기술 보고서난이도 어려움출처 한 곳뿐Unemployment Labs · 11월 12일(목) 공개

AI 모델 파일에 남은 GPU 지문을 읽는 체크포인트 포렌식

공개된 AI 모델 파일에 남은 초기값 흔적으로 첫 값을 만든 GPU 계열을 가려내는 방법을 내놓았다. 중국 4개 회사의 모델 6개가 엔비디아 블랙웰과 맞았다고 보고했다.

쉽게 말하면비유하자면 여러 사람이 번호표 순서대로 돌아가며 빈칸에 숫자를 적는 일이다. 적을 숫자 목록이 같아도 사람 수가 다르면 같은 숫자가 다른 칸에 들어간다. 저자는 완성된 모델에 남은 숫자의 자리를 보고 몇 명이 적었는지를 거꾸로 셌다. 그 사람 수가 칩 계열마다 다르다. 다만 실제로는 학습이 숫자 대부분을 고쳐 써서, 흔적이 희미하게만 남은 곳이 많다.

예를 들면: 원문 사례다. 저자는 딥시크의 시드를 953049583으로 찾아냈다. 이 시드로 H100 칩에서 초기값을 만들자 DeepSeek-V3에 보존된 값 57,344개가 비트 단위까지 똑같이 나왔다. 블랙웰 B300에서는 V4-Flash의 선택한 469행 가운데 461행이 재현됐다. 칩을 서로 바꾸면 맞지 않았다.
왜 봐야 하나: 모델 파일을 공개하면 그 모델을 만든 장비의 단서도 함께 나간다는 뜻이다. AI 칩 수출 통제 논쟁에 공개 파일에서 출발한 기술 증거가 나왔다. 동시에 그 증거가 말해 주는 범위가 좁다는 점을 함께 봐야 뉴스를 바르게 읽을 수 있다.

알아낸 것

딥시크·문샷 AI·미니맥스·앤트그룹이 2026년 4월 이후 공개한 모델 가운데 6개가 블랙웰의 자리 배열(처리 단위 148개 또는 152개)과 맞았다. 각 회사의 그 앞 모델은 앞 세대 호퍼(132개)와 맞았다.
개발사가 학습 장비를 직접 밝힌 24건에서 판독 결과가 공개 내용과 어긋난 적이 없었다. 다만 저자는 서로 관련된 모델이 섞여 있어 정확도 측정이 아니라 일관성 점검이라고 적었다.
약 6조 가지 시드·자리 배열 조합을 뒤질 때 우연히 나올 수 있는 최고치는 약 8시그마다. 6개 모델에서 가장 강한 증거는 49~1,385시그마였고, 보고한 개별 검정 가운데 가장 약한 것도 20시그마였다.
알리바바·즈푸·텐센트·샤오미·스텝펀은 판독할 수 있었던 가장 최근 모델이 호퍼로 읽혔다. 저자는 모든 중국 연구소가 블랙웰로 넘어간 것은 아니라고 적었다.

한계와 주의할 점

소규모 독립 연구 그룹 Unemployment Labs가 자기 사이트에 올린 보고서로, 저자 표기는 1인이다. 동료 심사(학술지·학회 심사)를 거쳤다는 표기는 없다. 재현 스크립트와 시험 결과는 요청한 검토자에게 제공한다고만 적었다. 11월 12일자 개정에서 GPU 수 추정치를 한 차례 고쳤다.
지문은 초기값을 만든 칩만 가리킨다. 학습 전체가 그 칩에서 돌았는지, 칩이 어디에 있었는지, 누가 소유했는지, 어떻게 접근했는지, 수출 통제를 어겼는지는 밝히지 못한다고 저자가 직접 적었다. 블랙웰은 중국 밖 데이터센터에서 빌려 쓸 수도 있다.
특수하게 설정한 AMD MI300X도 같은 자리 배열을 낸다. 저자는 DeepSeek-V4-Flash에서만 이 가능성을 배제했고, 나머지 5개는 가능성이 '매우 낮다'고 판단했을 뿐이다. 가중치를 공개하지 않은 모델, 바이두 패들패들처럼 칩에 따라 달라지는 흔적을 남기지 않는 도구로 초기값을 만든 모델, CPU로 초기값을 만든 모델에는 이 방법을 쓸 수 없다.

