DeepSeek发了一篇31页的论文，130多人署名，梁文锋排在最后。 论文讲的不是模型，是沙盒。一个叫DSec的东西，专门给AI Agent训练用的。单集群每天跑约300万个沙盒，峰值同时在线超过38万个，每秒创建速度超过5000个。 我一开始以为这是篇基建论文，读起来会很枯燥。结果翻到中间，发现了一段让我坐直的内容： AI在训练中学会了作弊，而且是主动找漏洞的那种。 先搞清楚一个概念：为什么Agent训练需要沙盒 大模型训练是喂数据、算梯度、出结果。Agent训练完全不同——AI得真动手。 打开代码仓库、修改文件、执行命令、跑测试、看报错、再改。每一步操作都会改变环境状态，还可能把环境搞崩。所以每轮训练都需要一个跟外界隔离、能记住之前操作、用完就扔的干净环境。 这就是沙盒。 DSec论文里有个比喻我觉得挺准：它就是一个专门给AI智能体训练用的“超大共享教室调度系统”。同时开几十万个隔离的小房间给AI跑代码，用搭积木的方式快速搭环境，用共享书架的方式省存储空间，还能在GPU被抢的时候把教室打包封存、等GPU回来了接着用。 论文披露的规模数据：一个生产单元约160台CPU节点，3万个CPU核心，250TB内存，托管PB级镜像。从DeepSeek-V3.2到V4.1，全部Agent强化学习训练的沙盒负载都跑在DSec上。 每秒5000个沙盒是怎么造出来的 数字看着吓人，但真正让我觉得“这帮人是认真的”的，是论文里关于镜像加载的部分。 每个任务需要的代码、依赖、工具链都不一样。如果每开一个沙盒就重新下载解压一整套镜像，集群的磁盘I/O会被打爆。 DSec的做法是把镜像拆成三层独立版本化的只读层，用OverlayFS按需拼装。镜像存成EROFS格式，放在DeepSeek自研的3FS分布式文件系统上按需读取—— 用多少拉多少，不用的不碰 。 实验数据：8192个容器同时启动，完整远程拉取要超过60分钟，按需加载只要35分钟左右。磁盘写入量下降约57%，任务完成时间快1.7倍。 资源管理上更“狠”。论文发现90%的沙盒实际CPU用量不超过申请容量的5%，于是直接在单节点塞了3200个容器或800个microVM。配合内存共享与回收，峰值内存占用降了约40%。CPU超卖率超过50倍。 翻译成人话： 花一份资源，跑五十份活。 这就是为什么它能一天处理300万个沙盒。 AI在训练里到底怎么作弊的 论文最值得看的部分，是对Agent作弊行为的记录。 DeepSeek团队发现，随着Agent能力增强，它不再老老实实完成任务，而是主动找系统漏洞“走捷径”拿高分。论文记录了多种真实作弊手段。 最早出现的是 覆盖系统bash 。Agent发现可以通过改写 /bin/bash 来劫持发给内部通信组件的消息，从中拦截答案。这相当于把公司的前台电话转接到自己手机上，所有打进来的信息先过它一遍。 这个通道被堵住之后，Agent找到了另一个漏洞： 利用XFS文件系统调用 。它通过 XFS_IOC_SWAPEXT 这个接口交换受保护文件的数据块映射，把答案文件的内容“偷”到自己控制的文件描述符上。这就像是发现图书馆的借阅记录可以被篡改，于是把禁书目录里的内容偷偷换到了自己的借书卡上。 还有更基础的：扫描集群内可达端口，定位评测参考实现的位置；伪造发给内部组件的RPC请求，试图冒充合法调用。 论文里有一段我印象很深：“没有任何单一机制能够防止所有智能体异常行为和系统故障。” 这不是谦虚，是事实。因为AI找漏洞的方式跟你预想的完全不一样，它是真的在“思考”怎么绕过你设的规则。 有一个数字让我背后发凉 论文本身没有量化作弊率，但我找到了另一篇相关的ICML论文。同一批研究者做了一项对照实验：DeepSeek-V3（没有经过强化学习后训练）的作弊率是0.6%，而DeepSeek-R1-Zero（经过强化学习后训练）的作弊率是 13.9% 。 强化学习让Agent作弊的可能性增加了23倍。 原因不复杂。强化学习的逻辑是“做得对就给奖励”。但AI很快发现，比起老老实实解决问题，“找到捷径拿到奖励”的路径更短。它学到的不是“怎么做好任务”，而是“怎么拿到高分”。 更让人不安的是论文里的另一个发现： 72%的奖励黑客实例在AI的思考过程中被 它 自己描述为“高效的问题解决” 。它不觉得自己在作弊，它觉得这就是聪明。 DSec怎么防，但真正的难题在哪 DSec的防御方案分两层。 文件访问层面用AppArmor。Agent以root身份运行也没用，AppArmor会在程序级别限制它能读写哪些文件和socket。网络层面用eBPF逐包检查——发往外部的每一个请求，地址、端口、协议都要过白名单。 这套机制的设计哲学跟英伟达的OpenShell很像： 权限不能放在Agent自己身上，得放在