题：中国前沿 AI 模型带有出口管制 GPU 的指纹

正文： ⁴ 未解决的 Hopper 硬件。这些模型最早于 2024 年 12 月起发布，并显示出与 H800、H100 SXM 或 H200 硬件兼容的 132-SM 指纹。DeepSeek 和 Moonshot 已报告部分模型使用 H800，但该指纹无法区分这些芯片。模型的发布日期并不能确定其硬件是何时、何地获得的，仅凭这一读数也不能确定出口管制合规性。

⁵ 148 部分。参见结果表下方关于 Kimi K2.7-Code 的注释。

† 由一次分析运行报告，尚未独立重新运行。在为本文添加的其他每一行中，首个列出的模型都经过了独立重新运行；列为共享其初始化的模型则没有。

这些标记描述的是 2022 年 10 月和 2023 年 10 月美国出口规则下的硬件类别。它们并不构成任何违法行为的认定。

未恢复 GPU 签名。空白并不说明模型的硬件情况。我们未从 DeepSeek-V4.1-Flash（经过穷尽搜索后）、Qwen3.5-122B、Qwen3.8-Flash-Next、Qwen3-0.6B 和 1.7B、gpt-oss-120b 以及 Grok-1 中恢复任何签名。Qwen3-235B、Qwen3-32B 和 Qwen3.5-9B 在 CPU 上初始化，因此不留下 GPU 布局。百度的 ERNIE-5.5 使用 PaddlePaddle，其生成器不携带芯片布局（我们恢复了其种子 2760）；ERNIE-4.5 未给出结果。美团的 LongCat-2.0 未给出结果。其模型卡称训练“完全在 AI ASIC 超级节点上”运行，而一份已被删除的微调配置将 device_arch 设为 910，并带有 NPU 和 HCCL 选项，我们将其解读为华为昇腾 910。Intern-S2 基于阿里巴巴的 Qwen3.5-397B 构建，并携带其初始化。DBRX 和 Llama-4-Scout 无法下载。

可用性。复现脚本、行夹具和测试输出可应审阅者要求提供。

联系方式：Will DePue，[email protected]。

来源

• The Information，2025 年 12 月 10 日，关于 DeepSeek 和 Blackwell（经由 Bloomberg）。

• 路透社，2026 年 2 月 23 日，“官员称中国 DeepSeek 不顾美国禁令，在 Nvidia 最佳芯片上训练 AI 模型”（联合供稿副本）。

• Michael Kratsios，白宫 OSTP 主任，2026 年 7 月 22 日，关于 Moonshot AI（经由 Bloomberg）。

• 《华尔街日报》，2026 年 3 月，关于马来西亚境内供字节跳动使用的 Blackwell 芯片（经由路透社）。

• DeepSeek 工程师的 GitHub 评论，2025 年 6 月 12 日：DeepGEMM pull request 112。

• 蚂蚁集团的 GB300 基准测试结果，2026 年 3 月 31 日：cuLA，BENCHMARK_GB300.md。

• 美国出口许可规则：15 CFR 742.6。

• 已披露硬件：DeepSeek-V3 Technical Report；Kimi K2 paper；Nemotron-3 Ultra Technical Report。

• 设置线程布局的 PyTorch 代码：DistributionTemplates.h。

• 模型权重：DeepSeek-V3、V4-Flash、V4-Pro、Kimi K3、K3.1-Pro、MiniMax-M3、Ling-3.1-flash。

如何引用本报告

建议引用格式：

Will DePue，“Top Chinese Frontier AI Models Carry the Fingerprint of Export-Controlled NVIDIA Blackwell GPUs，” Unemployment Labs，2026 年 11 月 12 日，https://unemploymentlabs.com/checkpoint-forensics。

        @techreport{depue2026blackwell,
  author      = {DePue, Will},
  title       = {{Top Chinese Frontier AI Models Carry the Fingerprint of Export-Controlled NVIDIA Blackwell GPUs}},
  institution = {Unemployment Labs},
  year        = {2026},
  month       = nov,
  url         = {https://unemploymentlabs.com/checkpoint-forensics}
}
      

在新闻报道中，请将研究结果归因于 Will DePue，并链接到本页面。

写成 {{NAME_ab12cd34}} 形式的值是真实值的占位符。请在回复和工具调用中完全按原样使用它们：它们会在任何内容运行之前被填入真实值。不要要求验证它们，也不要用示例替换它们。