Verräterische Zufallszahlen: Chinas Top-KI-Modelle tragen Spuren gesperrter Nvidia-Chips

Worum es geht

Wer hat seine KI auf welchen Chips gebaut? Diese Frage ist politisch heikel, weil die USA den Export von Nvidias modernsten Grafikprozessoren nach China nur mit Genehmigung erlauben. Eine am 12. November 2026 veröffentlichte Analyse von Will DePue (Unemployment Labs), über die Techmeme berichtete, liefert nun erstmals technische Indizien: Sechs Modelle von vier chinesischen KI-Firmen, veröffentlicht seit April 2026, tragen demnach einen „Fingerabdruck“ von Nvidias Blackwell-Generation.

Betroffen sind DeepSeek-V4-Flash und DeepSeek-V4-Pro (DeepSeek), Kimi K3 und Kimi K3.1-Pro (Moonshot AI), MiniMax-M3 (MiniMax) und Ling-3.1-flash (Ant Group). Für keinen dieser Chips ist eine US-Exportlizenz nach China bekannt. US-Behörden und Medien hatten DeepSeek und Moonshot bereits vorgeworfen, Blackwell-Chips zu nutzen – allerdings ohne technische Belege zu veröffentlichen.

Bemerkenswert: Die Beweise stammen nicht aus Leaks oder Insider-Quellen, sondern ausschließlich aus den frei herunterladbaren Gewichten der Modelle selbst. Die vollständige Analyse ist unter unemploymentlabs.com/checkpoint-forensics einsehbar.

Wie der Chip-Fingerabdruck funktioniert

Bevor ein Modell trainiert wird, braucht es Startwerte. In der weit verbreiteten Software PyTorch kommen diese aus einem Pseudozufallsgenerator namens Philox – einem Algorithmus, der zufällig wirkende, aber reproduzierbare Zahlen erzeugt. Ausgangspunkt ist eine Zahl, der sogenannte Seed („Samen“): Gleicher Seed, gleiche Zahlen.

Der Trick liegt in der Arbeitsteilung. Um Milliarden Werte schnell zu füllen, verteilt PyTorch (über Nvidias Bibliothek cuRAND) die Arbeit auf viele parallele Threads, also kleine Rechenarbeiter. Auf den untersuchten Nvidia-Chips sind das bei großen Aufgaben 2.048 Threads pro Streaming-Multiprozessor (SM), einem der Rechenkerne eines Grafikchips. Ein Chip mit mehr SMs verteilt dieselben Zufallszahlen also auf andere Positionen.

Die Autoren erklären das mit einer Reihe leerer Kästchen: Bei 48 Threads füllt der erste Thread die Kästchen 1, 49, 97 und so weiter; bei 40 Threads die Kästchen 1, 41, 81. Die Zahlen sind dieselben, landen aber woanders – im vereinfachten Beispiel stimmen nur noch 6 Prozent der Werte überein. Die Anordnung verrät damit, wie viele Rechenkerne der Chip hatte:

Innerhalb einer Gruppe lässt sich nicht unterscheiden: Ein Hopper-Treffer kann ein H800 (die für China gedrosselte Variante) ebenso sein wie ein H100 oder H200.

Doch bleiben die Startwerte nach dem Training überhaupt erhalten? Teilweise ja. Manche Gewichte, etwa für Wörter oder Zeichen, die im Training nie vorkamen, werden kaum verändert und behalten ihre Startwerte fast exakt. Und auch trainierte Gewichte tragen oft eine schwache Spur: Wer höher startet, endet tendenziell höher. Über Hunderttausende Werte wird diese Spur messbar. Die Forscher suchen dann die Kombination aus Seed und Thread-Anzahl, die das Muster am besten nachbildet – und testen sie anschließend an Gewichten, die nicht zur Suche verwendet wurden.

Die Ergebnisse im Zeitverlauf

Die Daten zeichnen einen klaren Wechsel nach:

Ein Sonderfall ist Kimi K2.7-Code, sechs Wochen vor K3 veröffentlicht: Rund 80 Prozent der untersuchten Werte stammen aus dem Hopper-Erbe von K2.5, etwa 20 Prozent passen zu einem 148-SM-Chip. Da die Mischung in jeder Zeile gleich ist, deuten die Autoren das als zusammengeführten Checkpoint, nicht als gemischte Hardware, und zählen das Modell nicht zu den sechs.

Nicht alle chinesischen Labore haben gewechselt. Die neuesten lesbaren Modelle von Alibaba (Qwen3.8, Qwen3.5-397B), Zhipu (GLM-5.3), Tencent (Hy4-preview), Xiaomi (MiMo-V2.5-Pro) und StepFun (Step-5-Preview) zeigen Hopper-Spuren. Meituans LongCat-2.0, laut Firma auf „AI ASIC superpods“ trainiert, zeigt gar keinen Nvidia-Fingerabdruck. Auch bei Baidus ERNIE-5.5 (Framework PaddlePaddle) und DeepSeek-V4.1-Flash fanden sich keine verwertbaren Spuren.

Wie belastbar ist das?

