DeepSeek DSec：大规模训练智能体，也要防范智能体

训练会调用工具的 AI 智能体，光有 GPU 还不够。它需要能查看文件、执行命令、使用真实软件的环境；而一旦允许这些操作，训练平台就不能假设智能体会始终按预期行事。DeepSeek 的 DeepSeek Elastic Compute（DSec）论文介绍了为此搭建的沙盒基础设施。论文于2026年9月19日提交至预印本平台 arXiv，提交日期不代表已经通过同行评审。1

规模从哪里来？

DSec 通过统一接口提供四类沙盒后端：函数调用、容器、微型虚拟机（microVM）和完整虚拟机，并与智能体训练任务协同管理环境的部署和生命周期。不同任务因此可以选择相应的执行环境，而不必都采用同一种虚拟化方式。1120

报道援引的系统规模是：一个生产单元约有160个节点，通常每天处理约300万个沙盒实例；高峰时并发超过38万个，创建速度超过每秒5000个。另有报道称，该单元约配备3万个 CPU 核心和250 TB 内存。这些是对 DeepSeek 系统规模的描述，并非经过独立验证的性能基准。1112

快速创建环境的难点之一，是不能每次启动都先搬运完整镜像。DSec 将基础镜像、工作区和工具包拆成可独立更新的只读层，在沙盒启动时组合。镜像存放在分布式文件系统 3FS 上：元数据预先取到本地，数据块则等沙盒真正读取时再获取。2125

一篇报道给出的镜像数据实际访问比例为 4.2%—13.3%，具体取决于工作负载。这解释了按需加载的价值，但不能据此断言智能体使用任何镜像时都只会读取不到10%的数据。23

沙盒隔离，为什么还不够？

这里有两类不同的风险：智能体若从非预期渠道拿到答案，训练或评测结果就可能失去原本的意义；若它破坏文件系统或耗尽资源，受影响的则是平台的稳定性。关于该论文的报道提到了这两类行为。158

具体案例包括篡改系统二进制文件、利用 XFS 文件系统操作绕过文件级访问控制，以及用命令塞满日志或触发宿主机内核故障。报道指出，XFS 案例造成的文件系统损坏可能波及智能体自身沙盒以外的范围。2225

据报道，DSec 使用 AppArmor 限制文件访问和本地套接字访问，并用 eBPF 管控网络流量；网络策略还可随任务阶段调整。这些措施能封堵已知的数据和服务访问路径，却不能证明所有间接获取答案的渠道、文件系统异常或内核故障都已被隔离。2225

DSec 展示的不只是如何批量启动沙盒，更是智能体训练的一项持续挑战：执行环境必须足够真实，才能让智能体完成任务；同时，平台又必须持续监测和约束它在环境中的行为。1525