AREX Feed Article
Will Depue 澄清：DeepSeek-V4.1-Flash 逾 6 万亿次组合尝试零匹配，不能断言是否 Blackwell
前 OpenAI 研究员 Will Depue 于北京时间 11 月 13 日 13 时 44 分在 ，为他一天前发布后引发争议的「权重取证（checkpoint forensics）」报告划下新的边界：他的方法在 DeepSeek-V4.1-Flash 上找不到任何初始化匹配——约 43 亿个种子对上 16～512 个处理器的每一种 GPU 布局，加上 PyTorch 的 CPU 生成器，逾 6 万亿次「种子 × 布局」组合尝试全部零匹配。他明确写道「不能说 V4.1-Flash 是 Blackwell，也不能说它不是 NVIDIA」，并把华为昇腾（Huawei Ascend）的随机数生成器列为下一个测试对象。
这份发布于 11 月 12 日，题为《Top Chinese Frontier AI Models Carry the Fingerprint of Export-Controlled NVIDIA Blackwell GPUs》，称仅凭公开权重就能读出 DeepSeek、月之暗面、MiniMax 与蚂蚁四家六个新模型（DeepSeek-V4-Flash、DeepSeek-V4-Pro、Kimi K3、Kimi K3.1-Pro、MiniMax-M3、Ling-3.1-flash）的初始化指纹，指向对华出口需要美国许可的 NVIDIA Blackwell；报告同时写明，指纹「支持但不证明」训练也在同类硬件上进行，且不能确定芯片位置、获取方式或是否违反出口管制。方法原理在于：模型的初始权重由 PyTorch 的伪随机数生成器（Philox）按种子确定性铺出，而不同代际芯片的处理器（SM）数量不同——H100 级为 132、B200/B300 为 148、GB200/GB300 为 152——数值落位随之改变，权重里因此留有所用硬件的痕迹。V4.1-Flash 是 DeepSeek 今年 9 月发布的另一款模型，不在那六个之列。
零匹配的账目：与找到 V3、V4 的同一套搜索
这条澄清以「我根本没有隐瞒这一点」开头。Depue 回应的是他隐瞒负面结果的指责，并指出该结果本就写在报告正文的「调查的局限」一节与附录里。核对报告页面可以确认：那一节明确写有他们对 DeepSeek-V4.1-Flash 做了穷尽式搜索、没有发现指纹；附录 2 还把它与 OpenAI 的 gpt-oss-120b、Grok-1、阿里的 Qwen3.5-122B 等一起列入「未恢复到 GPU 签名」的清单。
新披露的是这笔搜索的构成：用的是原生 PyTorch，正是当初在 DeepSeek-V3 和 V4 上找到匹配的那套搜索；每个种子还额外在 PyTorch 的 CPU 生成器上跑了一遍。两个方向都一无所获，gpt-oss-120b 与 Grok-1 也是如此。
报告的图 6 展示了「有匹配」时的样子：DeepSeek-V3 在 132 SM 处、DeepSeek-V4-Flash 在 148 SM 处、Kimi K3 在 152 SM 处各有一个陡峭的峰，其余候选布局的得分贴着零线。
他的两层解读：方法没有假阳性，芯片归属未作判断
Depue 对这笔零匹配给出两层解读。第一层关于方法本身：「方法不会把它指到的每个模型都判成 Blackwell。找不到匹配时，它就什么都不返回。」在他看来，如果匹配不会偶然出现，零匹配正是应有的结果，这也佐证方法没有假阳性。对比找到匹配的情形，他说：「同一套搜索在 V4-Flash 上返回的是一个种子、一种布局，1,385σ，而且那个种子在 B300 上逐位复现了权重。这在强化结果，而不是削弱它。」σ（标准差）在报告里衡量匹配超出随机波动的距离：在这类约 6 万亿次组合的搜索里，最强的偶然匹配预计只能到 8σ 左右，而六个模型的证据介于 49σ 与 1,385σ 之间，报告中哪怕最弱的单项检验也有 20σ。