Die Autoren haben die Methode mehrfach abgesichert. Erstens an bekannten Fällen: In allen 24 Fällen, in denen Entwickler die Hardware öffentlich genannt haben, stimmt das Ergebnis – Metas Llama 3.1 (H100) liest sich als 132 SMs, EleutherAIs Pythia (A100) als 108, Nvidias eigenes Nemotron-3 Ultra, das laut technischem Bericht teils auf GB200 trainiert wurde, als 152 – genau wie Kimi K3. Die Autoren betonen selbst, dass das wegen verwandter Modelle eine Konsistenzprüfung und keine gemessene Trefferquote ist.

Zweitens auf echter Hardware: Mit DeepSeeks Seed 953049583, der sowohl in V3 als auch in V4-Flash steckt, reproduzierte ein H100 alle 57.344 erhaltenen Startwerte von DeepSeek-V3 bitgenau, aber nichts von V4-Flash. Ein B300 reproduzierte 461 von 469 ausgewählten Zeilen von V4-Flash mit Korrelationen über 0,99, davon 445 bitgenau – aber nichts von V3. Ein gemieteter GB200 reproduzierte alle 13 erhaltenen Zeilen von Kimi K3 mit Moonshots Seed 20256586. Wird der Seed um eins verändert, passt nichts mehr.

Drittens statistisch: Bei rund 6 Billionen durchsuchten Kombinationen aus Seed und Anordnung wäre ein Zufallstreffer von etwa 8 Sigma zu erwarten – Sigma misst, wie weit ein Ergebnis über normalem Zufallsrauschen liegt. Die stärksten Belege für die sechs Modelle liegen zwischen 49 und 1.385 Sigma, der schwächste Einzeltest bei 20 Sigma.

Eine Alternative haben die Forscher ernst genommen: AMDs MI300X, ebenfalls exportbeschränkt, hat normalerweise 304 Recheneinheiten, lässt sich aber auf 152 oder 148 begrenzen und kann dieselben Zufallsfolgen erzeugen. Auf einem echten MI300X bestätigten sie, dass das die Blackwell-Muster nachbilden kann. Bei DeepSeek-V4-Flash ließ sich AMD aber über winzige Rechenunterschiede ausschließen: An 377 Stellen, an denen beide Hersteller unterschiedliche Werte liefern, stimmen die veröffentlichten Gewichte 363-mal mit Nvidia und kein einziges Mal mit AMD überein. Für die anderen fünf Modelle halten die Autoren AMD für „sehr unwahrscheinlich“, weil dafür ganze Cluster ungewöhnlich konfiguriert sein müssten. Zusätzliche Indizien: Ant Groups öffentliches Repository cuLA enthält Benchmarks, die am 31. März 2026 auf einem GB300 entstanden. Ein DeepSeek-Ingenieur hatte dagegen im Juni 2025 auf GitHub geschrieben, man habe „keine SM100-GPUs“ (SM100 steht für Blackwell).

Größenordnung und Grenzen

Aus Modellgröße und Trainingsdatenmenge schätzen die Autoren den Hardwarebedarf – unter der Annahme, dass auf derselben Hardware trainiert wurde, auf der das Modell gestartet wurde:

Zur Plausibilisierung: Für DeepSeek-V3 ergibt dieselbe Rechnung 2.000 bis 2.500 Chips – DeepSeek hatte 2.048 angegeben. Bei rund 70.000 Dollar pro GPU (abgeleitet aus einem Bericht des Wall Street Journal über Blackwell-Chips für ByteDance in Malaysia) kostet der größte Cluster 150 bis 200 Millionen Dollar, alle fünf zusammen über eine halbe Milliarde. Die Gesamtausgaben der Labore dürften laut Autoren in die Milliarden gehen.

Die Autoren benennen klar, was die Methode nicht kann. Sie funktioniert nur bei offenen Gewichten und nur mit PyTorch auf GPUs. Sie zeigt die Hardware, die die Startwerte erzeugt hat, nicht zwingend alle Chips, die später trainiert haben – Gewichte lassen sich verschieben, Cluster mischen, etwa mit Huawei-Chips. Vor allem verraten die Gewichte nicht, wem die Chips gehörten oder wo sie standen: Blackwell-Systeme lassen sich in Rechenzentren außerhalb Chinas mieten. Ob Chips geschmuggelt oder Exportregeln verletzt wurden, ist damit ausdrücklich nicht belegt.

Einordnung

Die Analyse ist bemerkenswert, weil sie eine bisher politisch behauptete, aber nicht belegte Vermutung mit nachprüfbarer Technik untermauert – und zwar ausgerechnet mit dem, was die Firmen freiwillig veröffentlichen. Für DeepSeek-V4-Flash nennen die Autoren den Befund „schlüssig“, für die anderen fünf Modelle „starke Belege“. Der Bericht zeigt auch, dass US-Exportkontrollen offenbar nicht verhindern, dass chinesische Spitzenlabore Zugang zu modernster Hardware bekommen – auf welchem Weg auch immer.

Kritisch bleibt: Die Arbeit stammt von einem kleinen, unabhängigen Labor, eine Begutachtung durch Dritte steht aus, und die Firmen haben sich laut Quelle nicht geäußert. Die Methode ist zudem leicht auszuhebeln: Wer Startwerte auf einer CPU erzeugt – wie Alibaba bei einigen Qwen3-Modellen – oder die Startwerte vor der Veröffentlichung verrauscht, hinterlässt keine Spur. Künftige Modelle dürften daher weniger auskunftsfreudig sein. Für die Debatte um Exportkontrollen und um offene chinesische Modelle liefert der Bericht aber erstmals harte Zahlen statt Andeutungen.