中国前沿AI模型带有受控GPU的指纹

顶级中国前沿 AI 模型带有受出口管制的 NVIDIA Blackwell GPU 的指纹

引用本报告

执行摘要

我们对公开发布的 AI 模型进行的取证分析发现，尽管有将这些芯片出口到中国的限制，DeepSeek、Moonshot AI、MiniMax 和 Ant Group 仍获得了 NVIDIA 的 Blackwell GPU，并正在使用该硬件来创建其 AI 模型。

这些公司自 2026 年 4 月以来发布的六个模型包含与 Blackwell 硬件相匹配的数值模式，而同一公司更早的模型则匹配 NVIDIA 更旧的 Hopper 代次。这些发现表明，几家领先的中国 AI 开发者已经开始使用 Blackwell 来训练其最新模型。

美国官员和媒体报道此前已指控 DeepSeek 和 Moonshot AI 正在使用 Blackwell 芯片，但未发布技术证据。

证据完全来自模型自身发布的权重，而非来自泄露或内部人士的陈述。我们恢复了模型初始值的痕迹，然后搜索能够重现这些痕迹的硬件配置和初始配置；对于 DeepSeek-V4-Flash 和 Kimi K3，我们还在物理 Blackwell 芯片上确认了匹配。

该指纹识别了权重是如何创建的，并支持（但未证明）Blackwell 也执行了训练的推断。经过特殊配置的 AMD 硬件（同样受出口到中国的限制）是我们发现的唯一替代方案；我们已排除了 DeepSeek-V4-Flash 的该可能性，并认为其他五个模型出现这种情况的可能性极小。

值得注意的是，我们的发现提供了访问先进计算硬件的技术证据，但并未确定芯片位于何处、如何获得访问权限，或是否违反了出口管制。

表 1. DeepSeek、Moonshot AI、MiniMax 和 Ant Group 连续模型中的硬件指纹 链接 ↗

实验室模型发布芯片模型在此启动

DeepSeekDeepSeek-V3NVIDIA Hopper（实验室披露 H800）

DeepSeek-V4-Flash• NVIDIA Blackwell B200/B300

DeepSeek-V4-Pro• NVIDIA Blackwell GB200/GB300

Moonshot AIKimi K2NVIDIA Hopper（实验室披露 H800）

Kimi K2.5NVIDIA Hopper（实验室披露 H800）

Kimi K3• NVIDIA Blackwell GB200/GB300

Kimi K3.1-Pro• NVIDIA Blackwell GB200/GB300

MiniMaxMiniMax-M2.7NVIDIA Hopper

MiniMax-M3• NVIDIA Blackwell B200/B300

Ant GroupLing-3.0-flashNVIDIA Hopper

Ling-3.1-flash• NVIDIA Blackwell GB200/GB300

• 出口到中国需要美国许可证；目前未报告有许可证获批。

Hopper 指纹无法区分 H800 与 H100 SXM 或 H200；上述 H800 识别结果为实验室披露，而非本方法得出的发现。

附录 2 中的完整模型列表 ↓

主要发现

· 四家中国实验室的六个模型读作由 Blackwell 训练。DeepSeek-V4-Flash 和 MiniMax-M3 与 NVIDIA 的 Blackwell 级 B200 或 B300 芯片相匹配，后者拥有 148 个处理器核心（称为流多处理器，或 SM）。

DeepSeek-V4-Pro、Kimi K3、Kimi K3.1-Pro 和 Ling-3.1-flash 与 GB200 或 GB300 芯片相匹配，同样属于 Blackwell 级，后者拥有 152 个处理器核心。

Kimi K3.1-Pro 从与 K3 相同的种子开始，可能是 K3 的检查点经过进一步的后训练。

· 中国实验室开始使用 Blackwell 训练相对较晚。DeepSeek 的模型在 DeepSeek-V3（2024 年 12 月发布）之前读作 Hopper 训练，而从 DeepSeek V4（2026 年 4 月发布）开始读作 Blackwell。

Moonshot 的模型在 Kimi K2.5（2026 年 1 月）之前读作 Hopper，而从 K3（2026 年 7 月）开始读作 Blackwell。有一款 Moonshot 模型介于两者之间：Kimi K2.7-Code，发布于 K3 之前六周，基于 Hopper 时代的权重构建，但包含一小部分与 B200 或 B300 匹配的内容。

