前 OpenAI 研究员发布权重取证报告：称 DeepSeek、Kimi 等六个中国前沿模型初始化于被禁运的 NVIDIA Blackwell 芯片

美国时间 2026 年 11 月 12 日 21 时 29 分（北京时间 13 日清晨 5 时 29 分），，宣布自己获得了「结论性的法证证据」：DeepSeek、月之暗面（Moonshot AI）、MiniMax 和蚂蚁集团这四家中国 AI 实验室的最新模型，建立在被禁止向中国出口的 NVIDIA Blackwell 芯片之上。Depue 的 X 个人简介注明曾任职 OpenAI，列出 Sora 1/2、o3/4o 后训练等经历。与帖文同时上线的，是他发布在个人站点 Unemployment Labs 的，署名 Will DePue，标注日期 2026 年 11 月 12 日。

这套方法被命名为 checkpoint forensics（权重检查点取证），证据完全来自各公司自己公开发布的模型权重，而非内部爆料。报告称，模型的每个权重在训练开始前都需要一个初始值，而在主流框架中这些初值由伪随机数按「种子」生成，会在公开权重里留下与具体 GPU 硬件组对应的「指纹」；在搜索了约 6 万亿种芯片布局与种子的组合后，报告判定 2026 年 4 月以来发布的六个中国前沿模型——DeepSeek-V4-Flash、DeepSeek-V4-Pro、Kimi K3、Kimi K3.1-Pro、MiniMax-M3 与蚂蚁 Ling-3.1-flash——初始化于 Blackwell 系统。报告还在真实硬件上做了验证：在一块 B300 上，用未修改的 PyTorch 和恢复出的种子 953049583，DeepSeek-V4-Flash 469 个选定行中的 445 行被逐位复现；租用的 GB200 以 0.999995 的相关性复现了 Kimi K3 的全部 13 行保留初始值；换成 Hopper H100 去生成 V4-Flash 的初值、或把种子加一，匹配就消失。报告同时写明：指纹「支持但不证明」Blackwell 参与训练，也无法确定芯片位置、获取方式或是否违反出口管制；截至发稿，支撑该主张的公开材料均出自 Depue 一方。

六个新模型读作 Blackwell，各公司上一代仍读作 Hopper

报告给出的硬件判定分两组：DeepSeek-V4-Flash 与 MiniMax-M3 匹配 148 个流式多处理器（SM）的布局，对应 B200/B300；DeepSeek-V4-Pro、Kimi K3、Kimi K3.1-Pro 与 Ling-3.1-flash 匹配 152 SM 的布局，对应 GB200/GB300——按帖文的说法，后四款对应 NVIDIA 旗舰液冷机架系统中的 Grace Blackwell 部件。报告注明，这几款芯片自出货之前就需要美国出口许可才能对华出口，且没有获批出口的公开记录。

同一实验室的时间线呈现出清晰的切换点：DeepSeek 的模型到 V3（2024 年 12 月发布）都读作 Hopper，从 V4（2026 年 4 月）起读作 Blackwell；月之暗面到 K2.5（2026 年 1 月）读作 Hopper，从 K3（2026 年 7 月）起读作 Blackwell；MiniMax 从 M2.7（2026 年 4 月）到 M3（2026 年 6 月）切换；蚂蚁的 Ling-3.0-flash（2026 年 8 月）读作 Hopper，Ling-3.1-flash（2026 年 10 月）读作 Blackwell。K3.1-Pro（2026 年 11 月）与 K3 使用同一种子，报告认为它可能是 K3 的检查点再做后训练。夹在中间的是 Kimi K2.7-Code：它比 K3 早六周发布，主体继承 Hopper 时代的权重，但约 20% 匹配 148 SM 布局，且各行混合比例一致——报告将其读作一次合并检查点，未计入六个模型之列。

