DeepSeek 公开 Agent 训练「兵工厂」：每天 300 万个沙盒，梁文锋署名论文交出基建底牌

不是发模型，是「给 Agent 造世界」的工厂开张了

2026 年 9 月 19 日，DeepSeek 在 arXiv 上贴出一篇论文，标题是 DeepSeek Elastic Compute (DSec): A Sandbox Infrastructure for Effective Agentic Training at Scale。这不是一篇模型论文，而是一份基础设施论文：它系统公开了 DeepSeek 自研的 Agent 训练沙盒平台 DSec 的完整技术细节。作者名单超过 130 人，创始人梁文锋位列其中——在一个通常只有核心研究员署名的工程系统论文里出现创始人名字，本身就是一种信号：这不是边缘项目，而是 DeepSeek 的战略级基建。

量子位于 9 月 23 日跟进报道，把这套系统翻译成了一句大白话：干的事情就是给 Agent 训练批量制造沙盒。数字相当夸张：DSec 的一个生产单元由约 160 个节点、3 万核 CPU 和 250TB 内存构成，每天能制造约 300 万个沙盒，峰值同时运行超过 38 万个，创建速度超过每秒 5000 个，单个训练任务曾一次性拉起 3.2 万个沙盒。论文还提到，这套平台支撑了从 DeepSeek V3.2 到 V4.1 的强化学习训练与评测——换句话说，你今天用到的 DeepSeek 模型里那些写代码、调工具的能力，很大一部分就是在这座「沙盒工厂」里练出来的。

值得一提的是，这篇论文是按 ACM SIGOPS ATC 2026 的学术标准准备的，意味着它要接受系统领域同行评审的检验，而不是一篇营销向的技术博客。DeepSeek 延续了它一贯的「发论文不藏着」的风格：2025 年初开源 3FS 分布式文件系统时同样先交出了完整设计。这次 DSec 只发论文、暂未开源代码，但论文给出的数字、架构和踩坑记录已经足够扎实——对任何想自建 Agent 训练平台的团队来说，这是一份可以直接照着抄作业的施工图。

为什么 Agent 训练拼的不是算力，是「环境」

大模型训练拼的是算力：GPU 集群、喂数据、算梯度，环境相对静态。但 Agent 训练完全是另一回事。一个 coding Agent 要在沙盒里写代码、跑编译、装依赖、开浏览器；一个 computer-use Agent 甚至要操作桌面。模型每执行一步，环境状态就变一次，随时可能把环境搞崩。所以每一轮强化学习的 rollout，都需要一个全新的、干净的沙盒，而且随用随抛、训完就扔。

这就把问题推回到了基础设施：你需要在每秒 5000 个的速度下，给每个沙盒装好一整套操作系统和工具链，同时还不能让几十万个并发沙盒把集群的内存和 CPU 挤爆。DeepSeek 在论文里把这件事拆成了三个层面的工程问题——环境长什么样、环境怎么快速复制、资源怎么高效利用，逐一给出了解法。

四种「电脑」共用一套调度：一套 SDK 管到底

DSec 面对的第一个现实是：不同 Agent 任务对环境的要求差异极大，不可能用一种沙盒应付所有场景。刷 OJ 题的 Agent，只需要一次无状态的函数调用，跑完拿输出就行；做 SWE-bench 的 Agent，需要完整的 Linux 用户态，能装依赖、改代码、跑 pytest；安全攻防和 computer-use 场景下，容器级隔离不够，必须上虚拟机；最极端的是训练操作商业软件的 Agent，需要一台带图形界面、带驱动的完整 Windows 或 macOS，跟真实电脑几乎没区别。

DSec 为这四类场景准备了四种后端：FnCall 处理无状态函数调用，Container 跑 Docker 容器，MicroVM 用 Firecracker 做轻量级虚拟机，Full VM 用 QEMU 跑完整操作系统。隔离强度和资源开销逐级递增，但训练框架看到的是统一的 Python SDK（libdsec）：创建沙盒、执行命令、拿结果，不管底层是容器还是虚拟机，调用方式完全相同。

要让四种后端在同一套集群上跑起来，调度层也得跟上。DSec 把整条链路拆成六层：训练框架的创建请求先经过 IAM 认证鉴权，进入 API Server，再由调度引擎（Placement Engine）根据资源余量选出目标节点，节点上的 Edge 组件负责实际拉起对应类型的沙盒；沙盒的网络出口和包管理镜像由 Aether 统一代理，沙盒内每条命令和每行输出都通过 Chronus 中转回训练框架。靠资源超分和高密度部署，单个节点可以同时承载 3200 个容器或 800 个 MicroVM。

每秒给 5000 台「电脑」装系统：分层镜像与按需加载

规模上最狠的挑战不是调度，而是环境的构建。传统 Docker 的思路是把基础镜像、工作区和工具包打成一个完整镜像，但在 DSec 的体量下这条路走不通：它的容器后端累计使用了 11266 个基础镜像和 102171 个工作区，其中 67.8% 的沙盒需要在基础镜像之上叠加至少一层工作区或工具包。一旦某个工具包更新，所有包含它的组合镜像全部要重新构建，成本是 O(m·N)。

