DePue氏の鑑定報告、中国AIモデル6種をNVIDIA Blackwell製と特定

6モデルがBlackwellの指紋に一致

11月12日に公表された鑑定研究は、中国の主要AI研究所4社の最新モデル6種が、米国の輸出規制で中国への出荷が禁じられているNVIDIAのBlackwellチップ上で学習されたと主張した。発表したのは元OpenAI研究者のWill DePue氏で、Xへの投稿で結果を明らかにするとともに、手法とコード一式も公開した。報告書が挙げるのはDeepSeekのDeepSeek-V4-FlashとDeepSeek-V4-Pro、Moonshot AIのKimi K3とKimi K3.1-Pro、MiniMaxのMiniMax-M3、アリババ系Ant GroupのLing-3.1-flashで、6種すべてが2026年4月以降にリリースされている。このうちDeepSeek-V4-FlashとMiniMax-M3はB200かB300に一致し、残る4種はNVIDIAのラックスケール型フラッグシップであるGB200かGB300に一致した。識別の鍵となったのは、学習開始前にモデルの重みに割り当てられる初期値だ。報告書によると、初期値はそれを生成した特定のチップに紐付く並びで書き込まれるため、公開されたチェックポイントには学習ハードウェアの痕跡が読み取れる形で残るという。一方、手法はチップの設置場所や所有者を示すことはできず、この限界は報告書自身が明記している。同じ企業の過去のリリースに同じ検定を実行すると、結果は世代前のHopperとして読み取れた。DeepSeekは2024年12月のV3まで、Moonshotは2026年1月のKimi K2.5まで、MiniMaxは2026年4月のM2.7までだ。DeepSeekとMoonshotはこれまでH800部品で学習したと説明しており、この読み取りに従えばBlackwellへの移行は今年になって初めて起きたことになる。

@willdepue · Xの投稿

Xへの投稿.

Xで見る

シード鑑定の仕組みと限界

仕組みは具体的だ。PyTorchなど枠組みは単一のシード番号からモデルの初期値を生成し、多数のGPUスレッドに並列で処理を振り分ける。スレッド数はチップの演算ユニット数に連動し、Hopperでは132、B200とB300では148、GB200とGB300では152となる。同じシードでも同じ数字が異なる位置に書き込まれるため、学習で更新されなかった重みには初期値がほぼそのまま残る。DePue氏は公開チェックポイントを対象に、シードとチップ構成の組み合わせ約6兆通りを探索したと報告している。報告書の推定では、偶然の一致は最大でも標準偏差でおよそ8程度にとどまるが、6モデルの最強の証拠は49から1,385標準偏差に達し、最も弱い単一検定でも20を示した。実機での再現も行われた。シード953049583は、DeepSeek-V4-Flashの手つかずの初期値をB300上ではビット単位で再生したが、H100上では再現しなかった。またレンタルしたGB200でKimi K3を相関0.999995で再生している。開発元が学習ハードウェアを公表している24モデルへの検定はすべて一致し、報告書はこれを測定された精度率ではなく整合性チェックと位置づける。報告書は自らの限界も定めている。特定できるのは初期重みを生成したチップであって学習全体ではなく、重みからチップの所有者や所在地は分からない。Blackwellシステムは中国国外のデータセンターでレンタルできるため、この証拠だけでは密輸出や輸出管理違反の証明にはならない。規模の推定では、Kimi K3がBlackwell約4,500基、DeepSeek-V4-Proが約3,000基、計5モデルで合計1万2,000基近くとされるが、DePue氏は11月12日にこの推定を修正したうえで、各社が学習効率や期間を開示していないため確信度は低いと書いている。移行していない研究所もある。AlibabaのQwen、Zhipu、Tencent、Xiaomi、StepFunは依然Hopperと読み取れ、独自AIチップだけで学習したとMeituanが説明するLongCat-2.0にはNVIDIAの指紋が現れない。DePue氏によると、OpenAIとAnthropicの上級研究者が結果を独立に検証したという。ただし氏名は明かされておらず、関係企業からNVIDIAを含め公の場での反応はまだない。

輸出管理の執行という観点では、この発見は監査の現場を港からチェックポイントへ移すことになる。公開重みは従来、誰でも参照できる成果物として扱われてきたが、信頼できる指紋識別が成立すれば、各リリースは事実上のハードウェア開示となり、研究所側で撤回することは難しい。手法の限界も構造的だ。特定できるのはチップの系統であって個々の出荷ではなく、海外で調達したレンタル計算能力は完全に死角に落ちる。政策上の問いはまさにそこへ向かう。4社が沈黙を続ければ、チップの実際の所在を確認する責任は規制当局に移る。指紋識別が再現によって裏付けられれば、中国発の今後のモデルリリースは二重に読まれることになる。性能を評価するために一度、ハードウェアを確認するためにもう一度だ。