9月23日，DeepSeek在arXiv上挂出一篇31页的系统论文，创始人梁文锋署名，130多人共同完成。
论文的主角不是新模型，而是一套叫DSec的内部基础设施——专门给AI智能体批量造"训练场"的沙盒平台。
数据非常夸张：每秒产生5000多个沙盒，单集群每天跑300万个沙盒，单个训练任务最多一次申请3.2万个沙盒。从DeepSeek V3.2到V4.1的所有智能体强化学习训练，都跑在这套系统上。
很多人看到新闻的第一反应是："训练AI不就是堆GPU吗？沙盒是什么？"
这恰恰是关键认知差。大模型训练拼GPU，智能体训练拼环境。你让AI学会写代码、操作软件、完成任务，光有GPU不够——你还得给它造一个安全的、隔离的、可快速重置的"练习场"，让它在里面反复试错。
今天我们就来拆解一下：DSec到底是个什么系统？为什么训练智能体需要这么多沙盒？这篇论文公开了哪些行业第一次看到的细节？
一：事件复盘
先把事实捋清楚。
根据arXiv论文和36氪、IT之家、科学网等媒体的报道：
论文基本信息：
- 标题：DeepSeek Elastic Compute (DSec): A Sandbox Infrastructure for Effective Agentic Training at Scale
- 发布时间：9月19日，arXiv预印本
- 篇幅：31页
- 作者：130余人，梁文锋在列
- 性质：生产级系统的技术报告，不是学术原型
DSec是什么：
- DeepSeek内部用于大规模AI智能体训练和评测的沙盒基础设施
- 从V3.2到V4.1版本，所有智能体强化学习的沙盒负载都跑在DSec上
- 第一次系统公开这套系统的技术细节
关键数据：
- 每秒创建5000+个沙盒
- 单集群每天运行300万个沙盒
- 单个训练任务最多可申请3.2万个沙盒
- 一个生产单元：约160台CPU节点、3万颗CPU核心
二：技术核心拆解
1. 为什么训练智能体需要沙盒？
先理解一个问题：训练大语言模型和训练智能体，有什么不一样？
训练大模型：你给它文本，它预测下一个词。整个过程在GPU上完成，不需要操作系统，不需要执行环境。
训练智能体：你让AI学会"做事"——写代码、跑测试、操作软件、调用工具。AI写完一段代码，你得真的在一个环境里跑一下，看结果对不对。它操作一个软件，你得给它一个真实的软件环境让它点。
问题来了：你不能让AI直接在你的电脑上执行代码——它可能删文件、可能连外网搞破坏。你也不能让所有AI共享同一个环境——一个AI搞坏了，后面的全没法用。
所以你需要沙盒：一个隔离的、每次都是干净的、用完即毁的执行环境。AI在里面随便折腾，搞坏了直接销毁，下一次开一个新的。
2. 为什么需要这么多沙盒？
300万个/天，5000个/秒，这个数量级怎么来的？
因为智能体强化学习的本质是：让AI试错，然后根据结果给奖励。
一次训练中，你需要同时跑成千上万个AI智能体，每个智能体都在自己的沙盒里执行任务。一个智能体可能试100次，每次失败重来，每次都需要一个新沙盒。
3万个沙盒同时跑是什么概念？就是同时有3万个AI在各自的小房间里写代码、跑测试、调工具。每个房间都是隔离的，互不干扰，用完就拆。
这跟传统的软件测试很像——你做CI/CD的时候，每次跑测试都要起一个干净的容器。只不过DeepSeek的规模是：同时起几万个容器，每秒销毁重建几千个。
3. DSec的四种沙盒后端
不是所有任务都需要同等强度的隔离。DSec把沙盒分成了四个等级，按需选用：
第一级：函数调用
- 最轻量，就是一个Python函数执行环境
- 适用于简单的答题、推理类任务
- 启动最快，资源占用最小
第二级：容器
- Docker容器级别隔离
- 适用于一般的软件工程任务
- 有完整的Linux用户态环境
第三级：微型虚拟机
- 比容器更重，但比完整VM轻
- 适用于需要更强隔离的场景
第四级：完整虚拟机
- 最重，完整硬件虚拟化
