一夜之间，六款模型被贴上同一个标签
报告的标题很直接：《顶级中国前沿 AI 模型带有受出口管制的英伟达 Blackwell GPU 的指纹》。作者 Will DePue 曾在 OpenAI 从事研究工作，报告于 2026 年 11 月 12 日由 Unemployment Labs 发布。报告的分析对象全部是开源权重模型，也就是任何人都可以下载完整参数文件的模型。被点名的六款模型分别是 DeepSeek 的 DeepSeek-V4-Flash 和 DeepSeek-V4-Pro，月之暗面的 Kimi K3 和 Kimi K3.1-Pro，MiniMax 的 MiniMax-M3，以及蚂蚁集团的 Ling-3.1-flash。这六款模型都在 2026 年 4 月之后发布，其中 DeepSeek 的两款 V4 模型最早，发布于 2026 年 4 月；MiniMax-M3 发布于 2026 年 6 月；Kimi K3 发布于 2026 年 7 月；Ling-3.1-flash 发布于 2026 年 10 月；Kimi K3.1-Pro 则是最晚的一款，发布于 2026 年 11 月。
报告给出的对应关系是这样的：六款模型当中，四款的初始权重与英伟达的 GB200 或 GB300 系统吻合，分别是 DeepSeek-V4-Pro、Kimi K3、Kimi K3.1-Pro 和 Ling-3.1-flash；另外两款与 B200 或 B300 芯片吻合，分别是 DeepSeek-V4-Flash 和 MiniMax-M3。GB200 和 GB300 是英伟达把 Grace CPU 与 Blackwell GPU 封装在一起的机架级系统，算力密度高于单张 B200 或 B300 卡。四款与两款的划分，指的是生成初始权重的硬件并行规模，并非模型性能排名。报告同时做了一个对照：同一批公司的上一代模型读出来的都是更早的 Hopper 一代芯片。DeepSeek-V3 读出来是 Hopper，Kimi K2.5 读出来是 Hopper，MiniMax-M2.7 读出来是 Hopper，Ling-3.0-flash 读出来也是 Hopper。而阿里巴巴、智谱、腾讯、小米和阶跃星辰最新可读的模型，读出来的同样是 Hopper 而不是 Blackwell。也就是说，Blackwell 的信号只出现在上述四家公司的最新模型上，并不是整个中国 AI 行业的普遍现象。
截至报告发布时，被点名的五方——英伟达、DeepSeek、月之暗面、MiniMax、蚂蚁集团——均未就报告内容置评。这意味着报告的结论目前只有作者一方的分析作为支撑，尚未经过独立第三方的复现验证，也没有得到任何一家被点名公司的确认或否认。读者在判断这件事的时候，应当把这个前提放在心里。
权重里的“指纹”到底是什么
要理解这份报告，先要理解大模型训练开始之前发生的一件事：初始化。训练一个神经网络，第一步是给数以千亿计的参数赋予初始数值。这些初始值不是人工手写的，而是由伪随机数生成器按照一个种子数批量生成的。报告所分析的软件栈使用的是 PyTorch 框架，底层调用英伟达的 cuRAND 库，其中的 Philox 生成器负责产出随机数。关键在于，PyTorch 会把生成随机数的工作拆分到 GPU 的多个流式多处理器，也就是 SM 单元上并行完成。不同型号的 GPU，SM 数量不同，随机数被切分的方式也不同，于是初始权重里就留下了与硬件并行规模对应的排列痕迹。
