Um relatório de pesquisa recém-divulgado afirma que os pesos de seis modelos de código aberto lançados este ano por DeepSeek, Moonshot AI, MiniMax e Ant Group carregam vestígios de inicialização das GPUs da série Blackwell, da Nvidia. O autor do relatório é Will DePue, diretor da organização de pesquisa sem fins lucrativos Unemployment Labs, que, segundo o TechCrunch, trabalhou como pesquisador na OpenAI. A Blackwell está entre os chips cuja exportação para a China os Estados Unidos proíbem.
De onde vem a impressão digital
O método mira a etapa anterior ao início do treinamento: a inicialização aleatória. Quando o PyTorch gera os pesos iniciais na GPU, usa o algoritmo de números aleatórios Philox, e a posição em que cada valor cai depende do número de multiprocessadores de streaming (SMs) e de threads da placa. Cada geração de chip tem uma configuração diferente: B200/B300 têm 148 SMs e 303104 threads, GB200/GB300 têm 152 SMs e 311296 threads, e a geração anterior, Hopper, tem 132 SMs.
O autor vasculhou cerca de 6 trilhões de combinações de “semente + layout” e depois as testou contra pesos que não participaram da busca. O treinamento altera a maior parte dos pesos, mas sempre sobra um conjunto de linhas que preserva o valor inicial. Segundo o relatório, com o PyTorch sem modificações é possível reproduzir essas linhas do DeepSeek-V3 numa H100 e as do DeepSeek-V4-Flash numa B300; trocando uma pela outra, não há correspondência. Numa GB200 alugada, também foram reproduzidas as linhas preservadas do Kimi K3.
Seis modelos, uma linha divisória
Os seis modelos listados no relatório são DeepSeek-V4-Flash, DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro, MiniMax-M3 e o Ling-3.1-flash, da Ant. A significância estatística fica entre 49 e 1385 sigmas, e o patamar aleatório indicado pelo autor é de cerca de 8 sigmas.
Ao alinhar a ordem de lançamento dessas empresas, a divisão é bastante nítida. Os modelos da geração anterior, como DeepSeek-V3, Kimi K2.5, MiniMax-M2.7 e Ling-3.0-flash, aparecem todos como Hopper; a nova geração, lançada aos poucos a partir de abril de 2026, trocou a impressão digital para Blackwell. O Kimi K2.7-Code ficou no meio do caminho, com resultado misto, e não foi contabilizado.
Com outras empresas o quadro é diferente. Nos modelos de Qwen (Tongyi Qianwen), Zhipu GLM, Tencent, Xiaomi e StepFun, o relatório continua medindo Hopper; no LongCat-2.0, da Meituan, não foi detectada impressão digital de GPU, e a Meituan havia dito antes que o treinou num “supernó de AI ASIC”. Dentro do escopo coberto, os vestígios de Blackwell se concentram em quatro empresas, e não em todo o ecossistema aberto chinês.
O relatório também estima a escala de GPUs da última rodada de treinamento: cerca de 4500 placas para o Kimi K3 (melhor estimativa), cerca de 3000 para o DeepSeek-V4-Pro e em torno de 1500 para os demais, somando aproximadamente 12 mil placas; a cerca de 70 mil dólares por unidade, o maior cluster ficaria entre 200 e 300 milhões de dólares. O autor admite abertamente não ter segurança sobre essa estimativa, que depende de hipóteses como a utilização do poder de computação, o número de tokens de treinamento e a duração do treino; os números da primeira versão do relatório foram corrigidos uma vez no próprio dia da publicação.
Os limites traçados pelo próprio relatório
O que este estudo consegue demonstrar é limitado, e o autor o detalha no texto. A impressão digital só registra em que tipo de chip os pesos iniciais foram gerados; o modelo pode perfeitamente ser inicializado num sistema e treinado em outro. A AMD MI300X, em teoria, também poderia imitar esses layouts; o autor só a descartou numericamente no caso do DeepSeek-V4-Flash e, para os outros cinco, classifica a hipótese como “extremamente improvável”.
Um ponto mais sensível é que o método não consegue dizer de quem são os chips nem onde estão. Servidores Blackwell podem ser alugados em data centers fora da China; nas palavras do relatório, as evidências não provam que chips tenham sido contrabandeados para a China, nem que tenha havido violação dos controles de exportação. Quanto à etapa de treinamento, a redação do relatório também deixa margem:
“supports, without proving, the inference that Blackwell also performed the training”
(apoia, mas não prova, a inferência de que a Blackwell também realizou o treinamento.)
O método só serve para modelos de pesos públicos; modelos fechados não podem ser verificados. A reportagem do TechCrunch não traz resposta das empresas chinesas nem da Nvidia, e o Departamento de Comércio dos EUA também não se pronunciou sobre o estudo, de modo que as afirmações não podem, por ora, ser confirmadas pelas partes envolvidas.
Na semana da divulgação, veio à tona que o Departamento de Comércio dos EUA estaria ultimando regras para restringir o uso remoto de chips avançados por empresas chinesas de IA por meio de data centers no exterior. Se a regra for adotada, o aluguel de Blackwell fora do país seria o primeiro caminho atingido; e este estudo oferece uma forma de checagem que dispensa informações internas e usa apenas pesos públicos. Quando o próximo lote de modelos abertos tiver os pesos divulgados, é provável que alguém repita o mesmo teste.
Fontes: TechCrunch, CocoLoop, relatório de pesquisa Checkpoint Forensics, da Unemployment Labs; o texto do relatório foi usado para conferir a lista dos seis modelos, o número de SMs e threads, os intervalos de sigma e a base das estimativas de GPUs.