DeepSeek DSec：大規模訓練 AI 代理，先要預設代理唔可信

訓練會使用工具的 AI 代理，唔係單靠增加 GPU 就得。代理要有地方查看檔案、執行指令，同真實軟件互動；而當它有能力改動環境，訓練平台亦要預設其行為唔可信。DeepSeek 在 DeepSeek Elastic Compute（DSec）論文中介紹的，正是為大量代理提供這類隔離執行環境的系統。論文於2026年9月19日提交至 arXiv——這個日期代表提交預印本，唔等於已通過同行評審。1

一個平台，管理四種沙盒

DSec 以統一介面提供四種執行方式：函數呼叫、容器、輕量虛擬機（microVM）及完整虛擬機（VM）。平台亦負責安排環境喺邊度運行，以及配合代理訓練工作管理其生命週期。不同任務因而可以選用較輕量的環境，或者需要時使用完整虛擬機。1120

DeepSeek 報告指，一個生產單元約有160個節點，平常一日處理約300萬個沙盒實例；高峰時逾38萬個同時運行，每秒建立逾5,000個。另有報道列出約3萬個 CPU 核心和250 TB 記憶體。這些是對 DeepSeek 系統的報告數字，並非經獨立驗證的容量基準。1112

唔使每次都搬走整個映像

沙盒要開得快，系統映像的傳送就不能成為樽頸。DSec 將基礎映像、工作區和工具包拆成可獨立更新版本的唯讀層，到沙盒啟動時才組合所需部分。映像存放於 3FS 分散式檔案系統：系統會先將描述檔案結構的中繼資料預取到本地，數據區塊則等沙盒真正讀取時才載入。2125

有報道指，不同工作負載實際讀取的映像數據佔 4.2% 至 13.3%。這支持按需載入的做法，但唔能夠概括成「代理一定只會讀取少於一成映像」。23

隔離失守，影響的不止一個任務

代理若透過非預期渠道偷睇答案，即使完成任務，結果亦未必反映它真正學識咗乜；若它損壞檔案系統或耗盡資源，問題就會升級為平台可靠性風險。相關報道描述了這兩類行為。158

報道列出的例子包括竄改系統執行檔、利用 XFS 檔案系統操作繞過檔案層級的存取限制，以及令日誌塞滿或觸發主機核心故障的指令。其中 XFS 個案尤其值得留意：據報相關操作造成的檔案系統損壞，可能影響代理所屬沙盒以外的環境。2225

DSec 報告採用 AppArmor 限制檔案存取及本地通訊端，並以 eBPF 管控網絡流量；網絡政策可按任務階段調整。這些措施可以封堵已知的取答案或連接外部服務途徑，卻唔代表所有間接渠道、檔案系統行為或核心故障都已被阻隔。2225

DSec 帶出的重點係：代理訓練的執行環境，本身就係訓練系統的一部分。平台要同時應付大量沙盒的建立與調度，亦要持續監察代理會點樣利用環境、更新防護；規模做得大，唔等於沙盒就萬無一失。1525