Un rapporto rileva tracce di Blackwell nelle IA cinesi, ma non prova violazioni dei controlli USA

La nuova accusa non arriva da una fuga di documenti, ma dai pesi pubblici dei modelli. Il rapporto di Unemployment Labs, firmato da Will DePue e rilanciato da Tom’s Hardware, sostiene di aver trovato nei checkpoint di quattro laboratori cinesi una firma numerica riconducibile a GPU Nvidia Blackwell: hardware che, per l’esportazione verso entità cinesi o controllate da gruppi cinesi, richiede una licenza statunitense.

Il punto più delicato è la distinzione tra fatto tecnico e conclusione politica. L’analisi afferma di identificare la GPU usata per creare i pesi iniziali dei modelli; da questo deduce che gli stessi sistemi siano stati probabilmente usati anche per il training. Ma gli autori chiariscono che il metodo non stabilisce dove fossero collocati i chip, chi li possedesse, se fossero stati noleggiati tramite cloud fuori dalla Cina o se vi sia stata una violazione formale dei controlli all’export, come spiega la sezione sui limiti del rapporto originale.

I sei modelli indicati dal rapporto

Secondo Unemployment Labs, i modelli che mostrano una firma Blackwell sono DeepSeek-V4-Flash, DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro, MiniMax-M3 e Ling-3.1-flash. Sono tutti modelli open-weight o con pesi pubblicati, quindi accessibili all’analisi forense. Il rapporto colloca il cambio di generazione tra la fine del 2025 e il 2026: DeepSeek risulterebbe su Hopper fino a V3, poi su Blackwell da V4; Moonshot AI fino a Kimi K2.5 su Hopper, poi su Blackwell da Kimi K3; MiniMax da M3; Ant Group da Ling-3.1-flash.

• DeepSeek-V4-Flash, pubblicato ad aprile 2026, viene associato a Blackwell B200/B300.
• DeepSeek-V4-Pro, anch’esso di aprile 2026, viene associato a GB200/GB300.
• Kimi K3, pubblicato a luglio 2026 da Moonshot AI, viene associato a GB200/GB300.
• Kimi K3.1-Pro, reso disponibile con pesi pubblici a novembre 2026, viene associato alla stessa famiglia GB200/GB300.
• MiniMax-M3, pubblicato a giugno 2026, viene associato a B200/B300.
• Ling-3.1-flash, pubblicato nell’autunno 2026 da Ant Group, viene associato a GB200/GB300.

La lista è importante anche per ciò che esclude. Gli autori scrivono che i modelli più recenti analizzati di Alibaba, Zhipu, Tencent, Xiaomi e StepFun risultano ancora compatibili con Hopper, non con Blackwell. Per Meituan LongCat-2.0, che la società descrive come addestrato su superpod ASIC, Unemployment Labs dice di non aver trovato alcuna impronta Nvidia leggibile.

Come funziona la “firma” nei pesi dei modelli

Il metodo si basa su un dettaglio poco visibile del training. Prima che un modello impari dai dati, i suoi pesi devono essere inizializzati. Nel caso analizzato, la procedura usa PyTorch, la libreria cuRAND di Nvidia e il generatore pseudocasuale Philox. A parità di seed, cioè di numero iniziale, il generatore produce la stessa sequenza di valori; ciò che cambia è il modo in cui quei valori vengono disposti in memoria quando il lavoro è diviso tra i processori paralleli della GPU.

Qui entra in gioco il numero di streaming multiprocessors, o SM. La ricostruzione pubblicata nel repository GitHub checkpoint-forensics indica che H100/H800/H200 hanno 132 SM, B200/B300 ne hanno 148 e GB200/GB300 ne hanno 152. Poiché PyTorch lancia 2.048 thread per SM, le tre famiglie generano griglie diverse: 270.336 thread per Hopper, 303.104 per B200/B300, 311.296 per GB200/GB300.

SM usati come impronta hardware

• Hopper H100/H800/H200132 SM
• Blackwell B200/B300148 SM
• Blackwell GB200/GB300152 SM

In termini semplici, un valore casuale generato dal thread numero 1 finirà in posizioni diverse se i thread totali sono 270.336, 303.104 o 311.296. Se alcune righe dei pesi non sono state aggiornate durante il training, oppure conservano una traccia statistica dell’inizializzazione, è possibile cercare quale combinazione di seed e layout ricostruisce meglio quei valori. È una forma di checkpoint forensics: non guarda le dichiarazioni commerciali dell’azienda, ma ciò che resta impresso nel file del modello.