报告强调，Hopper 读数无法区分 H800、H100 SXM 与 H200；此前各实验室「使用 H800」的说法是实验室自己的披露，不是该方法得出的结论。

指纹从哪来：初始化落位记录了 SM 数量

模型权重的初值由伪随机数生成器 Philox 按一个「种子」确定性地生成；PyTorch 通过 NVIDIA 的 cuRAND 库，把生成工作分派给 GPU 上的大量线程。在报告检验的 NVIDIA 芯片上，足够大的初始化会给每个 SM 派满 2,048 个线程——SM 数不同的芯片，会把同一份工作分给不同数量的「工人」，数字的落位随之改变。H100 SXM、H200 与 H800 为 132 SM、270,336 个线程；B200/B300 为 148 SM、303,104 个线程；GB200/GB300 为 152 SM、311,296 个线程。恢复出线程布局，就能把模型归入这三个硬件组之一，但无法区分组内的具体芯片。一个细节是：DeepSeek 在 V3 与 V4-Flash 上复用了同一个种子 953049583——种子相同、SM 数不同、落位不同，于是 V3 读作 Hopper，V4-Flash 读作 Blackwell。

痕迹能留下来有两层原因。训练中从未被更新的权重——例如保留给训练中未出现的词元的那些行——几乎原样保留初值，可以直接比对；被训练改动过的权重也会保留微弱的排序痕迹。报告以 DeepSeek-V4-Flash 为例：每层 745,472 个权重、跨 42 层平均后，初始值与最终值仍呈 r=0.066 的相关（57 sigma；sigma 指偏离随机波动的标准差个数），而按 Hopper 布局比对时这一关系消失。检索方式上，报告先用一部分权重选定种子与布局，再用未参与选择的另一部分权重做盲测。

这套判别方法有明确的物理上限：软件可以用更少的处理单元，却不能让芯片给出超出物理上限的 SM 数——老芯片因此「装不出」148 或 152 SM 的布局；中国市场的 Blackwell 显卡每个 SM 的线程数不同，这两种布局也给不出来。反过来，有些模型根本不留指纹：百度 ERNIE-5.5 使用的 PaddlePaddle 框架不携带芯片布局信息（报告恢复了它的种子 2760，但无法判断硬件）；阿里若干 Qwen3 模型在 CPU 上初始化，同样读不出 GPU 指纹。

实机验证：同一颗种子，H100 只复现 V3，B300 只复现 V4-Flash

实机验证相当于一次重放：在真实芯片上按恢复出的种子重新生成初始权重，与公开权重比对。在 Hopper 阵营的 H100 上，种子 953049583 逐位复现了 DeepSeek-V3 的全部 57,344 个保留值，但没有复现 V4-Flash 的任何保留值；在 Blackwell 阵营的 B300 上，同一颗种子复现了 V4-Flash 469 个选定行中的 461 行（相关系数超过 0.99），其中 445 行逐位一致，另有 8 行被训练部分改动。把种子加一，两台机器上都复现不出任何匹配行。在租用的 GB200 上，用月之暗面的种子 20256586，K3 的全部 13 行保留值被复现——帖文给出的相关性为 0.999995。

方法本身也接受过「已知答案」检验：在开发者公开说明过训练硬件的 24 个模型上——Meta 的 Llama 3.1（H100）读作 132 SM、EleutherAI 的八个 Pythia 模型（A100）读作 108 SM、NVIDIA 自家 Nemotron-3 Ultra（技术报告写明某阶段使用 GB200）读作 152 SM——该方法与公开披露全部一致。报告同时说明：这 24 例中 11 例是未经训练的初始权重（step-zero 检查点）、相关模型并非独立样本，因此这是一致性检验，而不是测得的准确率。

统计强度与集群规模：8 sigma 的偶然基准，逾 5 亿美元的芯片

在这样大的搜索空间里，最强的偶然匹配预计约为 8 sigma——按报告采用的统计模型，5 sigma 的正匹配每约 350 万次比较出现一次。六个模型的实测证据为 49～1,385 sigma：DeepSeek-V4-Flash 1,385、MiniMax-M3 323、K3 与 K3.1-Pro 各 305、Ling-3.1-flash 244、V4-Pro 49；报告给出的最弱单项测试也达到 20 sigma。

规模方面，报告按模型尺寸与训练数据量估算，每次训练约需 500～3,000 块 Blackwell 运行 2～3 个月，最优估计为：V4-Flash 1,000～1,500 块，V4-Pro 2,000～2,500 块，K3 2,000～3,000 块，MiniMax-M3 500～600 块，Ling-3.1-flash 1,100～1,650 块。同一算法套用到 DeepSeek-V3 上得出 2,000～2,500 块，而 DeepSeek 公开披露的数字是 2,048 块。按约 7 万美元一块的单价——由《华尔街日报》关于在马来西亚为字节跳动安装约 36,000 块 Blackwell、总价逾 25 亿美元的报道推算——最大的集群约 1.5 亿～2 亿美元，五次训练合计超过 5 亿美元。报告估算这还只覆盖最终训练，这些实验室在受管制 GPU 上的总支出「很可能达数十亿美元」。

