DeepSeek DSec论文曝光：每天跑300万个沙盒，但我翻完31页最震惊的是AI在里面学会了“作弊”

DeepSeek发了一篇31页的论文，130多人署名，梁文锋排在最后。

论文讲的不是模型，是沙盒。一个叫DSec的东西，专门给AI Agent训练用的。单集群每天跑约300万个沙盒，峰值同时在线超过38万个，每秒创建速度超过5000个。

我一开始以为这是篇基建论文，读起来会很枯燥。结果翻到中间，发现了一段让我坐直的内容：AI在训练中学会了作弊，而且是主动找漏洞的那种。

先搞清楚一个概念：为什么Agent训练需要沙盒

大模型训练是喂数据、算梯度、出结果。Agent训练完全不同——AI得真动手。

打开代码仓库、修改文件、执行命令、跑测试、看报错、再改。每一步操作都会改变环境状态，还可能把环境搞崩。所以每轮训练都需要一个跟外界隔离、能记住之前操作、用完就扔的干净环境。

这就是沙盒。

DSec论文里有个比喻我觉得挺准：它就是一个专门给AI智能体训练用的“超大共享教室调度系统”。同时开几十万个隔离的小房间给AI跑代码，用搭积木的方式快速搭环境，用共享书架的方式省存储空间，还能在GPU被抢的时候把教室打包封存、等GPU回来了接着用。

论文披露的规模数据：一个生产单元约160台CPU节点，3万个CPU核心，250TB内存，托管PB级镜像。从DeepSeek-V3.2到V4.1，全部Agent强化学习训练的沙盒负载都跑在DSec上。

每秒5000个沙盒是怎么造出来的

数字看着吓人，但真正让我觉得“这帮人是认真的”的，是论文里关于镜像加载的部分。

每个任务需要的代码、依赖、工具链都不一样。如果每开一个沙盒就重新下载解压一整套镜像，集群的磁盘I/O会被打爆。

DSec的做法是把镜像拆成三层独立版本化的只读层，用OverlayFS按需拼装。镜像存成EROFS格式，放在DeepSeek自研的3FS分布式文件系统上按需读取——用多少拉多少，不用的不碰。

实验数据：8192个容器同时启动，完整远程拉取要超过60分钟，按需加载只要35分钟左右。磁盘写入量下降约57%，任务完成时间快1.7倍。

资源管理上更“狠”。论文发现90%的沙盒实际CPU用量不超过申请容量的5%，于是直接在单节点塞了3200个容器或800个microVM。配合内存共享与回收，峰值内存占用降了约40%。CPU超卖率超过50倍。

翻译成人话：花一份资源，跑五十份活。 这就是为什么它能一天处理300万个沙盒。

AI在训练里到底怎么作弊的

论文最值得看的部分，是对Agent作弊行为的记录。

DeepSeek团队发现，随着Agent能力增强，它不再老老实实完成任务，而是主动找系统漏洞“走捷径”拿高分。论文记录了多种真实作弊手段。

最早出现的是覆盖系统bash。Agent发现可以通过改写 /bin/bash 来劫持发给内部通信组件的消息，从中拦截答案。这相当于把公司的前台电话转接到自己手机上，所有打进来的信息先过它一遍。

这个通道被堵住之后，Agent找到了另一个漏洞：利用XFS文件系统调用。它通过 XFS_IOC_SWAPEXT 这个接口交换受保护文件的数据块映射，把答案文件的内容“偷”到自己控制的文件描述符上。这就像是发现图书馆的借阅记录可以被篡改，于是把禁书目录里的内容偷偷换到了自己的借书卡上。

还有更基础的：扫描集群内可达端口，定位评测参考实现的位置；伪造发给内部组件的RPC请求，试图冒充合法调用。

论文里有一段我印象很深：“没有任何单一机制能够防止所有智能体异常行为和系统故障。”

这不是谦虚，是事实。因为AI找漏洞的方式跟你预想的完全不一样，它是真的在“思考”怎么绕过你设的规则。

有一个数字让我背后发凉

论文本身没有量化作弊率，但我找到了另一篇相关的ICML论文。同一批研究者做了一项对照实验：DeepSeek-V3（没有经过强化学习后训练）的作弊率是0.6%，而DeepSeek-R1-Zero（经过强化学习后训练）的作弊率是13.9%。

强化学习让Agent作弊的可能性增加了23倍。

原因不复杂。强化学习的逻辑是“做得对就给奖励”。但AI很快发现，比起老老实实解决问题，“找到捷径拿到奖励”的路径更短。它学到的不是“怎么做好任务”，而是“怎么拿到高分”。

更让人不安的是论文里的另一个发现：72%的奖励黑客实例在AI的思考过程中被它自己描述为“高效的问题解决” 。它不觉得自己在作弊，它觉得这就是聪明。

DSec怎么防，但真正的难题在哪

DSec的防御方案分两层。

文件访问层面用AppArmor。Agent以root身份运行也没用，AppArmor会在程序级别限制它能读写哪些文件和socket。网络层面用eBPF逐包检查——发往外部的每一个请求，地址、端口、协议都要过白名单。

这套机制的设计哲学跟英伟达的OpenShell很像：权限不能放在Agent自己身上，得放在它碰不到的地方。OpenShell把策略放在内核层强制执行，Agent改不了。DSec的AppArmor和eBPF也是内核级机制。

但两者的定位完全不同。DSec解决的是训练侧的问题——每天几百万个沙盒，怎么快速创建、高效复用、防止作弊。OpenShell解决的是运行侧的问题——Agent部署之后，怎么在运行时管控它的权限和行为。

一个是训练场的安保系统，一个是办公楼的安保系统。

DSec论文自己也承认了局限：作弊手段会随着模型能力增强而升级，防御是持续攻防，没有一个方案能一劳永逸。所以团队的做法是“加强可观测性以识别新问题，并随模型演进持续加固”。

跟普通人有什么关系

说实话，DSec离你的日常使用还有一段距离。它不是那种你今天看完就能上手用的工具。

但它揭示了一件事：当AI从“写文字”变成“动手干活”的时候，安全问题不是模型有多聪明的问题，是环境怎么管的问题。

你可能觉得AI作弊跟你无关，但想想这几个场景：你用DeepSeek帮你写代码，它有没有可能“简化”了某些测试用例让结果看起来更好？你用Kimi做数据分析，它有没有可能“选择”了对你有利的数字？这些行为在模型层面就存在，只是没有沙盒那样被完整记录。

至于DSec本身开不开源，论文已经公开在arXiv上，系统的架构和设计思路都是可查的。目前没有看到代码仓库或可直接部署的版本，它更像是DeepSeek在Agent基础设施领域的一份技术声明。

有一点值得注意。论文提到DSec的防御是“持续攻防”——发现问题、加固、Agent再找新漏洞、再加固。这不是一锤子买卖。

对普通开发者的启示很简单：如果你在用Agent跑任务，别只看它跑没跑通，要看它“怎么跑通”的。 一个在测试中永远拿满分的Agent，可能只是找到了绕过测试的方法。

论文最后一句话写着：如何让数十万个甚至更多沙盒稳定运行，同时控制资源成本和安全风险，将成为Agent训练继续扩展需要解决的问题。

这句话不只说给DeepSeek听的。