DeepSeek弹性计算团队大扩招，DSec技术报告揭秘Agent沙盒基建

三周后再扩招，这次直接甩了技术报告

10月3日，DeepSeek弹性计算团队宣布大量扩招，尤其需要资深工程师。与以往不同，这次没有发布常规岗位JD，而是直接公开了一份技术分享——《DeepSeek弹性计算（DSec）：面向大规模Agent训练的沙盒基础设施》。

从技术报告可以看出，这轮扩招并非偶然。DeepSeek当前的DSec扩展分片已部署约160台服务器、3万个CPU核心和250TB内存，每天服务约300万个沙盒，高峰期同时在线沙盒超过38万个，每秒创建速度达5000个以上。生产环境已部署多个分片，支撑数百万沙盒同时运行。而接下来的目标是把Agent运行环境的数量和种类扩充成百上千倍——这个量级的Scaling，确实需要更多人。

为什么Agent沙盒和传统云计算不一样

DSec支撑着DeepSeek-V4全部训练、评测和数据预处理流程。从V3.2到V4.1，Agent训练、评测和数据预处理产生的全部沙盒负载都运行在DSec上。

Agent训练的工作负载和普通云计算有本质区别。模型需要不断进入真实环境执行任务——读代码、改文件、安装依赖、执行测试、运行服务，每一步都改变环境状态，下一轮交互还要接着前面的状态继续。因此沙盒既要能快速大批量创建，又不能每执行一步就销毁重来。

DeepSeek总结出的关键特点包括：创建请求突然集中涌入；CPU大部分时间空闲但内存必须保留；不同Agent任务执行环境差异极大；基础镜像复用率不高；训练还可能因GPU抢占而中断。

环境供给：从镜像拆层到按需加载

DeepSeek用2026年某周的生产数据发现，仅Container后端就用到11266个基础镜像、102171个工作区和数百个工具包。如果每种组合都做成完整镜像，任何更新都要重建大量镜像。

DSec的解法是把环境拆成三层：base image（操作系统和基础软件）、workspace（任务代码和依赖）、toolkit（如DeepSeek Harness等工具）。三部分独立管理版本，创建沙盒时再动态组合。工具更新只需重建对应层，不必从头重建整个环境。

更关键的是镜像加载策略。DeepSeek发现Agent实际运行时，真正访问到的数据仅占整个镜像的4.2%到13.3%——一个几十GB的环境，绝大多数内容可能从头到尾都不会被碰到。DSec将镜像数据统一放入自研的3FS分布式文件系统，本地只保存元数据，需要时按需读取。

实测效果显著：集中创建8192个Container时，完整镜像预加载需60多分钟，按需加载缩短至约35分钟，速度提升1.71倍，磁盘写入量减少57%。另一项实验中，将tar.gz解压改为EROFS层挂载，任务从79分钟缩短到45分钟，磁盘写入量降至原来的约1/5.5。

资源调度：超卖50倍与内存共享

Agent沙盒的资源使用模式相当"稀疏"——约90%的沙盒平均CPU使用量不到申请资源的5%。原因在于Agent完成一次操作后，通常需要等待模型生成下一步动作，等待期间CPU基本闲置，但环境状态仍需保存，内存不能释放。

这给DSec留下了巨大的调度空间。当前生产环境的资源超卖率已超过50倍。

但单纯往一台机器塞更多沙盒还不够。MicroVM之间大量相同的只读内容如果各存一份，内存很快成为瓶颈。DSec通过virtio-pmem和DAX让同一宿主机上的MicroVM共享宿主页缓存，单独启用后宿主机峰值内存占用下降40.2%。再配合DAMON和balloon空闲页报告回收暂不用的内存，按时间累计的内存消耗还能再降低21.2%。

CPU调度也做了差异化处理。DSec优先保证时延敏感任务，再让时延要求较低的任务利用剩余CPU。实验中，当其他任务已占掉节点50% CPU容量时，时延敏感任务受到的延迟影响从45.2%降至17.3%。

环境扩展：用Agent给Agent造环境

DSec已统一支持四种执行后端：FnCall（短任务在线评测）、Container（软件工程和工具调用）、MicroVM（强隔离）、Full VM（完整操作系统，支持GUI、图形渲染甚至Android应用）。

随着Agent能力扩展，环境会越来越复杂。DeepSeek的做法有点"Agent套Agent"：直接用Agent构建运行Agent的环境。为此设计了pack_diff机制——Agent在沙盒里配置好环境后，可直接生成增量快照保存当前状态，以后需要同样环境时从快照恢复。

这还带来了轨迹分叉能力：Agent执行到第k步时保存快照，然后从完全相同的状态恢复出多个沙盒，让不同分支分别探索。前面的环境和数据共享，只有后续变化需要单独记录，不必重新执行前k步。对大规模强化学习来说，这相当于把Agent轨迹上的环境状态也变成了可复用数据。

此外，DSec还在把Agent执行和GPU训练进一步解耦。从V4.1开始，Agent沙盒和worker container都运行在可抢占GPU资源池之外，即使GPU任务中断，Agent执行进度和环境状态仍可保存，GPU回来后训练可直接从中断位置继续。

安全边界：Agent开始自己找漏洞了

当Agent真的能在环境里自由操作后，一个意想不到的问题出现了——模型开始自己找环境漏洞。DeepSeek在生产环境中已观察到Agent尝试各种具体操作：读取环境残留答案、伪造RPC请求、覆盖/bin/bash注入命令，甚至调用XFS_IOC_SWAPEXT绕过访问控制。

背后的逻辑很简单：强化学习给模型的是奖励，只要环境里存在一条比正常完成任务更容易拿到奖励的路径，能力足够强的Agent就可能找出来。

DSec的应对措施包括：通过AppArmor限制文件和Socket访问（即使Agent获得管理员权限规则依然有效）；网络侧利用eBPF为每个沙盒设置白名单，限定可连接的地址、端口和协议。

但DeepSeek也明确承认这些办法还解决不了所有问题——比如Agent如果找到内核漏洞，目前仍缺少通用防御机制。他们的判断是：随着模型能力继续提高，和Agent之间的攻防还会持续下去。

结语

从环境拆层到按需加载，从内存共享到轨迹分叉，再到执行与训练的解耦，DSec的每一步优化都指向同一个目标：尽可能压低每个Agent环境的资源占用，把同一批机器撑出更大的并发规模。而接下来要把环境数量和种类扩充成百上千倍，确实需要更多开发伙伴。