报告识别出的唯一替代解释是 AMD，同时写明了自己的边界

报告在多处写明这套证据不能回答的问题。指纹识别的是生成初始权重的硬件，不是参与训练的每一块芯片：实验室可以在一套系统上生成权重，再搬到另一套系统上训练；混合集群同样无法排除——如果 NVIDIA 芯片生成了部分权重、后续由华为芯片参与训练，NVIDIA 的纹样可以保留，而华为的参与不可见。K3 中至少 64 个以不同种子运行的进程都留下了同一 152 SM 布局，报告认为这支持 Blackwell 参与了初始化，但不能证明整个训练都发生在其上。芯片的位置与所有权同样不可知：Blackwell 系统可以从中国以外的数据中心租用，证据指向的是「接触了硬件」，不能证明芯片被走私入境或违反了出口管制。

替代解释指向 AMD。MI300X 常规配置有 304 个计算单元，但可拆成两组 152 或配置为只用 148，其随机数软件也能生成与 NVIDIA 相同的底层序列——报告在实体 MI300X 上确认了这两种布局可以复现。区分靠数值差异：在两家实现结果不同的 377 个值中，DeepSeek-V4-Flash 的公开权重有 363 个匹配 NVIDIA、0 个匹配 AMD。同样的测试未能定论其余五个模型，但报告认为 AMD 的解释「可能性极低」：常规配置的 MI300X 两种布局都给不出，除非把整个集群专门配置成 Blackwell 的 SM 数——而 MI300X 本身同样是受出口管制的芯片。

未切换的实验室、此前的指控与等待独立复现的主张

并非所有中国实验室都出现了切换。报告称，阿里（Qwen）、智谱（GLM）、腾讯、小米与阶跃星辰所能读到的最新模型全部仍读作 Hopper，附录给出的证据强度从 41 sigma（小米 MiMo-V2.5-Pro）到 478 sigma（阿里 Qwen3.8）不等；美团 LongCat-2.0 未检出 NVIDIA 指纹，其模型卡称训练「完全在 AI ASIC 超级集群（superpods）上进行」，报告在一处已删除的微调配置中读到 device_arch 为 910，判断为华为昇腾 910。

Blackwell 的传闻本身并不新。报告援引此前的报道与表态：The Information 2025 年 12 月 10 日称 DeepSeek 使用了被禁的 NVIDIA 芯片；路透 2026 年 2 月 23 日报道，有美国官员称 DeepSeek 在禁令之下用 NVIDIA 最强芯片训练了模型；白宫科技政策办公室主任 Michael Kratsios 在 2026 年 7 月 22 日就月之暗面作出类似表态；《华尔街日报》2026 年 3 月报道了马来西亚为字节跳动安装的 Blackwell 集群。报告的自我定位是：这些指控此前没有技术证据，而本次分析给出了来自公开权重的数字证据。报告还列出两条公开代码线索：蚂蚁的 cuLA 仓库中保存着 2026 年 3 月 31 日在 GB300 上生成的基准结果；2025 年 6 月 12 日，一位 DeepSeek 工程师在 GitHub 上写道「我们没有 SM100 GPU」——SM100 即 Blackwell。

截至发稿，Depue 的帖文已获得约 1.97 万次点赞、约 196 万次浏览与约 2,800 次转发。帖文称结果「已获 OpenAI 与 Anthropic 资深研究员独立验证」，但未公布这些人的姓名或验证细节；报告表示复现脚本、行级测试数据与测试输出「可向审阅者按需提供」。在 11 月 13 日本稿截稿前，独立复现尚未出现。报告的结论写道：六个模型初始化于受出口管制的 NVIDIA 硬件的证据「有力」，其中 DeepSeek-V4-Flash 的证据「结论性」，初始化「强烈暗示」训练使用了同样受管制的硬件；这一事实「值得公众紧急关注」。至于芯片在哪里、如何获得、是否有人违法——报告写明：它无法确定。

参考链接

Will Depue 的发布帖文（X，2026-11-12）：
Unemployment Labs 报告全文（2026-11-12）：