报告列出的三组数字是理解这套方法的钥匙。Hopper 一代的 H100、H200 和 H800 是 132 个 SM，使用 270336 个线程；Blackwell 的 B200 和 B300 是 148 个 SM，使用 303104 个线程；Grace Blackwell 的 GB200 和 GB300 是 152 个 SM，使用 311296 个线程。不同 SM 数量对应不同的随机数切分方式，就像同一份乐谱由不同人数的乐队演奏，声部的划分方式各不相同。问题是，训练过程会不断改写这些初始值，绝大多数参数在训练结束后早已面目全非，指纹按理说应当被洗掉。报告的突破口在于词表里那些训练中几乎没有出现过的生僻词和符号：它们对应的权重行在训练中基本没有被更新，几乎原样保留了初始值。作者正是从这些被保留下来的权重行入手，反推出生成它们时所用的种子数和 SM 布局。
作者称，他搜索了大约 6 万亿种种子与硬件布局的组合。在这个量级下，纯靠运气能得到的最强匹配大约是 8 西格玛，而六款模型的最强匹配结果在 49 到 1385 西格玛之间，每一项单独测试都不低于 20 西格玛。西格玛在这里是衡量结果偏离随机偶然程度的统计单位，数值越大，偶然撞上的可能性越低。更直观的验证是复现实验：作者用一台 B300 芯片，以恢复出的种子和未经修改的 PyTorch，逐位复现了 DeepSeek-V4-Flash 的初始权重，469 行被选中的权重行中有 461 行的相关系数超过 0.99，其中 445 行完全逐位一致；而在一台租用的 GB200 上，Kimi K3 全部 13 行被保留的权重行也被复现出来。把种子数改动一位，匹配就全部消失。报告还称，这套方法在 24 个开发者曾公开说明硬件的已知案例上全部吻合，不过其中 11 个涉及训练起点检查点，相关模型之间并非完全独立，因此这只能算作一致性检验，而不是一个经过测量的准确率。
六款模型逐一对照：谁最硬，谁最弱
六款模型的证据强度并不相同，报告本身也做了区分，读者不应当把它们当成六份同等重量的指控。证据最硬的是 DeepSeek-V4-Flash，匹配强度达到 1385 西格玛，并且在真实的 B300 芯片上得到了逐位复现，作者称这部分初始化证据是确凿的。其次是 Kimi K3，匹配强度约 305 西格玛，在租用的 GB200 上复现了全部 13 行保留权重，相关系数接近 0.999995。MiniMax-M3 约 323 西格玛，Ling-3.1-flash 约 244 西格玛，也属于较强的区间。最弱的一环是 DeepSeek-V4-Pro，只有 49 西格玛，原因是它的初始值在训练中保留下来的更少。Kimi K3.1-Pro 的情况更为特殊：它使用的种子与 Kimi K3 相同，报告认为它可能是 K3 的一个检查点再经过进一步后训练得到的版本，因此它的 Blackwell 读数在很大程度上继承自 K3，而不是一份全新的独立证据。
还有一个细节值得注意。DeepSeek 在 V3 和 V4-Flash 上使用了同一个种子数 953049583。V3 读出来是 Hopper，而 V4-Flash 读出来是 Blackwell。同一家公司、同一个种子、不同的硬件代际，这个对照让“换了硬件”这个判断显得更为干净。报告同时估算，每次训练大约需要 500 到 3000 块 Blackwell 芯片，持续两到三个月，其中 DeepSeek-V4-Flash 约为六到八周。这类集群规模与成本数字均为作者基于假设的估算，并非实测。
这份证据能证明什么、不能证明什么
这是整篇报道最关键的一节，因为报告的结论很容易在传播中被夸大或缩水。先说它能证明什么：在报告的方法框架内，它证明的是六款模型初始权重的生成硬件与 Blackwell 的并行布局吻合，而且吻合程度高到很难用偶然来解释，至少在 V4-Flash 和 Kimi K3 这两个案例上还有真实芯片复现作为佐证。再说它不能证明什么，这一份清单更长，也更重要。