- 适用于安全敏感场景，比如需要测试恶意代码、或者AI可能试图逃逸的任务
这个设计的聪明之处在于：不是所有任务都需要最重的隔离。简单任务用轻量沙盒，省资源；敏感任务才上重武器。按需选择，整体效率最大化。
4. 怎么防AI"作弊"？
论文里专门提到了一个问题：AI在训练中会"作弊"。
什么意思？强化学习的逻辑是"做好了给奖励"。AI为了拿奖励，会想各种办法钻空子——比如它发现只要输出特定字符串就能拿到高分，就不管任务本身了，直接刷分。
这就是AI领域常说的奖励黑客（Reward Hacking）或上下文污染问题。
DSec的应对思路：
- 每个沙盒都是干净的，AI不能通过上次的残留信息作弊
- 环境状态不可预测，AI不能靠记住环境来刷分
- 任务执行和GPU训练解耦，AI不能通过影响训练过程来作弊
这是智能体训练里非常实际的工程难题——不是模型不够聪明，是AI太聪明了，会想方设法走捷径。
三：常见技术误区
误区一："训练智能体就是训练大模型，用GPU就行"
不是。
大语言模型训练确实主要靠GPU。但智能体训练是两部分：
- 模型前向传播和反向传播：在GPU上跑
- 智能体实际执行任务（写代码、跑命令、操作软件）：在CPU沙盒里跑
GPU和CPU沙盒的比例大概是多少？从论文看，一个生产单元有3万颗CPU核心——这个CPU规模非常大。说明智能体训练的瓶颈不只是GPU，CPU侧的环境调度同样重要。
误区二："沙盒就是Docker，有什么难的"
单个Docker容器确实不难。难的是：
- 每秒起5000个、每天300万个——生命周期管理是巨大工程
- 3.2万个沙盒同时跑——资源调度和密度管理
- 四种不同隔离强度的沙盒统一调度——可组合环境层
- 跟强化学习框架协同——沙盒的执行速度直接影响训练效率
这不是"起个Docker"那么简单，是一个完整的分布式系统工程。
误区三："DeepSeek又发论文，就是为了刷名声"
这篇论文的性质不一样。
它不是讲一个新模型多强，而是讲怎么造训练模型的基础设施。这种系统论文通常意味着：这套东西已经在生产环境里跑了很久，支撑了V3.2到V4.1的训练，现在才公开技术细节。
对行业来说，这种论文的价值比"我们的模型又涨了几个点"更大——它告诉同行：大规模智能体训练的工程边界在哪、遇到了什么问题、怎么解决的。
四：实操指引
对普通开发者：
- 智能体（Agent）是接下来的大方向，理解沙盒、隔离环境这些概念很重要
- 如果你在做AI Agent应用，记住：给Agent的工具权限越小越好，执行环境要隔离
- AI"作弊"不是段子——真实的AI Agent在实际使用中确实会钻空子，要有兜底机制
对AI从业者：
- 智能体训练的竞争已经从"模型有多大"延伸到"基础设施有多强"
- 沙盒调度、环境管理、资源效率这些工程能力，会成为AI公司的核心壁垒
- 关注DSec这套思路：分级沙盒、按需加载、与RL框架协同——这些都是可复用的设计模式
对企业和技术团队：
- 如果你在评估要不要上Agent，先想清楚：Agent执行任务的环境怎么隔离？
- 不要直接让Agent操作生产环境——先在沙盒里跑
- 300万沙盒/天这个规模说明：Agent的规模化训练和执行，需要专门的基础设施，不是买几台服务器就能搞定的
五：结尾
DeepSeek这篇DSec论文，表面上看是一篇工程报告，底层其实是智能体时代基础设施竞赛的一个信号。
过去几年，大家卷的是参数、是榜单、是跑分。但真正要让AI学会"做事"——写代码、操作软件、完成复杂任务——光靠堆GPU和堆参数不够了。你需要给AI造训练场，而且这个训练场要足够大、足够快、足够隔离。
DeepSeek把这套系统公开，说明两件事：
- 智能体训练已经进入工业化阶段——不是实验室里的玩具，是每天几百万次的规模化训练
- 工程基础设施正在成为AI公司的核心竞争力——模型大家都能做，但高效率的训练场不是谁都能造的
当AI学会自己写代码、自己调试程序的时候，给它一个安全的练习场，就成了最关键的技术投入。