第二层是他划出的未知边界：「DeepSeek 在 4 月的 V4 和 9 月的 V4.1 之间改动了初始权重的生成方式。这对芯片什么也说明不了，可能还是同样的 NVIDIA 硬件，只是换了生成器或种子方案；也可能是别的硬件。」所以他拒绝下判断：「我不会去猜。我现在正在做，一有结果就会跟进。」
回应「权重在别处初始化」：24 比 24，以及 64 个进程
在北京时间 13 日 11 时 47 分的里，Depue 先回应了一个直指报告推断链的质疑：若实验室在一台机器上初始化权重、再到另一处训练，指纹就推不出训练硬件。他的反驳从 24 个模型开始：在开发方公开说明过训练硬件的全部 24 个模型上，指纹都与公开说法吻合，包括在 H800 上训练的 DeepSeek-V3 和 Kimi K2，以及 NVIDIA 自己在 GB200 上训练的 Nemotron。「如果实验室在一台机器上初始化、再到另一台训练，我不可能是 24 比 24。」
机制上，他说训练任务会就地生成初始权重，就发生在即将用于训练的同一批 GPU 上，「训练脚本里就一行」。Kimi K3 的初始权重由至少 64 个独立进程创建，「每一个都跑在 Grace Blackwell 芯片上。那是一个训练任务在 Blackwell 机架上启动的样子，你没法在桌底下的一台机器上做到这件事」。按质疑者的设想反过来操作，实验室得专门写脚本、在一台 Blackwell 上跑、为 Kimi K3 存下超过 5 TB 的初始权重，再跨数据中心搬运加载，只为拿到训练集群几秒钟就能自己生成的随机数，而且四家不同的实验室都得这么做，还得偏偏选中那块被禁止卖给它们的芯片。至于少数在 CPU 上初始化的模型，他说那只是训练任务在自己的 CPU 上生成权重、再拷给自己的 GPU，「纯属软件默认行为」，不构成反例；即便真有实验室租用 Blackwell 仅为初始化，「它用的仍是一块被禁止出口到中国的芯片」。
报告保留的局限并未因这番辩护消失：指纹指向生成初始权重的硬件，而非参与训练的每一块芯片；混合集群里，NVIDIA 芯片留下的初始痕迹也可能掩盖华为芯片后来的参与。报告还指出了它唯一找到的替代解释：经过特殊配置的 AMD MI300X（同样受对华出口管制）可以产生同样的布局，但报告已就 DeepSeek-V4-Flash 用数值检验排除——在两家结果不同的 377 个数值中，363 个与 NVIDIA 一致，没有一个与 AMD 一致；对其余五个模型，报告认为这一解释「极不可能」。
归属仍未定：下一个被检验的是昇腾生成器
Depue 在澄清帖里点名的下一步很具体：「我还没测试华为的昇腾生成器，这是下一步。」在此之前，他对 V4.1-Flash 的硬件归属只保留两种可能：同样的 NVIDIA 硬件换用不同生成器或种子方案，或是别种硬件。这台 9 月发布的模型最终落在哪一边，目前没有答案。
围绕报告整体的争议也未平息：据平台对相关帖文的抓取记录，有安全研究者要求公开代码与数据。Depue 已把放上 GitHub，报告称核对 DeepSeek-V3、V4-Flash、Kimi K3 等结果的脚本在笔记本上几秒钟就能跑完。截至 11 月 13 日发稿时，DeepSeek、月之暗面、MiniMax 与蚂蚁四家实验室尚未公开回应这份报告。
参考链接
- Will DePue 报告《Top Chinese Frontier AI Models Carry the Fingerprint of Export-Controlled NVIDIA Blackwell GPUs》（2026-11-12）：
- Will Depue 澄清帖（2026-11-13 05:44 UTC）：
- Will Depue 方法辩护帖（2026-11-13 03:47 UTC）：
- checkpoint-forensics 复现代码与留存权重仓库：