- 它不能直接证明 Blackwell 芯片完成了全程训练。指纹识别的是生成初始权重的硬件，而不是训练全程的硬件。理论上存在一种可能：模型在 Blackwell 上初始化，然后拿到 Hopper 芯片上训练，指纹依然会指向 Blackwell。报告的措辞是，证据“支持但不证明” Blackwell 也承担了训练，训练硬件的判断属于推断。
- 它不能证明芯片身在何处。证据不显示芯片的所在地、所有者或获取途径。Blackwell 系统完全可以在中国境外的数据中心合法租赁使用，模型权重本身不会记录机房地址。
- 它不能证明任何法律被违反。报告原文明确写道，其结果“不是认定任何法律被违反”。违规与否需要执法部门的调查，需要的是物流、采购、租赁合同层面的证据，而不是权重文件。
- 它不能覆盖闭源模型。这套方法依赖公开发布的权重，只适用于开源权重模型。没有公开权重的模型，无论用了什么硬件，这套方法都无从下手。
- 它没有排除所有替代解释。报告提到，唯一被点出的替代方案是经过特殊配置的 AMD 硬件，而这类硬件同样受到出口管制。这一判断来自报告本身，尚未见到独立验证。
把这五条放在一起，准确的表述应当是：这是一份强有力的技术旁证，指向一个值得调查的问题，而不是一份定罪书。它把原来停留在匿名消息层面的说法，第一次变成了可以公开检验的技术主张。任何一方如果想反驳它，最有效的办法不是发表声明，而是公开复现过程或者拿出相反的技术证据。反过来，任何一方如果想据此认定违规，同样需要拿出权重文件之外的证据。
管制链条上，哪一环可能漏了
如果报告的结论成立，下一个问题自然是：受管制的芯片是怎么到达中国 AI 公司手里的？目前没有任何公开证据回答这个问题，但可以把可能漏掉的环节逐一列出来。第一种可能是境外租赁。Blackwell 芯片本身不出境，中国公司租用境外数据中心的算力远程使用，这在现行规则下处于灰色地带。路透社 2026 年 11 月 12 日的独家报道称，中国 AI 公司正在抢租中国境外的英伟达算力，担心相关争议会促使华盛顿收紧对远程使用先进芯片的限制。第二种可能是转口与走私。已经合法售往第三国的芯片被二次转运，这正是国会正在推动的《芯片安全法案》想要堵住的漏洞，该法案要求芯片制造商追踪先进 AI 处理器的位置，并在怀疑芯片落入被禁用户手中时向政府报告。第三种可能是通过中间公司与关联实体采购，这也是过去几年多起芯片管制调查中反复出现的路径。第四种可能是云服务与代理算力的层层转包，让最终使用者的身份难以追溯。
值得注意的是，管制规则本身也在不断打补丁。路透社 2026 年 11 月 12 日的报道指出，美国两党议员正在推动更严厉的限制，涉及的法案包括《芯片安全法案》《远程接入安全法案》等。《远程接入安全法案》针对的正是境外租赁这一变通办法，旨在授权商务部对这类远程使用行为实施监管，该法案已于 2026 年 1 月在众议院通过，目前等待参议院审议。换句话说，即使报告的结论最终被证实，它所揭示的也未必是某一次具体的走私行为，而更可能是一个监管框架尚未覆盖到的结构性缺口。堵住缺口需要立法、技术追踪与国际执法合作三管齐下，单靠一份权重分析是做不到的。
为什么偏偏是今天：英伟达正处风暴眼
这份报告选择在 2026 年 11 月 12 日发布，从新闻时机上看几乎是撞上了英伟达历史上最动荡的一周。路透社当天报道，英伟达首席执行官黄仁勋已经辞职，起因是有关他与新加坡科技公司前高管 Alice Huang 的婚外情报道，而美国当局怀疑后者为北京从事间谍活动。英伟达股价本周大幅下跌，市值蒸发数千亿美元。需要强调的是，黄仁勋的辞职原因与 DePue 报告的技术结论是两件不同的事，二者之间没有已证实的因果关系；但它们在同一天交汇，客观上放大了国会与舆论要求收紧芯片管制的声浪。