Quanto è forte la prova statistica

Unemployment Labs sostiene di aver cercato circa 6 trilioni di combinazioni tra seed e layout hardware. Per evitare falsi positivi, il rapporto usa una soglia di circa 8 sigma come riferimento dopo una ricerca così ampia; i sei modelli indicati come Blackwell mostrano, secondo gli autori, evidenze comprese tra 49 e 1.385 sigma, con il test individuale più debole comunque a 20 sigma. Sono numeri molto elevati, ma restano legati alla validità delle ipotesi statistiche usate.

Il caso più forte è DeepSeek-V4-Flash. Con il seed 953049583, Unemployment Labs dice di aver riprodotto su una B300 461 delle 469 righe selezionate, incluse 445 righe identiche bit per bit; su H100, invece, quelle righe non si riproducono. Per Kimi K3, il controllo su una GB200 avrebbe riprodotto tutte le 13 righe preservate usando il seed Moonshot 20256586. Il codice pubblico permette di eseguire una verifica ridotta anche senza GPU, perché include righe preservate e hash dei file.

La prova non vale per qualsiasi modello. Serve che i pesi siano pubblici e che l’inizializzazione lasci una traccia dipendente dall’hardware. Unemployment Labs scrive, per esempio, che non ha potuto identificare l’hardware di Baidu ERNIE-5.5, addestrato con PaddlePaddle, e che diversi modelli Qwen inizializzati su CPU non lasciano un’impronta GPU utile. Questo limite è cruciale: il metodo è potente solo in una finestra tecnica precisa, non uno scanner universale per scoprire tutta la catena di training.

La questione AMD e il limite principale: inizializzazione non significa intero training

Gli autori considerano anche una spiegazione alternativa: una GPU AMD MI300X configurata in modo non standard. Normalmente l’MI300X usa 304 unità di elaborazione, ma può essere partizionata in due gruppi da 152 o limitata a 148, generando una disposizione compatibile con quella attribuita a Blackwell. Per DeepSeek-V4-Flash, però, Unemployment Labs afferma di aver escluso questa ipotesi guardando le differenze numeriche tra la generazione casuale AMD e Nvidia: in 377 valori divergenti, i pesi pubblicati avrebbero seguito Nvidia in 363 casi e AMD in nessuno.

Per gli altri cinque modelli, il rapporto definisce l’ipotesi AMD “molto improbabile”, ma non dice di averla esclusa con la stessa forza. Inoltre la firma identifica l’hardware che ha creato i pesi iniziali. Se un laboratorio avesse inizializzato i pesi su una macchina, poi proseguito l’addestramento su un’altra, o se avesse usato un cluster misto con GPU Nvidia e acceleratori cinesi, i pesi pubblici non potrebbero ricostruire l’intero percorso. Questo è il confine tecnico dell’accusa.

La scala stimata: migliaia di GPU per mesi

Se la stessa classe di hardware avesse svolto anche il training finale, Unemployment Labs stima una scala da data center. Le due corse più grandi sarebbero Kimi K3 e DeepSeek-V4-Pro: rispettivamente circa 4.500 e 3.000 GPU Blackwell per due-tre mesi. L’insieme dei cinque run quantificati arriverebbe a circa 12.000 GPU Blackwell, equivalenti a circa 30.000 H100. Gli autori avvertono però che queste sono stime, non misurazioni: dipendono da efficienza hardware, token di training, durata del run e ipotesi che training e inizializzazione siano avvenuti sullo stesso hardware.

Stima GPU Blackwell per training run

• DeepSeek V4 Flash1500 GPU
• DeepSeek V4 Pro3000 GPU
• Kimi K34500 GPU
• MiniMax M31500 GPU
• Ling 3.1 flash1500 GPU

La dimensione dei modelli rende plausibile, almeno sul piano tecnico, la necessità di infrastrutture molto grandi. DeepSeek ha presentato DeepSeek-V4 come famiglia con contesto da 1 milione di token: la versione Pro ha 1,6 trilioni di parametri totali e 49 miliardi attivi, mentre Flash è la variante più leggera, intorno a 284-285 miliardi di parametri totali e 13 miliardi attivi, come confermato anche dalla model card ufficiale. Moonshot AI indica per Kimi K3.1-Pro su Hugging Face una taglia da 2,8 trilioni di parametri, mentre Ant Group descrive Ling-3.1-flash come un MoE da 560 miliardi di parametri totali e 25 miliardi attivi.