MiniMax 的模型在 M2.7（2026 年 4 月）之前读作 Hopper，而从 M3（2026 年 6 月）开始读作 Blackwell。蚂蚁集团的 Ling-3.0-flash（2026 年 8 月）读作 Hopper，而其 Ling-3.1-flash（2026 年 10 月）读作 Blackwell。

Hopper 的读数无法识别出特定的芯片：H800、H100 SXMs 和 H200 共享相同的指纹。

· 并非每家中国 AI 实验室都已切换到 Blackwell。我们从阿里巴巴（Qwen）、智谱（GLM）、腾讯、小米和 StepFun 能读取到的最新模型都读作 Hopper 训练。美团表示其 LongCat-2.0 是完全在“AI ASIC 超级机架”上训练的，我们在其发布的模型权重中未发现 NVIDIA 的指纹。

· 该方法能得出正确答案。对于 24 个特定模型，开发者已公开说明使用了什么硬件。在每种情况下，我们的方法都与公开公告一致。NVIDIA 自家的 Nemotron-3 Ultra，其技术报告在训练的一个阶段中提到了 GB200，读作 152 个 SM，与 Kimi K3 相同。

· 这些匹配远强于偶然所能解释的程度。即使是不相关的数字，在尝试足够多的组合时也可能看起来匹配。在我们搜索的大约 6 万亿种子和布局组合中，最强的偶然匹配预期只能达到约 8 sigma——衡量结果超出普通随机变化的程度。六个模型中每一个的最强证据范围从 49 到 1,385 sigma。我们报告的甚至是最弱的单个测试也达到了 20 sigma。

训练运行的数据中心规模。根据模型的大小和训练数据量，我们估计每次运行需要大约 1,500 到 3,500 个 Blackwell GPU，持续一个半到三个月；假设每个模型都在初始化它的硬件上进行训练，那么五个模型总共大约需要 12,000 个（表 2）。

这些估算比较粗略，且范围较宽。按照每块 GPU 约 70,000 美元——即《华尔街日报》报道的约 36,000 块 Blackwell 芯片在马来西亚用于字节跳动的成本超过 25 亿美元所隐含的价格——最大的这些集群成本约为 2 亿美元，五个集群加起来超过 5 亿美元。这些数字仅涵盖最终的训练运行；实验室在受控出口 GPU 上的总支出可能在数十亿美元。

表 2. 每次训练运行的粗略规模 链接 ↗

模型 Blackwell GPU，最佳估算 范围

DeepSeek-V4-Flash 1,700 250–5,000

DeepSeek-V4-Pro 2,700 750–6,500

Kimi K3 3,400 1,000–9,500

MiniMax-M3 1,400 200–5,000

Ling-3.1-flash 1,400 400–6,500

全部五个 12,000 7,000–20,000

训练 token 数除以我们假设 Blackwell GPU 在该形状模型上持续产生的每秒 token 数，再除以发布时间表所暗示的运行长度：DeepSeek-V4-Flash 约为 45 天，DeepSeek-V4-Pro 为 70 天，Kimi K3 为 80 天，MiniMax-M3 为 60 天，Ling-3.1-flash 为 100 天。

我们对这些估算没有把握。它们建立在权重无法确认的假设之上。第一个假设是每个实验室使用 GPU 的效率（通常称为 MFU）：我们假设低于 NVIDIA 的公开基准测试率，与其他披露的 Blackwell 训练运行一致，且没有实验室公布其自己的数据。

第二个假设是每个模型训练了多少 token：DeepSeek 的数据是其自己的，我们予以采信；其他的是我们的估算。第三个假设是每次运行的持续时间，没有实验室说明过。第四个假设是训练保持在创建权重的硬件上。这些数字仅涵盖每个模型的最终训练运行，不包括实验、早期运行或服务。

我们的调查

模型的权重，也称为参数，是数十亿个可调节数字，决定了它如何处理信息并产生答案。训练反复调整这些数字；但在训练开始之前，它们需要初始值。在此检查的软件中，这些值来自一个名为 Philox 的伪随机数生成（PRNG）算法：Philox 以确定性的方式产生看似随机的数字。

Philox 的起始输入是一个称为“种子”的数字。给定相同的种子和设置，Philox 每次都会产生相同的数字。这让工程师可以从同一点重复实验。

为了快速填充数十亿个权重，PyTorch，软件框架