与本站此前的报道衔接起来看，风向的转变早有迹象。本站文章《OpenAI 向国会确认支持对华 AI 芯片出口管制：三项法案冲刺年底国防法案，华盛顿风向变了》提到，OpenAI 已向国会确认支持三项对华芯片出口管制法案，并争取搭上年底的国防授权法案。OpenAI 的表态与 DePue 的报告形成了一种呼应：一方是产业界主动要求立法，另一方是技术证据指向管制可能存在的缺口。两股力量合流，使得年底的国防法案很可能成为芯片管制升级的主战场。读者可以把这篇报道与那篇文章对照着读，会更清楚华盛顿的政策链条是如何一步步收紧的。
对在美华人读者意味着什么
对在美国生活工作的华人读者来说，这件事的影响主要在三个层面。第一个层面是行业与就业。芯片管制收紧意味着 AI 基础设施的合规成本上升，从事模型训练、算力调度、数据中心运营的华人工程师，可能会在工作中遇到更严格的出口管制审查与合规培训。合规岗位本身也在扩招，熟悉美国出口管制条例与 AI 技术栈的双语人才，在求职市场上会变得更加抢手。第二个层面是学术与科研合作。中美 AI 领域的合作本已降温，类似报告的出现可能进一步收紧高校与企业之间的算力共享与联合研究，正在申请相关方向博士与博士后的读者，需要提前与导师确认实验室的算力来源是否合规。第三个层面是舆论环境。类似事件容易被简化为针对某一群体的怀疑，读者在社交媒体上看到情绪化的说法时，不妨回到证据本身：这份报告针对的是六款具体模型的技术分析，而不是对任何群体的笼统判断。区分“一家公司的某个模型”与“某个国家的全体从业者”，是避免被舆论裹挟的关键。
对普通消费者而言，短期内几乎没有直接影响。中国大模型的开源权重依然可以下载使用，日常使用的 AI 工具也不会因为这份报告而停服。真正可能发生变化的是中长期的供给格局：如果管制收紧导致中国 AI 公司更难获得高端算力，模型迭代速度可能放缓；而如果管制被证明存在可绕过的缺口，美国方面则可能转向更严格的租赁监管与芯片追踪技术。这两种走向都会影响未来几年全球 AI 竞争的态势，但都不构成今天就需要做出决定的理由。
后续看点
这件事的下半场才刚刚开始，有几个节点值得读者持续关注。第一是独立复现。报告的方法是否站得住脚，取决于有没有其他研究团队用公开的权重文件复现出同样的结果，或者指出方法上的漏洞。第二是英伟达与四家中国公司的回应。目前五方均未置评，任何一方的正式回应都会成为新的新闻点，尤其是英伟达是否会公布芯片流向的自查结果。第三是国会听证与立法进展。三项芯片管制法案能否搭上年底的国防授权法案，以及《远程接入安全法案》在参议院的命运，将决定境外租赁这个缺口是否会被堵上。第四是执法调查。美国商务部产业安全局是否会就报告内容启动调查，以及调查是否会公布结果，是判断这件事最终走向定性还是不了了之的关键。第五是更多取证。DePue 的方法只适用于开源权重模型，未来是否会有类似方法被用于其他模型，其他公司的最新模型是否也会被逐一检验，都值得留意。
总结
Will DePue 的报告用一种前所未有的方式，把关于中国 AI 模型使用 Blackwell 芯片的争论，从匿名消息变成了可以公开检验的技术主张。它最有价值的部分不是结论本身，而是方法：权重文件里保留的初始值，确实可能成为追溯训练硬件的线索。但它的局限同样明确：它证明的是初始化硬件，不是全程训练硬件；它不显示芯片的位置与来源；它也不构成对任何法律被违反的认定。在独立复现与官方调查出现之前，最稳妥的态度是把它当作一份强有力的旁证，而不是最终判决。对读者来说，值得记住的不是六个模型的名字，而是这件事揭示的两个趋势：AI 竞争正在从技术层面延伸到取证与合规层面，而出口管制的下一个战场，很可能不在海关，而在境外数据中心的租赁合同里。
- 最新
- 最热
只看作者