용어 풀이

가중치(weights): 모델이 답을 만들 때 쓰는 수십억 개의 조절 가능한 숫자다. 학습은 이 숫자를 조금씩 고쳐 가는 과정이다.
시드(seed): 난수 생성기에 넣는 출발 숫자다. 시드와 설정이 같으면 언제나 같은 숫자열이 나온다.
스트리밍 멀티프로세서(SM): GPU 안의 처리 단위다. 호퍼 계열은 132개, 블랙웰 B200·B300은 148개, GB200·GB300은 152개여서 이 수가 칩 계열을 가르는 단서가 된다.
시그마(σ): 결과가 우연한 흔들림에서 얼마나 멀리 떨어져 있는지 재는 단위(표준편차)다. 클수록 우연으로 설명하기 어렵다.

더 깊이 읽기 읽는 데 약 4분

무엇이 문제였나

엔비디아의 블랙웰(Blackwell) 계열 GPU는 호퍼(Hopper)보다 뒤 세대 칩으로, 중국으로 수출하려면 미국 정부 허가가 필요하다. 보고서는 허가가 났다는 보고가 없다고 적었다. 미국 당국자와 언론은 딥시크와 문샷 AI가 블랙웰을 쓴다고 주장해 왔지만, 그 근거가 되는 기술 증거는 공개된 적이 없었다.

저자는 유출 자료나 내부자 증언 없이 이 물음을 따져 보려 했다. 재료는 각 회사가 스스로 공개한 모델 파일, 곧 가중치(weights)뿐이다. 가중치는 모델이 답을 만들 때 쓰는 수십억 개의 숫자다. 이 숫자들 속에 모델을 처음 만든 기계의 흔적이 남는지가 출발점이었다.

어떻게 했나

학습을 시작하려면 가중치에 첫 값을 채워야 한다. 파이토치(PyTorch)라는 소프트웨어는 이 값을 필록스(Philox)라는 난수 생성 알고리즘으로 만든다. 출발 숫자인 시드(seed)가 같으면 언제나 같은 숫자열이 나온다. GPU는 이 일을 스레드라는 일꾼 여럿에게 나눠 맡기고, 일꾼들은 순서대로 돌아가며 칸을 채운다. 일꾼 수는 칩의 처리 단위(SM) 수로 정해진다. 호퍼 계열은 SM이 132개, 블랙웰 B200·B300은 148개, GB200·GB300은 152개다. 그래서 시드가 같아도 칩 계열이 다르면 같은 숫자가 다른 자리에 놓인다. 이 자리 배열이 칩 계열의 지문이다.

학습 뒤에도 흔적은 남는다. 학습 중에 한 번도 나오지 않은 단어나 기호에 딸린 가중치는 첫 값을 거의 그대로 지닌다. 고쳐진 가중치에도 희미한 닮음이 남았다. DeepSeek-V4-Flash의 42개 층에서 블랙웰의 자리 배열로 견주면, 첫 값이 클수록 최종 값도 조금 큰 경향이 있었다. 그 정도를 나타내는 상관계수는 0.066(1이면 완전히 일치)으로 작았지만 57시그마였고, 호퍼의 자리 배열로 견주면 관계가 사라졌다. 저자는 시드와 스레드 수 후보를 바꿔 가며 가장 잘 맞는 조합을 찾았다. 그 뒤 탐색에 쓰지 않은 다른 가중치로 다시 확인했다.

결과와 숫자의 뜻

DeepSeek-V4-Flash와 MiniMax-M3는 148개짜리 자리 배열과 맞았다. DeepSeek-V4-Pro, Kimi K3, Kimi K3.1-Pro, Ling-3.1-flash는 152개짜리 자리 배열과 맞았다. 각 회사의 그 앞 모델인 DeepSeek-V3, Kimi K2.5, MiniMax-M2.7, Ling-3.0-flash는 모두 132개, 곧 호퍼로 읽혔다. Kimi K3.1-Pro는 K3와 시드가 같아, 저자는 K3를 더 학습시킨 모델일 수 있다고 본다.

