Báo cáo pháp y tìm dấu vân tay Blackwell trong 6 mô hình AI

Báo cáo "Top Chinese Frontier AI Models Carry the Fingerprint of Export-Controlled Nvidia Blackwell GPUs", do Will DePue, cựu nhà nghiên cứu OpenAI và người sáng lập tổ chức nghiên cứu Unemployment Labs, công bố ngày 12/11. Để đi tới kết luận, DePue đã dò hơn 6.000 tỉ tổ hợp giữa cách bố trí chip và hạt giống ngẫu nhiên, rồi đối chiếu với trọng số công khai của các mô hình.

Dấu vân tay của chip nằm trong trọng số mô hình như thế nào

Mọi mô hình AI đều bắt đầu từ một bộ trọng số khởi tạo, tức các giá trị ban đầu của tham số trước khi huấn luyện. Các giá trị này được sinh bằng thuật toán số giả ngẫu nhiên có tên Philox, bắt đầu từ một hạt giống. Khi chạy bằng thư viện cuRAND của Nvidia trên PyTorch, quá trình khởi tạo chia việc cho nhiều luồng GPU chạy song song, và cách chia luồng phụ thuộc vào số đơn vị xử lý đa luồng (SM) của từng loại chip.

Mỗi tổ hợp giữa chip và hạt giống vì vậy để lại một mẫu riêng, giống như dấu vân tay của phần cứng đã tạo ra mô hình, và dấu vết này vẫn còn trong trọng số sau huấn luyện. DePue mô tả gần như mọi mô hình AI đều mang một chữ ký ẩn của GPU đã huấn luyện nó.

Số SM là chìa khóa phân biệt các thế hệ chip: Hopper như H100, H800 và H200 có 132 SM, Blackwell B200 và B300 có 148 SM, còn Grace Blackwell GB200 và GB300 có 152 SM. Chỉ cần khôi phục được hạt giống và đếm được mẫu khởi tạo, nhà nghiên cứu có thể suy ra loại chip đã tạo ra mô hình mà không cần thông tin nội bộ hay dữ liệu rò rỉ.

6 mô hình nào mang dấu Blackwell

Báo cáo nêu tên 6 mô hình của 4 phòng thí nghiệm hàng đầu Trung Quốc: DeepSeek-V4-Flash và DeepSeek-V4-Pro (tháng 4/2026), Kimi K3 (tháng 7) và Kimi K3.1-Pro của Moonshot AI, MiniMax-M3 (tháng 6) và Ling-3.1-flash của Ant Group (tháng 10). Bốn mô hình khớp với hệ thống Grace Blackwell GB200 hoặc GB300, hai mô hình còn lại khớp với chip B200 hoặc B300.

Đây là lần đầu tiên MiniMax và Ant Group bị liên hệ công khai với việc dùng chip Blackwell. Với DeepSeek, báo cáo còn vẽ được quá trình chuyển đổi: DeepSeek-V3 trước đó khớp với chip Hopper, còn DeepSeek-V4-Flash chuyển sang Blackwell, trong khi mô hình mới nhất DeepSeek-V4.1-Flash không cho thấy dấu vân tay nào.

Độ tin cậy được kiểm chứng bằng cách tái tạo trực tiếp trên phần cứng thật: một chip B300 thuê ngoài tái tạo 461 trong 469 hàng trọng số được chọn của DeepSeek-V4-Flash, trong đó 445 hàng khớp từng bit; một hệ thống GB200 thuê ngoài tái tạo toàn bộ 13 hàng trọng số còn giữ được của Kimi K3 với hệ số tương quan 0,999995. Mức khớp dao động từ 49 tới 1.385 độ lệch chuẩn, trong khi khớp ngẫu nhiên chỉ đạt khoảng 8. Phương pháp này cũng cho kết quả đúng với cả 24 mô hình mà nhà phát triển đã công khai phần cứng sử dụng, gồm cả Nemotron-3 Ultra của Nvidia, và theo DePue, nhiều nhà nghiên cứu cấp cao tại OpenAI và Anthropic đã kiểm chứng độc lập.