Perché Blackwell è al centro dei controlli americani

Blackwell è la generazione più strategica di Nvidia per l’AI generativa. La piattaforma GB200 NVL72 collega 72 GPU Blackwell e 36 CPU Grace in un rack raffreddato a liquido; Nvidia dichiara 13,4 TB di memoria HBM3E per rack, 576 TB/s di banda memoria aggregata e 130 TB/s di banda NVLink. La stessa Nvidia sostiene che GB200 NVL72 abiliti training LLM fino a 4 volte più veloce rispetto a H100 in scenari indicati dall’azienda.

Il legame con DeepSeek è pubblico sul lato inferenza. In un post tecnico del 24 aprile 2026, Nvidia ha mostrato DeepSeek-V4-Pro in esecuzione su Blackwell e ha citato oltre 150 token al secondo per utente su GB200 NVL72 in test iniziali. Questo non prova nulla sul training dei modelli, ma spiega perché Blackwell sia l’hardware desiderato dai laboratori che sviluppano modelli MoE di dimensioni molto elevate e contesti lunghi.

Dal lato regolatorio, la cornice è altrettanto chiara. Il Bureau of Industry and Security del Dipartimento del Commercio statunitense ha ribadito il 31 maggio 2026 che gli advanced computing items richiedono licenza quando destinati a entità con sede in Paesi del gruppo D:5, inclusa la Cina, o a società con controllante finale in tali Paesi, anche se l’entità operativa si trova fuori dalla Cina. Già nel 2025, il BIS aveva pubblicato una guida specifica sui rischi di accesso a chip avanzati tramite provider cloud o IaaS per training di modelli AI.

Qui si inserisce l’ambiguità più pesante. Noleggiare capacità Blackwell all’estero, tramite data center non cinesi, può cadere in zone diverse a seconda di chi controlla l’entità, dell’uso finale, della conoscenza del fornitore e delle eventuali licenze. Per questo la prova forense, anche se confermata, non equivale automaticamente a una prova di contrabbando fisico. È invece una prova di accesso, o almeno di compatibilità tecnica con accesso, all’hardware soggetto a restrizioni.

Il contesto politico: Nvidia, cloud offshore e gara USA-Cina

La pubblicazione arriva mentre Nvidia è al centro di uno scontro politico negli Stati Uniti. Associated Press ha ricostruito nelle ultime ore come lo scandalo intorno all’azienda e ai presunti canali di accesso cinesi ai chip abbia riaperto il dibattito sui controlli all’export e sui rapporti con Pechino. Secondo AP, gli Stati Uniti e la Cina stanno seguendo traiettorie diverse: le aziende americane puntano su chip di frontiera e data center sempre più grandi, mentre la Cina spinge modelli aperti e meno costosi, pur continuando a dipendere dai chip Nvidia più avanzati per una parte della ricerca di frontiera.

Un secondo articolo di AP ha collegato il caso alle indagini statunitensi su Megaspeed e alle tensioni dentro l’amministrazione americana sui chip Nvidia. Queste ricostruzioni non verificano direttamente la tesi di Unemployment Labs, ma mostrano perché una firma Blackwell nei pesi di modelli cinesi abbia conseguenze politiche immediate: sposta il dibattito da “si sospetta che i controlli perdano” a “si può forse misurare dove compaiono le tracce dell’hardware”.

The Register ha sottolineato un altro aspetto: l’analisi di DePue sarebbe la prima a collegare pubblicamente MiniMax e Ant Group all’uso di Blackwell, mentre DeepSeek e Moonshot erano già stati al centro di precedenti indiscrezioni su accesso a chip avanzati. È una differenza non marginale, perché allarga il perimetro del problema da singoli laboratori molto osservati a una parte più ampia dell’ecosistema cinese dei modelli aperti.

Cosa cambia per sviluppatori, aziende e mercato italiano

Per gli sviluppatori europei e italiani, la notizia non significa che l’uso di questi modelli sia automaticamente vietato. I pesi pubblici di DeepSeek, Kimi, MiniMax e Ling restano scaricabili o accessibili secondo le licenze dichiarate dalle rispettive piattaforme. Il problema è diverso: la provenienza computazionale entra nella valutazione di rischio. Un’azienda che integra un modello open-weight in un prodotto regolato, in una pipeline industriale o in un servizio per clienti pubblici dovrà chiedersi non solo cosa fa il modello, ma anche quali controversie tecniche e geopolitiche lo accompagnano.

La ricaduta più concreta riguarda procurement, audit e cloud. Se il metodo di checkpoint forensics sarà replicato da altri gruppi, potrà diventare uno strumento di due diligence: verificare se un modello dichiara una certa origine hardware, se usa pesi derivati da altri checkpoint o se contiene tracce incompatibili con la narrativa ufficiale. Per chi opera in Italia, il tema si lega alla governance dei fornitori: usare un modello cinese aperto può essere conveniente per costi e prestazioni, ma richiede contratti, documentazione e controlli più robusti sulla catena tecnica.

