윌 드퓨 포렌식, 중국 AI 모델 6개를 NVIDIA Blackwell 칩과 연결

6개 모델, Blackwell 지문 일치

11월 12일 공개된 포렌식 연구는 중국 주요 4개 AI 연구소의 최신 모델 6개가 미국 수출 규제로 중국 반입이 금지된 NVIDIA의 Blackwell 칩 위에서 학습됐다고 주장한다. 발표자는 전 OpenAI 연구원 윌 드퓨(Will DePue)로, X 게시물을 통해 결과를 알리고 방법론과 코드를 함께 공개했다. 보고서는 DeepSeek의 DeepSeek-V4-Flash와 DeepSeek-V4-Pro, Moonshot AI의 Kimi K3와 Kimi K3.1-Pro, MiniMax의 MiniMax-M3, Ant Group의 Ling-3.1-flash를 지목했으며, 6개 모델 모두 2026년 4월 이후 공개됐다. DeepSeek-V4-Flash와 MiniMax-M3는 B200 또는 B300에, 나머지 4개는 NVIDIA의 랙 규모 플래그십 시스템인 GB200 또는 GB300에 일치한다. 식별의 근거는 학습 시작 전 가중치에 부여되는 무작위 초기값이다. 이 값은 이를 생성한 칩에 연동된 배치 구조로 새겨지기 때문에, 공개된 체크포인트에 학습 장비의 흔적이 읽힌다는 것이다. 방법이 칩의 물리적 위치나 소유자를 특정할 수 없다는 한계는 보고서 자체가 명시한다. 같은 회사들의 이전 공개본에 같은 검사를 돌리면 이전 세대인 Hopper로 판독된다. DeepSeek는 2024년 12월 V3까지, Moonshot은 2026년 1월 Kimi K2.5까지, MiniMax는 2026년 4월 M2.7까지다. DeepSeek와 Moonshot은 앞서 H800 부품으로 학습했다고 밝힌 바 있어, Blackwell 전환은 사실상 올해 일어난 것으로 판독된다.

@willdepue · X 게시물

X 게시물.

X에서 보기

시드 포렌식의 원리와 한계

메커니즘은 구체적이다. PyTorch 같은 프레임워크는 하나의 시드 숫자에서 모델의 초기값을 생성하며, 작업을 다수의 GPU 스레드에 병렬 분배한다. 스레드 수는 칩의 연산 단위 수를 따른다. Hopper는 132개, B200과 B300은 148개, GB200과 GB300은 152개다. 같은 시드라도 배치 위치가 달라지고, 학습이 손대지 않은 가중치는 초기값을 거의 그대로 유지한다. 드퓨는 공개 체크포인트를 상대로 약 6조 개의 시드와 칩 배치 조합을 탐색했다고 밝혔다. 순수 우연으로는 최대 약 8 표준편차 수준의 일치만 나올 것으로 보고서는 추정하는데, 6개 모델의 가장 강한 증거는 49~1,385 표준편차에 달하고 가장 약한 개별 검사도 20을 기록한다. 결과는 실제 하드웨어에서도 재현됐다. 시드 953049583은 B300에서 DeepSeek-V4-Flash의 초기값을 비트 단위로 재현하지만 H100에서는 그렇지 않으며, 임대한 GB200은 Kimi K3를 상관계수 0.999995로 재생했다. 개발사가 학습 장비를 공개한 24개 모델을 대상으로 한 검사는 모두 일치했고, 보고서는 이를 측정된 정확도가 아니라 일관성 점검으로 규정한다. 보고서는 자기 한계도 밝힌다. 식별 대상은 초기 가중치를 만든 칩이지 전체 학습 과정이 아니며, 가중치가 칩의 소유자나 위치를 드러내지는 않는다. Blackwell 시스템은 중국 밖 데이터센터에서 임대할 수 있으므로, 이 증거만으로 밀수나 수출 통제 위반을 입증하지 못한다. 규모 추정치로는 Kimi K3가 약 4,500장, DeepSeek-V4-Pro가 약 3,000장의 Blackwell GPU, 5회 실행 합계 약 12,000장에 이른다. 드퓨는 11월 12일 이 수치를 수정하면서도, 각 연구소가 학습 효율이나 기간을 공개하지 않아 신뢰도가 낮다고 적었다. 전환하지 않은 곳도 있다. Alibaba의 Qwen, Zhipu, Tencent, Xiaomi, StepFun은 여전히 Hopper로 판독되고, Meituan의 LongCat-2.0은 자체 AI 칩으로만 학습됐다는 Meituan 설명대로 NVIDIA 지문이 나오지 않는다. 드퓨는 Anthropic과 OpenAI의 시니어 연구원들이 결과를 독립적으로 검증했다고 익명으로 밝혔으며, NVIDIA를 포함한 관련 기업 중 공식 입장을 낸 곳은 아직 없다.

수출 통제 집행의 관점에서 이번 발견은 감사의 지점을 항구에서 체크포인트로 옮긴 것이다. 공개 가중치는 오랫동안 누구나 접근하는 공개물로 취급됐지만, 신뢰할 수 있는 지문 기술이 결합되면 모든 공개가 사실상의 하드웨어 공시가 되고, 연구소가 쉽게 철회할 수 없는 기록으로 남는다. 방법의 한계 역시 구조적이다. 특정 물량이 아닌 칩 계열을 가리킬 뿐이고, 해외 임대 자원은 완전히 사각지대에 놓인다. 정책적 쟁점은 그 사각지대로 향한다. 4개 연구소가 침묵하면 칩의 실제 위치를 밝힐 책임은 규제 당국으로 넘어가고, 지문 기술이 재현 검증을 통과하면 중국발 모델 공개는 이제 능력과 하드웨어, 두 번 읽히게 된다.