Ước tính hơn 500 triệu USD phần cứng và giới hạn của bằng chứng

Từ kích thước mô hình và lượng dữ liệu huấn luyện, DePue ước tính Kimi K3 cần khoảng 4.500 GPU Blackwell, DeepSeek-V4-Pro khoảng 3.000 GPU, còn DeepSeek-V4-Flash, MiniMax-M3 và Ling-3.1-flash mỗi mô hình khoảng 1.500 GPU. Tổng giá trị phần cứng cho 5 lần huấn luyện cuối vượt 500 triệu USD, với giá ước tính khoảng 70.000 USD mỗi chip. Chính DePue cũng đã điều chỉnh các con số này và thừa nhận chưa chắc chắn, vì chúng dựa trên thời gian chạy và hiệu suất mà không phòng thí nghiệm nào công bố, và không có hồ sơ mua sắm nào làm bằng chứng kèm theo.

Báo cáo không chứng minh được ai đã vi phạm luật: dấu vân tay chỉ cho thấy phần cứng dùng ở bước khởi tạo, không nói lên chip nằm ở đâu, thuộc về ai hay được mua bằng cách nào. Các phòng thí nghiệm Trung Quốc hoàn toàn có thể thuê chip Blackwell tại trung tâm dữ liệu ngoài Trung Quốc, điều luật hiện hành vẫn cho phép, và đây là kẽ hở mà dự luật Cloud Security Act của Mỹ muốn bịt lại.

Chip MI300X của AMD, vốn cũng bị hạn chế, có thể giả lập bố cục 148 hoặc 152 SM nếu được cấu hình tương ứng, nhưng DePue loại trừ khả năng này với DeepSeek-V4-Flash và cho rằng nó rất khó xảy ra với 5 mô hình còn lại. Bản thân báo cáo cũng ghi rõ đây không phải kết luận rằng luật đã bị vi phạm.

Báo cáo rơi đúng lúc Washington siết kiểm soát xuất khẩu chip

Báo cáo xuất hiện đúng ngày NVIDIA công bố Jensen Huang từ chức (12/11), sau khi có thông tin tình báo Mỹ cho rằng một lãnh đạo liên quan tới công ty máy chủ Megaspeed bị nghi làm gián điệp. Megaspeed đang bị nhà chức trách Mỹ điều tra với cáo buộc tuồn chip Nvidia sang Trung Quốc, và vài tuần trước đó, công ty an ninh Lava tại Israel cho biết đã tìm thấy 32 GPU B300 qua các cổng giám sát công khai có địa chỉ IP đặt tại Trung Quốc.

Tại Quốc hội Mỹ, ít nhất 4 dự luật đang chờ xem xét nhằm hạn chế Trung Quốc tiếp cận công nghệ AI tiên tiến: AI Overwatch Act, Chip Security Act, Match Act và Cloud Security Act. Hôm 9/11, hai thượng nghị sĩ Jim Banks và Elizabeth Warren viện dẫn vụ việc của Jensen Huang để thúc đẩy dự luật AI Overwatch Act, dự luật sẽ luật hóa các biện pháp kiểm soát xuất khẩu chip hiện hành. Chủ tịch Hạ viện Mike Johnson cũng ủng hộ siết chặt kiểm soát, trong khi ngày 13/11 chính quyền Trump cho biết chưa chắc chắn liệu Alice Huang có phải gián điệp hay không, cáo buộc mà Bắc Kinh phủ nhận và FBI vẫn đang điều tra.

Báo cáo của DePue không chứng minh được hành vi buôn lậu chip, nhưng nó cho thấy lệnh cấm xuất khẩu đang bị thách thức ngay ở tầng kỹ thuật: khi dấu vân tay của chip bị cấm xuất hiện trong trọng số công khai, câu hỏi không còn là liệu các phòng thí nghiệm có tiếp cận được phần cứng mạnh nhất hay không, mà là họ tiếp cận bằng con đường nào. Câu trả lời sẽ quyết định xem các dự luật đang chờ tại Quốc hội Mỹ có đủ sức bịt kẽ hở thuê chip ngoài biên giới hay không.

Nguồn tham khảo: Unemployment Labs