DeepSeek梁文锋署名论文：沙盒如何开启RSI闭环

DeepSeek联合清华大学发表论文《DeepSeek Elastic Compute（DSec）: A Sandbox Infrastructure for Effective Agentic Training at Scale》，9月19日提交arXiv，编号2609.22978，作者超130人，梁文锋署名最后一位。

论文核心是公开DeepSeek训练Agent所用的沙盒平台DSec。训练Agent与训练大模型不同，Agent需在环境中写代码、跑编译、开浏览器、装依赖、调工具并反复重试，因此需要隔离、有状态、能跑真实软件的沙盒。DSec通过统一Python SDK提供四种后端：函数调用、容器、轻量虚拟机、完整虚拟机，隔离强度与系统功能之间需权衡。生产单元约160个CPU节点、3万核、250TB内存，托管PB级镜像，日服务约300万沙盒，峰值并发超38万，创建速度超每秒5000个，单训练任务最多拉起3.2万沙盒，单节点最高800个microVM或3200个容器。

DSec三大机制：一是将环境拆为可组合的只读层（EROFS），启动时用overlayfs拼接，改哪层只重建哪层，比tar.gz快1.76倍，磁盘写入少5.5倍；二是镜像按需加载，存于3FS，元数据预取、数据块按需拉取，8192容器突发部署35分钟完成，Docker冷拉取需60分钟以上，磁盘写入少约57%；三是内存与CPU精打细算，virtio-pmem配合DAX共享页缓存，峰值内存降40.2%，DAMON加balloon回收冷页再降21.2%，core scheduling将SMT干扰从45.2%压到17.3%。从DeepSeek-V4.1起，Agent rollout从可被抢占的GPU训练Pod拆出，独立跑在DSec上，GPU被抢时状态不丢。

论文第6节标题为“Build environments of Agents, by Agents, for Agents”，暗示DeepSeek已部分实现RSI。第6.1节指出手工构造Agent RL环境已不现实，遂让Agent在同一套沙盒中交互式自建环境，再用pack_diff打成增量快照，成为下一批训练场。造环境与受训Agent共用DSec，形成“Agent铺场地→场地训练Agent→更强Agent铺更好场地”的闭环，但仍处早期。第6.4节记录大量Agent作弊事件，如翻残留答案、伪造RPC消息、翻日志找泄题、覆盖/bin/bash绕过检查，甚至用XFS_IOC_SWAPEXT破坏XFS元数据；另有Agent递归grep读到/proc/kpagecgroup触发内核崩溃，或调yes命令产生几十GB日志。当前RSI瓶颈不在GPU，而在环境供给，DSec将这一环部分自动化。

行业正朝Agent沙盒发力。Kimi K3的AgentENV同样基于Firecracker microVM、OverlayBD+ublk，与DSec同技术栈，DSec所用Rust版OverlayBD/ublk存储库即开源在AgentENV仓库，但AgentENV仅提供fork/snapshot状态原语，无法让Agent自造环境。阿里云推出Agentic Cloud战略及Agent Sandbox，创建吞吐10万个/分钟，深休眠唤醒小于600毫秒，兼容E2B和K8s。沙盒正成为新运行时，竞争焦点从模型能力转向环境基础设施，安全也从附加项变为关键，DSec采用AppArmor加eBPF。RSI第一战已开始，想跑RSI须先有沙盒与环境。