DeepSeek DSec：智能体训练拼的是沙盒
DeepSeek 公开智能体训练用的沙盒平台 DSec：单个生产单元约 160 个节点，每天约 300 万个沙盒，并发 38 万个以上，每秒创建 5,000 个以上。它用一套接口提供四种后端——无状态函数调用、容器、微虚拟机、完整虚拟机——按任务的隔离要求分档，并与强化学习框架协同设计，把有状态的推演和可被抢占的 GPU 训练拆开。训练环境第一次被一家实验室当成一等工程对象完整写出来。
编辑标为重要，发布已满 30 天，从立即关注降到这一档。
本页目录11 节
记录
信号正文
#它解决的问题
大模型训练的环境是 GPU 集群：喂数据、算梯度。智能体训练不一样。智能体要在沙盒里读仓库、写代码、跑编译、开浏览器，每执行一步都改变环境状态，随时可能把环境搞坏——所以每一轮都要一个干净的新沙盒，用完即弃。
论文把这类负载的特点概括为四条：沙盒成批爆发式创建；功能和隔离要求差异很大；在长交互中要保留状态；镜像数量多而复用少。结论是它需要的是一个弹性执行平台，而不是一个沙盒运行时。量子位的一句转述更直接：大模型训练拼算力，智能体训练拼环境。
规模
据论文，单个生产单元约 160 个节点（量子位称约 3 万核 CPU、250TB 内存），每天服务约 300 万个沙盒；生产中支撑 38 万个以上并发沙盒，持续每秒创建 5,000 个以上。
四种后端，一个接口
- 函数调用：无状态，跑完拿输出，适合刷题类任务，连文件系统都不用持久化。
- 容器：完整的 Linux 用户态，适合 SWE-bench 这类要装依赖、改代码、跑测试的任务。
- 微虚拟机（Firecracker）：安全攻防和操作电脑的任务。容器级隔离不够——有漏洞的智能体可能顺手把宿主机搞挂。
- 完整虚拟机（QEMU）：训练操作商业软件的智能体，需要带图形界面和驱动的完整 Windows 或 macOS。
隔离强度和资源开销逐级递增，训练框架看到的却是同一个 Python SDK：创建沙盒、执行命令、取结果，调用方式完全相同。
与训练协同设计
论文强调 DSec 与强化学习框架是一起设计的：有状态的推演执行与可被抢占的 GPU 训练解耦，沙盒的生命周期与训练协调，以免训练被抢占时丢掉推演状态。环境由独立版本化的层组合而成，镜像数据按需从集群级分布式文件系统 3FS 读取；内存共享、回收与 CPU 调度一起支撑高密度的超售。
为什么放在这里
本站记录过 OpenAI 那次事件的三层：起点是一次强化学习训练，训练中的智能体从制品库一路走到外部。那些故事的起点都是训练环境。DSec 是另一家实验室把训练环境当成一等工程对象、完整公开写出来——按任务分档的隔离强度、专门用于攻防任务的微虚拟机，正是对「有漏洞的智能体会碰到宿主机」的工程回答。
需要说明的是：这是一份系统报告，所有规模数字都是作者对自己平台的描述。论文 31 页、131 位作者，梁文锋署名；它扩展自一篇进入过 ACM SIGOPS ATC 2026 操作系统轨道首轮评审的两页摘要。本条由量子位的报道带入，正文数字以 arXiv 上的原文为准。
为什么是现在
为什么重要
#智能体能力越来越多地来自强化学习，而强化学习的数据来自智能体在环境里的动作。环境的规模、隔离强度和可复现性因此直接决定能训练出什么——也决定训练中的智能体能碰到什么。这是第一份把这一层完整公开的系统报告。
背景
技术背景
#容器共享宿主内核，隔离弱但启动快；微虚拟机（如 Firecracker）有独立内核，隔离更强、启动仍在百毫秒级；完整虚拟机能跑任意操作系统与图形界面，但开销最大。强化学习里的推演（rollout）是智能体在环境中执行并收集轨迹的阶段，它有状态、耗 CPU；而梯度更新在 GPU 上，可以被调度器抢占，两者的生命周期天然不同。
关注人群
谁该关注
#下一步
学习路径
#- 先读本站的 OpenAI 攻击时间线：训练中的智能体是怎样一路走出沙盒的
- 把你自己的智能体任务按「需要什么隔离」分成几档，对照 DSec 的四种后端
- 读《智能体安全与提示注入防御》：沙盒是模型决定越界时物理上阻止它的那一层
- 看 Cloudflare Computer 那条：同一个问题在产品侧的答案——框架在隔离环境里，容器按需接入
关系网络
在技术网络中的位置
#当前技术与相邻技术、技能和背景知识的连接，点击节点可继续探索。
延伸思考
后续问题
#- 你的智能体任务需要哪一档隔离，现在用的是哪一档？
- 训练或评测中的智能体如果决定越界，物理上是什么在阻止它？
- 推演状态在训练被抢占时会不会丢，丢了之后结果还能复现吗？
发布记录
收录于
#收录这条信号的技术简报，新的在前；最后一行是它那一周的周回顾。标签是它在那一期所在的栏目。
来源参考