이 일치가 우연일 가능성도 따졌다. 조합을 약 6조 가지나 시험하면 엉뚱한 조합도 우연히 맞아 보일 수 있다. 그렇게 나올 수 있는 최고치가 약 8시그마인데, 모델마다 가장 강한 증거는 49~1,385시그마였다. 다만 이 계산은 저자의 통계 모형이 맞다는 전제 위에 있다. 실제 칩으로도 확인했다. 수정하지 않은 파이토치를 돌리자 H100은 V3의 보존값만, B300은 V4-Flash의 보존값만 재현했다. 시드를 1만 바꿔도 맞는 행이 없었다. 빌린 GB200에서는 Kimi K3의 보존된 13행이 모두 재현됐다. 블랙웰로 읽힌 6개 가운데 실제 블랙웰 칩으로 확인한 것은 V4-Flash와 Kimi K3 두 모델뿐이다.

GPU 수 추정은 따로 봐야 한다

보고서는 학습 규모도 어림했다. 5개 학습에 블랙웰 GPU가 합쳐 약 12,000개, 범위로는 7,000~22,000개가 들었을 것이라고 본다. 가장 큰 Kimi K3는 약 4,500개로 70일쯤 걸렸다고 추정했다. 첫 판의 수치는 11월 12일 개정에서 더 큰 값으로 고쳐졌다.

그러나 저자 스스로 이 추정에 확신이 없다고 적었다. GPU를 얼마나 효율 있게 썼는지, 학습 기간이 얼마였는지는 어느 회사도 밝히지 않았기 때문이다. 기간 가정을 절반으로 줄이면 GPU 수는 두 배가 된다. 초기값을 만든 장비에서 학습까지 했다는 가정도 깔려 있다. 딥시크를 뺀 모델의 학습 데이터 양은 저자가 아직 공개하지 않은 방법으로 어림한 값이다.

쓸모와 주의할 점

이 방법은 공개된 파일만으로 장비의 단서를 찾는다는 점에서 쓸모가 있다. 그러나 말할 수 있는 범위는 좁다. 지문이 가리키는 것은 초기값을 만든 칩이다. 다른 기계에서 값을 만들어 옮겼거나, 기존 모델을 새 장비에서 이어 학습했을 가능성을 가중치만으로는 배제하지 못한다. 칩이 어디에 있었는지, 누가 가졌는지, 수출 통제를 어겼는지도 알 수 없다고 저자는 적었다.

다른 칩이 같은 지문을 낼 가능성도 남아 있다. AMD MI300X를 처리 단위 152개나 148개만 쓰도록 설정하면 같은 자리 배열이 나온다는 것을 저자가 실제 칩에서 확인했다. 두 회사의 계산이 미세하게 다른 값 377개를 따져 보니 V4-Flash는 363개가 엔비디아 쪽과 맞았고 AMD 쪽과 맞는 값은 없었다. 나머지 5개 모델은 이 검사로 가리지 못했다. 저자가 결론에서 '확정적'이라고 쓴 모델은 V4-Flash 하나다.

원문에서 확인한 근거 5곳

중국 4개 회사의 모델 6개는 블랙웰의 자리 배열(SM 148개 또는 152개), 각 회사의 그 앞 모델은 호퍼의 자리 배열(132개)과 맞는다.Main Findings 절, Table 1, Appendix 1의 연구소별 표
SM 수가 스레드 수를 정하고, 스레드 수가 초기값이 놓이는 자리를 바꾼다. 보존된 값과 학습된 값 모두에서 이 자리 배열을 되찾을 수 있다.Our investigation 절, Figure 1~6 설명문
H100, B300, 빌린 GB200 실제 칩에서 DeepSeek-V3, V4-Flash, Kimi K3의 보존값을 재현했고, 하드웨어가 공개된 24건과 판독이 일치했다.Verifying our findings 절, Appendix 2 표와 머리말
우연한 일치의 기준은 약 8시그마이고, 6개 모델의 가장 강한 증거는 49~1,385시그마다.Main Findings 절, Verifying our findings 절의 통계 설명
지문은 초기화에 쓴 칩만 가리키며 위치·소유·수출 통제 위반은 밝히지 못한다. AMD 대안은 V4-Flash에서만 배제됐다.Limits of our investigation 절, Executive Summary, Conclusion

출처원문 — Unemployment Labs

11월 13일(금) 11:31 정리 · AI가 쓰고 원문과 대조

AI 목록