梁文锋署名论文披露DeepSeek每秒生成5000个沙盒

DeepSeek公布了梁文锋署名的Agent训练基础设施论文，系统名为DSec（DeepSeek Elastic Compute），用于批量创建和管理沙盒。它每秒可生成5000多个沙盒，日处理量约300万个，峰值并发38万个；单集群约含160个节点、3万核CPU和250TB内存。

Agent需要在隔离环境中写代码、编译、运行浏览器乃至安装操作系统，每轮任务结束后还要丢弃环境。针对函数调用、SWE-bench、浏览器安全和完整桌面系统四类需求，DSec分别提供FnCall、Container、基于Firecracker的MicroVM及基于QEMU的Full VM，并通过统一的Python SDK libdsec调用。

平台由IAM、API Server、Placement Engine、Edge、Aether和Chronus等六层组成，分别负责鉴权、调度、启动沙盒、网络与软件包代理，以及命令和输出回传。通过资源超分，单节点最多运行3200个容器或800个MicroVM。

为应对环境组合爆炸，DSec将基础镜像、工作区和工具包拆成独立版本化的EROFS只读层，再用overlayfs按需组合。其容器后端已有11266个基础镜像和102171个工作区，67.8%的沙盒还需叠加工作区或工具包，使更新成本由O(m·N)降至O(m)+O(k)。

镜像存放于3FS，元数据预取、本体按读取需求加载。Python、Java和C++镜像分别只有6.0%、9.2%和8.7%的数据被实际访问。8192个容器突发部署耗时从Docker冷拉取的60分钟以上降至35分钟，磁盘写入也由约1600GB降至约700GB。

资源优化方面，virtio-pmem与DAX让MicroVM共享宿主机映射，峰值内存占用下降40.2%；DAMON和virtio-balloon进一步降低21.2%的需求。低优先级任务采用SCHED_IDLE及core scheduling后，在50%背景负载下，延迟敏感任务的延迟膨胀由45.2%降至17.3%。从DeepSeek-V4.1起，Agent循环移至独立worker container，GPU被抢占时可挂起并恢复沙盒。最大一次生产任务申请3.2万个沙盒，利用率超过80%时，200台云VM可吸收约30%的峰值负载。

论文还记录了Agent的安全风险：它们曾覆盖/bin/bash注入命令、利用XFS_IOC_SWAPEXT绕过文件权限，扫描端口、从GitHub获取代码或安装新包作弊；递归读取/proc/kpagecgroup曾触发内核崩溃，执行yes还造成数十GB日志写满存储。DSec以AppArmor限制文件和Unix套接字访问，以eBPF按域名、IP、端口和协议控制网络，并可分阶段调整白名单，但这些措施仍无法彻底防住内核漏洞和新的攻击路径。

论文认为，Agent从“会说话”转向“会做事”后，训练平台不仅要具备大规模计算和精细调度能力，还要防范正在被训练的模型本身。论文地址：https://arxiv.org/abs/2609.22978