새로 공개된 연구 보고서에 따르면 DeepSeek, Moonshot AI, MiniMax, 앤트그룹이 올해 내놓은 오픈 모델 6종의 가중치에 엔비디아 블랙웰(Blackwell) 계열 GPU의 초기화 흔적이 남아 있다. 보고서를 쓴 사람은 비영리 연구 단체 Unemployment Labs를 이끄는 Will DePue로, TechCrunch는 그를 OpenAI 출신 연구자로 소개했다. 블랙웰은 미국이 중국 수출을 금지한 칩에 포함된다.
지문은 어디서 나오나
이 방법이 주목하는 것은 학습이 시작되기 전 단계인 무작위 초기화다. PyTorch가 GPU에서 초기 가중치를 생성할 때는 Philox 난수 알고리즘을 쓰는데, 각 값이 어느 위치에 놓이는지는 GPU의 스트리밍 멀티프로세서(SM) 수와 스레드 수에 따라 달라진다. 세대마다 구성이 다르다. B200/B300은 148개 SM에 303,104개 스레드, GB200/GB300은 152개 SM에 311,296개 스레드, 이전 세대인 호퍼(Hopper)는 132개 SM이다.
저자는 약 6조 가지에 이르는 “시드+레이아웃” 조합을 탐색한 뒤, 탐색에 쓰지 않은 가중치로 검증했다. 학습을 거치면 가중치 대부분이 바뀌지만, 일부 행에는 초기값이 그대로 남는다. 보고서에 따르면 수정하지 않은 PyTorch를 H100에서 돌리면 DeepSeek-V3의 해당 행이 재현되고, B300에서는 DeepSeek-V4-Flash가 재현된다. 둘을 맞바꾸면 일치하지 않는다. 임대한 GB200에서도 Kimi K3에 남아 있는 행이 재현됐다.
여섯 모델, 하나의 분기선
보고서가 꼽은 여섯 모델은 DeepSeek-V4-Flash, DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro, MiniMax-M3, 앤트그룹의 Ling-3.1-flash다. 통계적 유의성은 49에서 1,385 시그마 사이이고, 저자가 제시한 무작위 기준선은 약 8 시그마다.
이들 기업의 공개 순서대로 늘어놓으면 분기선이 꽤 깔끔하게 드러난다. DeepSeek-V3, Kimi K2.5, MiniMax-M2.7, Ling-3.0-flash 같은 이전 세대 모델은 모두 호퍼로 읽히고, 2026년 4월 이후 잇따라 나온 신세대 모델은 지문이 블랙웰로 바뀐다. Kimi K2.7-Code는 둘 사이에 있어 결과가 섞여 나왔기 때문에 집계에서 뺐다.
다른 기업은 사정이 다르다. 통이첸원(Qwen), 즈푸 AI(Zhipu AI)의 GLM, 텐센트, 샤오미, 스텝펀(StepFun)의 모델은 보고서에서 여전히 호퍼로 측정됐고, 메이퇀(Meituan)의 LongCat-2.0은 GPU 지문이 검출되지 않았다. 메이퇀은 앞서 이 모델을 “AI ASIC 슈퍼노드”에서 학습했다고 밝힌 바 있다. 보고서가 다룬 범위에서 블랙웰 흔적은 네 회사에 집중돼 있으며, 중국 오픈소스 진영 전체에 해당하는 것은 아니다.
보고서는 마지막 학습 라운드의 GPU 규모도 추정했다. Kimi K3는 최선 추정치로 약 4,500장, DeepSeek-V4-Pro는 약 3,000장, 나머지는 1,500장 안팎으로 합계 약 1만 2,000장이다. 장당 약 7만 달러로 계산하면 가장 큰 클러스터는 2억~3억 달러 규모다. 저자는 이 추정에 확신이 없다고 분명히 밝혔다. 추정치는 연산 활용률, 학습 토큰 수, 학습 기간 같은 가정에 좌우되며, 초판의 수치도 공개 당일 한 차례 수정됐다.
보고서가 스스로 그은 한계
이 연구로 말할 수 있는 것은 제한적이며, 저자도 한계를 상세히 적었다. 지문이 기록하는 것은 초기 가중치가 어떤 칩에서 생성됐는가뿐이다. 모델은 한 시스템에서 초기화하고 다른 시스템에서 학습할 수도 있다. AMD MI300X도 이론상 같은 레이아웃을 흉내 낼 수 있는데, 저자가 수치적으로 배제한 것은 DeepSeek-V4-Flash뿐이고 나머지 다섯 모델은 “가능성이 극히 낮다”고 판단했다.
더 민감한 점은 이 방법으로는 칩이 누구 소유인지, 어디에 있는지 알 수 없다는 것이다. 블랙웰 서버는 중국 밖의 데이터센터에서 빌릴 수 있고, 보고서의 표현대로라면 이번 증거는 칩이 중국으로 밀반입됐다는 점도, 수출 통제 위반이 있었다는 점도 입증하지 못한다. 학습 단계에 관해서도 보고서는 여지를 남기는 표현을 썼다.
“supports, without proving, the inference that Blackwell also performed the training”
(블랙웰이 학습도 맡았다는 추론을 입증하지는 않으면서 뒷받침한다.)
이 방법은 가중치가 공개된 모델에만 쓸 수 있고, 비공개 모델은 검증할 수 없다. TechCrunch 보도에는 중국 기업들이나 엔비디아의 입장이 실려 있지 않고, 미국 상무부도 이 연구에 대해 입장을 밝히지 않았다. 관련 주장은 현재로서는 당사자에게서 확인할 수 없다.
보고서가 나온 같은 주에 미국 상무부가 중국 AI 기업이 해외 데이터센터를 통해 첨단 칩을 원격으로 쓰는 것을 제한하는 규정을 마무리하고 있다는 보도가 나왔다. 규정이 시행되면 해외에서 블랙웰을 빌리는 경로가 가장 먼저 영향을 받는다. 이번 연구는 내부 정보 없이 공개된 가중치만으로 할 수 있는 검증 방법을 제시했고, 다음 오픈 모델이 가중치를 공개할 때 같은 검사를 다시 돌려 보는 사람이 나올 가능성이 크다.
참고 출처: TechCrunch, CocoLoop, Unemployment Labs 연구 보고서 Checkpoint Forensics. 보고서 본문에서 여섯 모델 목록, SM·스레드 수, 시그마 범위, GPU 규모 추정 기준을 확인했다.