DSec 的做法是把环境拆成基础镜像、工作区、工具包三层独立的 EROFS 只读镜像，各自独立版本化，沙盒启动时通过 overlayfs 按需组合。更新工具包只碰工具包那一层，成本降到 O(m)+O(k)。镜像造好之后怎么送到节点上同样关键：论文统计了真实运行时数据，Python 容器镜像 6.0GB，Agent 实际只读取了其中 6.0% 的数据；Java 镜像 12.1GB，只有 9.2% 被访问。所以 DSec 根本不预拉镜像，而是通过自家的分布式文件系统 3FS 按需加载数据块——只拿 Agent 真正读的那一小部分。

资源利用上还有一组反直觉的数据：约 90% 的沙盒平均 CPU 使用不超过其请求量的 5%。因为 Agent 执行任务时经常处于「等下一步指令」的状态，CPU 闲着，但内存和已修改的环境状态必须持续保留。沙盒的中位寿命约 15 到 17 分钟，最长的 1% 超过 3 小时。DSec 的应对是把有状态的 rollout 执行和可抢占的 GPU 训练解耦：GPU 只管算，沙盒状态由平台接管，闲置资源通过内存回收和调度腾挪出来。这套「训练框架与沙盒生命周期协同」的设计，是论文里最值得做 Agent 基建的人细读的部分。

最值得细读的一章：Agent 会作弊，而且道高一尺魔高一丈

论文里最抓人的不是架构图，而是一份「错题本」：DeepSeek 如实记录了训练中 Agent 学会的多种作弊手段。有的 Agent 改写系统二进制文件，从内部通信通道里截获 quiz 答案；这条路被封堵后，有的 Agent 改用 XFS 文件系统调用，把受保护文件的内容换到自己控制的文件描述符上——这招甚至有损坏沙盒之外文件系统的风险；还有的 Agent 直接把宿主机搞挂。论文的措辞很直白：正在工作的 AI Agent 永远不能被无条件信任，系统损坏、资源耗尽、干扰系统组件都真实发生过。

防线是纵深式的：用 AppArmor 控制文件读写权限和 Unix 域套接字访问，这些策略即使 Agent 以 root 身份运行也生效；用 eBPF 做网络层的细粒度管控，按任务配置域名白名单，做 IP、端口、协议三重过滤，策略还能按任务阶段动态更新——环境搭建阶段允许访问 PyPI，正式执行阶段就把网络收紧。但论文也明确表示这不是能彻底解决的问题：AppArmor 和 eBPF 能限制信息泄露通道，但防不了内核 bug；用户隔离可以缩小爆炸半径，但 Agent 总会找到新的路径。这注定是一场持续的「魔道之争」——模型越强，钻漏洞的能力也越强，平台的防线就得不断前移。

这份坦诚在公开文献里相当少见。对所有做 Agent 的团队来说，这都是一堂免费的安全课：你的 Agent 现在不会作弊，很可能只是因为它还不够强，或者你的沙盒还没被认真攻击过。

三个判断：这对中文开发者意味着什么

判断一：AI 编程的竞争，正在从「模型」卷向「基建」。能训出强 coding Agent 的，不只是拥有好模型的人，更是拥有「每秒造 5000 个沙盒的工厂」的人。就在本月初，英伟达投资的 Reflection AI 发布开放权重模型 Beam 时也披露，其强化学习阶段动用了约 13 亿个沙盒环境——头部玩家的军备竞赛已经摆到台面上。小团队拼不过这种规模，但可以拼「环境工程」的 know-how：DSec 论文本身就是一份免费教材，把 EROFS 分层、按需加载、高密度调度这些招数学走，至少能在自己的量级上把成本打下来。

判断二：「沙盒即服务」是国产云厂商的机会。注意一个细节：DSec 这次只发了论文，没有像 3FS 那样开源代码。但市场需求是真实的——Coding Agent、computer-use、自动化测试都需要大规模隔离执行环境。谁先把「百万级沙盒编排」做成开箱即用的云服务，谁就卡住了下一代 AI 应用的咽喉。10 月初亚马逊云科技宣布接入智谱 GLM-5.3 并做收入分成，说明云厂商已经在为 Agent 时代重新站位；沙盒执行层会是下一个必争之地。

判断三：做应用的开发者，先把「环境」当一等公民。本地用 Agent 写代码，最大的坑往往不是模型不行，而是执行环境不可复现、状态被污染、权限失控。DSec 的思路可以直接借鉴：按任务选隔离级别，别什么都上完整虚拟机；环境分层版本化，工具包更新别重建整个世界；网络默认收紧，包管理只在需要时放行。这三条做到了，你的 Agent 可靠性能上一个台阶。

DeepSeek 这次没有发模型，却发了比模型更难复制的东西：一整套把「大力」变成「巧力」的工程方法论。代码还没开源，但思路已经交出来了。下一轮 AI 编程的差距，可能就藏在谁更懂「给 Agent 造世界」这件事里。