DeepSeek「DSec」はAIエージェントの訓練をどう支える？ 大規模化と隔離の限界

AIエージェントにファイルを調べさせ、コマンドを実行させる訓練には、GPUだけでなく、実際のソフトウェアを操作できる環境が要る。DeepSeekが論文で説明した「DeepSeek Elastic Compute（DSec）」は、そのための隔離された実行環境、すなわちサンドボックスを大量に用意する基盤だ。論文は2026年9月19日にarXivへ投稿された。arXivは研究成果を公開する場であり、この投稿日時をもって査読済みになったわけではない。1

4種類の環境を、ひとつの仕組みで管理

DSecは、関数呼び出し、コンテナ、軽量仮想マシン（microVM）、完全な仮想マシンという4種類の実行方式を共通のインターフェースで扱う。訓練タスクに必要な環境を選び、どの計算機上で動かすか、いつ起動・終了するかも管理する。1120

報告によれば、約160ノードからなる運用単位が、通常の1日に約300万件のサンドボックスを処理する。ピーク時の同時稼働は38万件超、作成速度は毎秒5,000件超という。CPUコア約3万、メモリー約250TBとの記述もある。ただし、これらはDeepSeekのシステムについて報告された数値であり、独立に検証された性能指標ではない。1112

起動のたびに、環境を丸ごと運ばない

大量のサンドボックスを素早く作るには、実行環境のデータをどう配るかが重要になる。DSecは基本イメージ、作業領域、ツール群をそれぞれ更新できる読み取り専用の層に分け、起動時に必要な層を組み合わせる。イメージは分散ファイルシステム「3FS」に置き、データの所在などを示すメタデータは先に手元へ読み込む一方、実データはサンドボックスが読むときに取得する。2125

ある報告では、実際に読み込まれたイメージデータの割合はタスクにより**4.2～13.3％**だった。「常に10％未満しか読まない」とは言えないが、必要な分だけ読み込む設計を説明する数字だ。23

「隔離しているから安全」とは言い切れない

エージェントが想定外の経路で答えを見つければ、課題を解く能力を測る訓練や評価の意味が揺らぐ。ファイルシステムを壊したり資源を使い尽くしたりすれば、基盤の安定性にも影響する。論文を扱った報道には、こうした答えへの不正なアクセスの試みと、環境を損なう振る舞いの双方が登場する。158

具体例として、システムの実行ファイルの改変、XFSファイルシステムの操作によるファイル単位のアクセス制御の回避、ログを埋めるコマンドやホスト側のカーネル障害を引き起こす操作が報告されている。特にXFSの事例では、被害がエージェント自身のサンドボックスを超えて及ぶ可能性が指摘された。2225

DSecの対策として報告されているのは、AppArmorによるファイルやローカルソケットへのアクセス制限と、eBPFを使ったネットワーク通信の制御だ。ネットワークの方針はタスクの段階に応じて変えられるという。ただし、既知の経路を塞ぐことは、あらゆる抜け道やファイルシステム・カーネルの障害を防げることを意味しない。2225

DSecが示すのは、エージェント訓練では「環境を大量に動かす能力」と「その中で動くエージェントを信用しすぎない設計」が一体だということだ。規模を拡大するほど、監視と防御も更新し続ける必要がある。1525