权重里的指纹：从开源模型里读出训练用的 GPU

原来公开的权重里，留着初始化那块 GPU 的指纹。Unemployment Labs 的 Will DePue 从放出来的 checkpoint 里还原出模型初始随机值的痕迹，再在大约 6 万亿种随机种子和内存布局组合里搜索，找出能复现这些痕迹的 GPU 配置。报告标的日期是 11 月 12 日（https://unemploymentlabs.com/checkpoint-forensics ），11 月 13 日 18:40 UTC TechCrunch 跟进之后才彻底传开：https://techcrunch.com/2026/11/13/export-banned-nvidia-chips-are-behind-chinas-most-powerful-ai-models-uh-oh-jensen/

结论本身就是标题。报告在六个中国开源模型里读出了 Blackwell 级别的指纹：DeepSeek-V4-Flash 和 DeepSeek-V4-Pro，Kimi K3 和 K3.1-Pro，Ling-3.1-flash，还有 MiniMax-M3。按 SM 数量看，有的对应 B200/B300，有的对应 GB200/GB300。同一批实验室更早的模型读出来是 Hopper。最新的通义千问、GLM、腾讯、小米、阶跃星辰模型读出来仍是 Hopper，美团 LongCat-2.0 则完全没有英伟达指纹。Blackwell 正是美国出口管制想挡在中国门外的那一代芯片。

为什么值得当真：这个方法跟全部 24 个公开过训练硬件的模型对得上，包括 Nemotron-3 Ultra。信号强度在 49 到 1385 个 sigma 之间，而纯靠运气最多大约 8 个 sigma。V4-Flash 和 K3 还在真实的 Blackwell 硬件上复核过，V4-Flash 也排除了 AMD 的可能。

它证明不了什么同样重要，报告自己也写得很清楚。指纹显示的是权重在哪里初始化，这支持、但不能证明模型就是在 Blackwell 上训出来的。规模估算是五次训练合计约 1.2 万块 Blackwell，区间 7000 到 2.2 万，靠的是假设的利用率、token 数和训练时长，作者自己说没把握。芯片怎么来的、放在哪，这份报告一个字都没说。

对用开源权重做产品的人来说，更大的新闻是方法本身。以前溯源只能信模型卡，现在一部分信息能直接从 checkpoint 里读出来，就像鉴定科从打印纸上读出打印机的暗码点。接下来实验室大概会开始抹掉初始化痕迹，监管方大概也会开始要求做这种检测。