Ein neu veröffentlichter Forschungsbericht kommt zu dem Schluss, dass die Gewichte von sechs Open-Source-Modellen, die DeepSeek, Moonshot AI, MiniMax und Ant Group in diesem Jahr veröffentlicht haben, Initialisierungsspuren der GPU-Serie Blackwell von Nvidia enthalten. Autor des Berichts ist Will DePue, Leiter der gemeinnützigen Forschungsorganisation Unemployment Labs, der laut TechCrunch zuvor bei OpenAI geforscht hat. Blackwell gehört zu den Chips, deren Ausfuhr nach China die USA untersagt haben.
Woher der Fingerabdruck stammt
Die Methode setzt an dem Schritt an, der vor Trainingsbeginn liegt: der Zufallsinitialisierung. Wenn PyTorch die Anfangsgewichte auf einer GPU erzeugt, kommt der Zufallszahlenalgorithmus Philox zum Einsatz. Wohin jeder einzelne Wert fällt, hängt von der Zahl der Streaming-Multiprozessoren (SM) und der Zahl der Threads der Grafikkarte ab. Die Chipgenerationen unterscheiden sich in ihrer Konfiguration: B200/B300 haben 148 SM und 303104 Threads, GB200/GB300 haben 152 SM und 311296 Threads, die vorige Generation Hopper kommt auf 132 SM.
Der Autor durchsuchte rund 6 Billionen Kombinationen aus „Seed und Layout“ und prüfte das Ergebnis anschließend an Gewichten, die nicht in die Suche eingeflossen waren. Das Training verändert die meisten Gewichte, doch ein Teil der Zeilen behält stets seinen Anfangswert. Laut dem Bericht lassen sich mit unverändertem PyTorch auf einer H100 diese Zeilen von DeepSeek-V3 reproduzieren, auf einer B300 die von DeepSeek-V4-Flash; vertauscht man beides, passt nichts mehr zusammen. Auf einer gemieteten GB200 gelang es zudem, die erhaltenen Zeilen von Kimi K3 nachzustellen.
Sechs Modelle, eine klare Trennlinie
Der Bericht nennt sechs Modelle: DeepSeek-V4-Flash, DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro, MiniMax-M3 und Ants Ling-3.1-flash. Die statistische Signifikanz liegt zwischen 49 und 1385 Sigma, die vom Autor angegebene Zufallsschwelle bei etwa 8 Sigma.
Ordnet man die Veröffentlichungen dieser Unternehmen zeitlich, ist die Trennlinie ziemlich sauber. Die Vorgängermodelle wie DeepSeek-V3, Kimi K2.5, MiniMax-M2.7 und Ling-3.0-flash lesen sich alle als Hopper; bei der neuen Generation, die ab April 2026 nach und nach erschien, hat sich der Fingerabdruck auf Blackwell verschoben. Kimi K2.7-Code liegt dazwischen, das Ergebnis ist gemischt und wurde nicht mitgezählt.
Bei anderen Unternehmen sieht es anders aus. Bei den Modellen von Qwen (Tongyi Qianwen), Zhipu GLM, Tencent, Xiaomi und StepFun misst der Bericht weiterhin Hopper; bei Meituans LongCat-2.0 wurde kein GPU-Fingerabdruck gefunden, Meituan hatte zuvor erklärt, das Modell auf einem „AI-ASIC-Supernode“ trainiert zu haben. Im Untersuchungsumfang des Berichts konzentrieren sich die Blackwell-Spuren also auf vier Unternehmen und betreffen nicht die gesamte chinesische Open-Source-Szene.
Der Bericht schätzt außerdem die GPU-Größe der letzten Trainingsrunde: Kimi K3 liegt bei etwa 4500 Karten (beste Schätzung), DeepSeek-V4-Pro bei rund 3000, die übrigen bei etwa 1500, zusammen ungefähr 12.000 Karten. Bei rund 70.000 US-Dollar pro Karte entspräche der größte Cluster 200 bis 300 Millionen US-Dollar. Der Autor räumt ausdrücklich ein, dass er sich bei diesen Schätzungen nicht sicher ist; sie hängen von Annahmen wie Rechenauslastung, Zahl der Trainings-Token und Trainingsdauer ab, und die Zahlen der ersten Fassung des Berichts wurden noch am Veröffentlichungstag einmal korrigiert.
Die Grenzen, die der Bericht selbst zieht
Was diese Untersuchung belegen kann, ist begrenzt, und der Autor führt es im Text sehr genau auf. Der Fingerabdruck hält nur fest, auf welcher Chipart die Anfangsgewichte erzeugt wurden; ein Modell kann durchaus auf einem System initialisiert und auf einem anderen trainiert werden. Auch AMDs MI300X könnte diese Layouts theoretisch nachahmen. Der Autor hat dies nur für DeepSeek-V4-Flash numerisch ausgeschlossen, bei den übrigen fünf bewertet er es als „äußerst unwahrscheinlich“.
Heikler ist ein weiterer Punkt: Die Methode kann nicht feststellen, wem die Chips gehören und wo sie stehen. Blackwell-Server lassen sich in Rechenzentren außerhalb Chinas mieten; im Wortlaut des Berichts können die Belege weder beweisen, dass Chips nach China geschmuggelt wurden, noch dass gegen Exportkontrollen verstoßen wurde. Auch beim Training lässt der Bericht Spielraum:
„supports, without proving, the inference that Blackwell also performed the training“
(stützt den Schluss, dass Blackwell auch das Training übernommen hat, beweist ihn aber nicht.)
Die Methode funktioniert nur bei Modellen mit offenen Gewichten; geschlossene Modelle lassen sich nicht prüfen. In der Berichterstattung von TechCrunch kommen weder die chinesischen Unternehmen noch Nvidia zu Wort, und auch das US-Handelsministerium hat sich zu der Studie nicht geäußert. Die Aussagen lassen sich derzeit also nicht von den Beteiligten bestätigen.
In der Woche der Veröffentlichung wurde bekannt, dass das US-Handelsministerium Regeln fertigstellt, die chinesischen KI-Unternehmen die Fernnutzung fortschrittlicher Chips über Rechenzentren im Ausland beschränken sollen. Träte die Regel in Kraft, wäre der Weg der Blackwell-Miete im Ausland als Erstes betroffen. Die Studie liefert nun ein Prüfverfahren, das ohne Insiderwissen auskommt und allein auf öffentlichen Gewichten beruht; wenn die nächste Welle von Open-Source-Modellen ihre Gewichte freigibt, dürfte der gleiche Test sehr wahrscheinlich erneut durchgeführt werden.
Quellen: TechCrunch, CocoLoop, Forschungsbericht Checkpoint Forensics von Unemployment Labs; der Berichtstext diente zur Prüfung der Liste der sechs Modelle, der SM- und Thread-Zahlen, der Sigma-Spannen und der Berechnungsgrundlage der GPU-Schätzung.