Аудиторы разоблачили 7,7 ТБ «весов Anthropic» по 192 млн совпадений

7,7 ТБ файлов, правдоподобная архитектура, аккуратные шардированные веса и тысячи скачиваний — всё это выглядело как большая утечка Anthropic. Но внутри не оказалось обученной модели. Числа были детерминированно сгенерированы из имён тензоров, а значит, огромный чекпоинт можно было собрать без обучения и без доступа к инфраструктуре компании.

Это не просто забавная мистификация. Перед нами хороший стресс-тест для привычного способа оценивать чужие модели: посмотреть на размер файлов, конфигурацию, хеши и решить, что артефакт настоящий. Для разработчика вывод неприятный, но полезный: правдоподобная упаковка подтверждает лишь то, что автор умеет делать правдоподобную упаковку.

Как семь терабайт превратились в генератор случайных чисел

Репозиторий burner22/numbat на Hugging Face представлялся чекпоинтом внутреннего прогона Anthropic: около 14 трлн параметров, 114 слоёв, гибрид GDN/MLA, смесь из 1 224 экспертов и четырёхбитные веса. Арифметика сходилась, структура файлов выглядела последовательно, а контрольные суммы совпадали с опубликованным индексом.

Разгадка оказалась почти издевательски простой. Исследователь брал имя тензора, вычислял SHA-256, использовал первые восемь байт как seed для NumPy PCG64 и генерировал массив нормальных случайных чисел нужной формы. После масштабирования и округления получались значения, совпадающие с содержимым файлов.

На понятном примере это работает так. Допустим, в модели есть матрица с именем model.layers.42.mlp.weight. Её имя превращают в хеш, из хеша получают число для запуска генератора, а генератор каждый раз создаёт одну и ту же последовательность. Любой человек с тем же рецептом восстановит те же «веса» — обучение здесь вообще не участвует.

Сначала рецепт проверили на 43 полных тензорах: совпали все 730 368 значений. Затем аудит расширили на четырёхбитные матрицы и получили 162 246 496 совпадений знаков из 162 246 496. Финальная проверка охватила весь набор файлов и, по данным опубликованного аудита, подтвердила тот же механизм примерно на 192 млн знаков FP4. Такой результат практически исключает случайное совпадение: обученные веса не воспроизводятся целиком из названия массива.

Почему хеши не спасли

SHA-256 отвечал здесь не на тот вопрос, который ему приписали наблюдатели. Контрольная сумма может показать, что скачанный файл совпадает с файлом автора. Она не доказывает, что файл получен в результате обучения, принадлежит Anthropic или вообще содержит работающую модель.

То же относится к размеру и внутренней согласованности. Можно создать терабайты корректно упакованных данных, подобрать реалистичные формы матриц и составить убедительную конфигурацию. Чем лучше автор знает устройство современных LLM, тем убедительнее будет декорация. Даже кодовое имя numbat могло быть настоящим: его ранее находили в утёкших исходниках Claude Code. Но реальное имя проекта не превращает случайные числа в реальный чекпоинт.

У проверки есть и ограничение. Совпадение генератора доказывает искусственное происхождение опубликованных весов, но само по себе не объясняет мотив автора и не подтверждает остальные истории вокруг названия numbat. Anthropic публично не подтвердила происхождение репозитория, поэтому связывать его с компанией сверх использованного бренда оснований нет.

Что делать разработчику и продукту

Полностью скачивать 7,7 ТБ не обязательно. Для первичной проверки достаточно взять один шард, выбрать крупную матрицу, повторить заявленный рецепт и сравнить хотя бы знаки миллионов значений. Если совпадение систематическое, перед вами выход генератора, а не результат обучения.

Для моделей, от которых зависит продукт, нужен более строгий минимум: подпись издателя, проверяемая история публикации, документация обучения, независимые тесты поведения и понятная цепочка поставки. Не запускайте неизвестные файлы и пользовательский код из репозитория только ради проверки — анализ формата весов должен проходить изолированно.

Главный урок этой истории шире одного фейка. Размер, красивые метаданные и совпадающие хеши создают ощущение доказательства, но доказывают лишь согласованность артефакта с самим собой. Подлинность начинается там, где независимый исследователь может проверить происхождение и получить объяснимый результат.