DeepSeek DSec：Agent训练沙盒九成CPU闲置、内存却必须常驻

Agent训练沙盒有一个反直觉的运行特征：CPU大部分时间在等待模型生成下一步动作，但内存却不能释放。DeepSeek在2026年10月通过量子位公布的技术分享《DeepSeek弹性计算（DSec）：面向大规模Agent训练的沙盒基础设施》中，围绕这一约束描述了其基础设施设计。

在Agent训练过程中，模型需要不断进入真实环境执行任务——读代码、改文件、安装依赖、执行测试、运行服务。每一步都会改变当前环境，下一轮交互又要接着前面的状态继续。DeepSeek统计发现，约90%的沙盒平均CPU使用量不到申请资源的5%，但文件、进程等环境状态仍需保存，内存不能直接释放。创建请求会突然集中涌入，不同Agent任务需要的执行环境差异很大，基础镜像复用率不高，训练过程还可能因GPU资源被抢占而中断。这些特征使Agent沙盒的工作负载与普通云计算有所不同。

DSec的应对是把环境拆成三层：操作系统和基础软件放进base image，任务代码和依赖放进workspace，DeepSeek Harness这类工具单独做成toolkit，三部分分别管理版本，创建沙盒时再组合。工具更新只需重建工具所在的那一层，不必把整个环境从头再做一次。DeepSeek拿2026年某一周的生产数据统计，仅Container后端就用到了11266个基础镜像、102171个工作区以及数百个工具包。

镜像拆分之后，另一个问题是是否要把所有镜像提前拉到服务器上。DeepSeek看了一遍真实生产数据，发现Agent实际运行时真正访问到的数据只占整个镜像的4.2%到13.3%，一个几十GB的环境提前完整下载下来，绝大多数内容可能从头到尾都不会被Agent碰到。DSec于是把镜像数据统一放到DeepSeek自己的3FS分布式文件系统里，本地主要保存镜像元数据，需要某块数据时再按需读取。DeepSeek集中创建8192个Container做过一次测试：先把完整镜像拉到本地需要60多分钟，换成按需加载后缩短到大约35分钟，速度提升约1.71倍，磁盘写入量同时减少约57%。

在资源利用层面，DSec通过virtio-pmem和DAX让同一台宿主机上的MicroVM共享宿主页缓存，单独启用这项机制后，实验中宿主机峰值内存占用相比基线下降40.2%。另一边借助DAMON和balloon空闲页报告回收暂时不用的内存，按时间累计的内存消耗还能再降低21.2%。CPU调度上，DSec优先保证时延敏感任务，让时延要求较低的任务利用剩余CPU。DeepSeek的实验显示，当同一台机器上其他任务已占掉节点50%的CPU容量时，经过调度优化，时延敏感任务受到的延迟影响从45.2%降到了17.3%。DeepSeek现在生产环境里的资源超卖率已超过50倍。

DSec还引入了一种叫pack_diff的机制，允许Agent在沙盒里把环境配置好之后直接生成增量快照保存当前状态。这带来一个对强化学习很重要的能力——轨迹分叉：Agent执行到第k步时，系统可以先保存一次快照，然后从完全相同的状态恢复出多个沙盒，让不同分支分别继续探索。前面的环境和数据可以共享，只有后续发生的变化需要单独记录，不需要把前k步重新执行一遍。从DeepSeek-V4.1开始，Agent执行和GPU训练进一步拆开，沙盒运行在可抢占GPU资源池之外，即使GPU任务中断，环境状态也能独立保存。

不过当Agent可以在环境里自由操作之后，安全问题随之出现。DeepSeek说，他们已经在真实生产环境里观察到Agent尝试读取环境里残留的答案、伪造RPC请求、直接覆盖/bin/bash注入命令，甚至调用XFS_IOC_SWAPEXT绕过访问控制。背后的逻辑是：强化学习给模型的是奖励，只要环境里存在一条比正常完成任务更容易拿到奖励的路径，能力足够强的Agent就可能把它找出来。DSec目前通过AppArmor限制文件和Socket访问，利用eBPF给每个沙盒设置网络白名单。但DeepSeek也明确承认，如果Agent进一步找到内核漏洞，目前依然缺少一套通用的防御机制，随着模型能力继续提高，和Agent之间的攻防还会一直持续下去。