딥시크⁠·⁠키미 등 AI 6종서 블랙웰 흔적, 초기값에서 찾았다

독립 연구자 윌 드퓨가 딥시크 V4와 키미 K3 등 중국 기업 네 곳이 공개한 AI 모델 여섯 종에서 엔비디아 블랙웰 GPU와 일치하는 수치 패턴을 찾았다고 11월 12일 밝혔다. 연구는 학습을 시작할 때 모델에 채운 숫자 가운데 공개 파일에 남은 값을 비교했다. 드퓨가 운영하는 언임플로이먼트 랩스의 보고서는 이 결과를 초기화 장비의 단서로 제시했다. 실제로 어느 나라에서 사용됐는지, 학습 전 과정에 같은 칩이 쓰였는지, 수출 규정 위반이 있었는지는 공개 파일로 확인할 수 없다.

이 분석으로 모델 파일을 검토하는 연구자들은 제조사나 개발사가 장비 세부를 공개하지 않은 경우에도, 일부 모델의 시작값이 어느 종류의 칩 배치와 맞는지 비교할 수 있게 됐다. 후속 검증에 쓸 자료도 공개됐다. 드퓨의 저장소는 보고서에 담긴 블랙웰 후보 여섯 종 가운데 네 종과 이전 세대의 딥시크 V3를 확인할 수 있는 코드와 일부 가중치를 제공한다. 전체 모델을 새로 학습하는 과정은 필요하지 않다.

공개 가중치에 남은 초기값

가중치는 AI 모델이 입력을 받아 답을 계산할 때 쓰는 숫자다. 학습이 진행되면 많은 값이 바뀐다. 한편 모델이 처리할 수 있는 문자나 기호 가운데 학습에 등장하지 않은 항목이 있다. 그런 항목에 대응하는 숫자 행에는 시작값이 남을 수 있다. 드퓨는 그 행에 남은 패턴을 찾아 이미 알려진 칩에서 얻는 결과와 비교했다. 이용자가 챗봇에 질의해 얻는 응답과 달리, 분석 대상은 모델 개발사가 배포한 수치 파일이다.

파이토치는 난수를 만드는 출발값인 시드를 지정할 수 있다. 조사 대상 초기화에서는 GPU가 여러 작업 단위로 계산을 나누면서 생성된 숫자를 가중치의 여러 위치에 배치한다. 드퓨는 동시에 처리하는 단위의 구성이 달라지면 같은 시드에서도 결과가 놓이는 위치가 달라질 수 있다는 점에 주목했다. 드퓨의 분석은 후보를 고를 때 쓰는 숫자와 그 후보를 검사할 때 쓰는 숫자를 따로 뒀다. 한쪽에서만 우연히 비슷해진 패턴을 다른 부분으로도 확인하기 위해서다.

보고서에서 딥시크 V4 플래시와 미니맥스 M3는 B200·B300 계열에서 볼 수 있는 배치와 일치했다. 딥시크 V4 프로, 문샷 AI의 키미 K3와 K3.1 프로, 앤트그룹의 링 3.1 플래시는 GB200·GB300 계열의 배치와 맞았다. 비교 대상으로 든 딥시크 V3는 앞선 호퍼 세대의 패턴을 보였다. 호퍼의 여러 칩이 같은 배치를 가지므로 그 결과로는 V3의 칩 제품명을 하나로 좁힐 수 없다.

실제 칩을 쓴 연구진의 시험에서는 B300에서 생성한 딥시크 V4 플래시의 445개 행이 공개 파일의 값과 비트 단위까지 일치했다. 전체 비교 대상은 469개 행이었다. 같은 조건에서 H100을 사용하면 V4 플래시의 그 행들이 재현되지 않았다. 반대로 H100은 딥시크 V3에서 초기값을 유지한 행을 재현했다. 드퓨의 공개 저장소에는 두 칩의 시험 결과와 별도로 GB200에서 키미 K3의 선택된 13개 행을 비교한 결과가 있다.

독립 재검사가 확인한 범위

크리스 폰 체팔바이(Chris von Csefalvay)는 별도 구현의 결과를 공개했다. 그는 공개 파일에서 받은 딥시크 V3, 딥시크 V4 플래시, 키미 K3의 가중치 일부를 비교해 같은 초기화 배치를 찾았다. 후보를 정하는 데 쓰지 않은 수치에 대해서도 계산한 결과가 공개 값에 가깝게 맞았고, 시드를 바꾼 비교에서는 일치도가 크게 낮았다. 그의 저장소는 이 비교를 일반 프로세서에서 실행했다고 설명한다. 물리 GPU에서 비트별로 대조하는 스크립트도 담겨 있으나 별도 연구자는 그 스크립트를 실행하지 않았다고 명시했다.

숫자의 배치가 맞아도 서로 다른 칩이 같은 패턴을 만들 수 있다. 드퓨는 특정 방식으로 구성한 AMD MI300X에서 블랙웰과 같은 배치가 나오는 것을 확인했다. 딥시크 V4 플래시에서는 두 회사의 칩에서 얻는 값이 미세하게 달라지는 위치를 추가로 비교해 엔비디아 쪽과 일치하는 값을 확인했다. 보고서는 같은 추가 비교로 다른 다섯 종의 칩 제조사를 확정할 수 없다고 적었다. 이 차이 때문에 여섯 모델에 관한 근거의 강도도 같지 않다.

엔비디아는 미국 증권거래위원회에 낸 7월 마감 분기 보고서에서 중국에 보낼 때 미국 허가가 필요한 제품으로 B200과 GB200 NVL72를 들었다. 공개 가중치는 칩의 소유자나 주소, 장비가 이동한 경로를 기록하지 않는다. 드퓨의 보고서는 공개 파일에서도 초기화 패턴이 뚜렷해야 분석할 수 있다고 설명했다. 같은 회사가 이후 공개한 딥시크 V4.1 플래시에서는 일치하는 패턴을 찾지 못해 해당 모델의 초기화 장비는 특정하지 못했다.