Non va però confuso il piano tecnico con quello giudiziario. A oggi, dalle fonti pubbliche consultate, non emergono risposte dettagliate di DeepSeek, Moonshot AI, MiniMax, Ant Group o Nvidia al rapporto di Unemployment Labs. Mancano anche verifiche indipendenti complete, su larga scala, della metodologia. Il repository pubblico è un passo verso la riproducibilità, ma la conferma più forte richiederà esperimenti di terzi su GPU fisiche, sui medesimi checkpoint e su modelli di controllo.

I punti ancora aperti

Il primo punto aperto è la localizzazione. I chip potrebbero essere stati in Cina, in un Paese terzo, in un data center offshore o accessibili tramite un fornitore cloud. I pesi non lo dicono. Il secondo è la titolarità: il metodo non può stabilire se le GPU fossero possedute dai laboratori, noleggiate, intermediated da terzi o usate in una collaborazione. Il terzo è la cronologia del training: inizializzazione, pre-training, post-training e fine-tuning possono avvenire su infrastrutture diverse.

Il quarto punto riguarda la classificazione giuridica. Il BIS dice che certe esportazioni, riesportazioni o trasferimenti verso entità cinesi o controllate da gruppi cinesi richiedono licenza; ma valutare una violazione richiede contratti, localizzazione, conoscenza delle parti, uso finale e autorizzazioni. Un fingerprint nei pesi non contiene tutto questo. È una prova tecnica potenzialmente rilevante, non un fascicolo legale completo.

L'analisi della redazione

La parte nuova della vicenda è che l’hardware di training, finora trattato come informazione opaca o come dichiarazione fiduciaria dei laboratori, diventa in parte osservabile attraverso i checkpoint. Per utenti e consumatori non cambia l’esperienza immediata: DeepSeek, Kimi o Ling continueranno a rispondere come modelli linguistici e le loro prestazioni dipenderanno da qualità, costi e disponibilità del servizio. Cambia però il modo in cui aziende e sviluppatori dovrebbero guardare ai modelli aperti più potenti.

Il vantaggio è evidente: se la tecnica regge a verifiche indipendenti, offre uno strumento nuovo per controllare affermazioni su infrastruttura e provenienza. Il limite è altrettanto forte: funziona solo su alcuni modelli, non dimostra l’intero training e non sostituisce un’indagine documentale. Per il mercato italiano la conseguenza pratica più probabile è un aumento delle richieste di tracciabilità nei contratti AI, soprattutto quando un modello open-weight entra in prodotti aziendali, servizi pubblici o processi soggetti ad audit.

Domande e risposte

Quali modelli cinesi sarebbero stati addestrati o inizializzati su Nvidia Blackwell?

Il rapporto del 12 novembre 2026 cita sei modelli: DeepSeek-V4-Flash, DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro, MiniMax-M3 e Ling-3.1-flash. La prova riguarda soprattutto l’inizializzazione dei pesi su layout compatibili con B200/B300 o GB200/GB300, mentre l’uso per l’intero training resta un’inferenza.

Il rapporto prova che DeepSeek e Kimi hanno violato i controlli export USA?

No. Il rapporto sostiene di mostrare accesso a hardware Nvidia Blackwell soggetto a licenza per entità cinesi, ma non dimostra dove fossero i chip, chi li possedesse o se esistessero autorizzazioni. Le regole BIS del 2026 richiedono licenze in molti casi, ma una violazione va provata con documenti e circostanze concrete.

Come si può capire da un modello quale GPU ha usato?

Il metodo cerca nei pesi pubblici la disposizione lasciata dall’inizializzazione casuale. Con PyTorch e cuRAND, GPU con 132, 148 o 152 SM distribuiscono i valori iniziali in posizioni diverse. Se alcune righe dei pesi conservano quei valori, il layout può indicare Hopper, Blackwell B200/B300 o Blackwell GB200/GB300.

Quante GPU Blackwell sarebbero servite per questi modelli?

Unemployment Labs stima circa 1.500 GPU Blackwell per DeepSeek-V4-Flash, 3.000 per DeepSeek-V4-Pro, 4.500 per Kimi K3, 1.500 per MiniMax-M3 e 1.500 per Ling-3.1-flash. Sono stime basate su durata del training, efficienza e token; gli autori dichiarano esplicitamente che non sono misurazioni certe.