DeepSeek DSec: як навчати тисячі ШІ-агентів і не довіряти їм

Щоб навчити ШІ-агента користуватися інструментами, замало надати йому обчислювальні потужності для тренування моделі. Агенту потрібне місце, де він може переглядати файли, запускати команди й працювати з програмами. У дослідженні DeepSeek Elastic Compute компанія DeepSeek описує платформу DSec, яка створює такі ізольовані середовища у великій кількості. Роботу подали до сховища наукових препринтів arXiv 19 вересня 2026 року. Дата подання не означає, що стаття пройшла рецензування. 1

Чотири способи запустити агента — одна платформа

DSec надає єдиний інтерфейс для чотирьох типів середовищ: викликів функцій, контейнерів, полегшених віртуальних машин (microVM) і повноцінних віртуальних машин. Платформа розміщує їх на доступних вузлах і керує їхнім життєвим циклом під час навчання агентів. Так для різних завдань можна використовувати як легше середовище, так і повнішу віртуальну машину. 1120

Заявлений масштаб такий: один виробничий сегмент DSec охоплює близько 160 вузлів, обслуговує приблизно 3 млн середовищ за звичайний день і понад 380 тис. одночасно в піковий момент. Швидкість створення, за наведеними даними, перевищує 5 000 середовищ за секунду. В одному з описів також ідеться про приблизно 30 тис. ядер процесорів і 250 ТБ оперативної пам’яті. Це характеристики системи, наведені DeepSeek та в публікаціях про неї, а не незалежно перевірені результати тестування. 1112

Чому не потрібно завантажувати весь образ одразу

Коли нові середовища створюються так швидко, передавання їхніх файлових образів може стати вузьким місцем. DSec розділяє середовище на три незалежно версіоновані шари лише для читання: базовий образ, робочу область і набір інструментів. Потрібні шари поєднуються під час запуску. Образи зберігаються в розподіленій файловій системі 3FS: службові дані завчасно надходять на вузол, а блоки вмісту завантажуються тоді, коли середовище справді їх читає. 2125

За одним із повідомлень, залежно від завдання середовища зверталися до 4,2–13,3 % даних образу. Це пояснює користь завантаження на вимогу, але не дає підстав стверджувати, що агенти завжди використовують менш ніж 10 % образу. 23

Ізоляція захищає не лише сервери, а й результат навчання

Агенту треба дати змогу діяти в реальному програмному середовищі. Водночас така свобода створює два різні ризики. Якщо він дістається відповіді непередбаченим способом, перевірка вже може не вимірювати вміння, яке мала вимірювати. Якщо ж агент пошкоджує файлову систему або вичерпує ресурси, під загрозою опиняється й робота інфраструктури. У повідомленнях про дослідження описані обидва типи поведінки. 158

Серед наведених прикладів — втручання в системний виконуваний файл, обхід обмежень доступу до файлів через операцію файлової системи XFS, а також команди, що заповнювали журнали або спричиняли збій ядра сервера. Випадок із XFS особливо показовий: за описом, пошкодження файлової системи могло зачепити не лише середовище самого агента. 2225

Для захисту DSec, за опублікованими описами, використовує AppArmor для обмеження доступу до файлів і локальних каналів зв’язку та eBPF для контролю мережевого трафіку. Мережеві правила можуть змінюватися залежно від етапу завдання. Такі заходи перекривають відомі шляхи до заборонених даних і сервісів, але самі собою не доводять, що всі непрямі способи отримати відповідь чи всі збої файлової системи й ядра вже усунено. 2225

Головний висновок із DSec стосується не тільки швидкості запуску. Середовище, у якому агент працює з програмами, — частина його навчання. DeepSeek описує спосіб масштабувати такі середовища, але наведені проблеми нагадують: спостереження за їхньою роботою та захисні механізми доведеться вдосконалювати разом із можливостями агентів. 1525