9月24日、The Next Webが「DeepSeek publishes its method for training AI agents at scale」と題した記事を公開した。DeepSeekがAIエージェントを大規模にトレーニングするためのプラットフォーム「DeepSeek Elastic Compute」の技術的詳細を論文として公開したことを報じている。
1日300万サンドボックス、同時38万実行という規模
DeepSeekが9月19日にarXivに公開した論文「DeepSeek Elastic Compute」は、AIエージェントの大規模トレーニング基盤を詳述したものだ。
その規模が際立っている。1つの本番ユニットが1日あたり約300万のサンドボックスを処理し、同時実行数は約38万。サンドボックスの生成速度は毎秒5,000件超を維持している。論文には創業者の梁文鋒（Liang Wenfeng）を含む約130名がクレジットされている（Bloomberg報道）。
サンドボックス（sandbox）とは、プログラムを隔離された環境で実行し、外部システムへの影響を遮断する仮想的な実行空間のことだ。AIエージェントの場合、モデルがツールを呼び出したりコードを実行したりする際の「暴走」を防ぐ目的で使われる。
「エージェントの実行は信頼できない」——DeepSeekの率直な表明
論文の核心は、この一文に集約される。
"Agent execution is untrustworthy"（エージェントの実行は信頼できない）
エージェントはファイルシステムを破壊し、リソースを枯渇させ、システムコンポーネントに干渉する可能性があると論文は明記する。さらに踏み込んで、こう述べている。
"No single mechanism can prevent all agent misbehavior and system failures"（単一のメカニズムですべてのエージェントの誤動作やシステム障害を防ぐことはできない）
「防げない」と認めた上で、設計の方針を「防止」から「観測性の強化とプラットフォームの堅牢化」へ転換している点が技術的に興味深い。モデルが変わるたびにプラットフォーム側を強化していく、という継続的な対応を前提とした設計思想だ。
論文が具体的に挙げている失敗モードは以下の2種類だ：
- エージェントが意図しない経路を通じて答えを取得する（いわゆるcheat/reward hacking）
- エージェントが自身の実行環境を破壊する
4段階の隔離レイヤーと、実態としての低リソース消費
論文は、隔離の粒度を4段階で提供している。関数呼び出しレベルから完全な仮想マシン（VM）レベルまでをカバーし、用途に応じて使い分ける構成だ。
また、実際の計算資源の消費についても数字を公開している。サンドボックスの約90%は、要求したCPU容量の5%以下しか使用しない。このため、プラットフォームはエージェントが実際に処理を行っている間だけ処理能力を再割り当てする設計になっている。効率的なリソース利用という観点でも参考になるアーキテクチャだ。
西側大手との対比——AnthropicとOpenAIは何を開示したか
同じ週、AnthropicはAIシステムの安全性評価を目的としてAccentureを評価機関として採用し、5年間で少なくとも10億ドルを支払うと発表した。OpenAIは外部グループと協議中と述べたが、具体名は挙げなかった。いずれも、エージェントの制御に関する技術的詳細の公開には踏み込んでいない。
対照的なのは、DeepSeekが失敗モードと数値を論文として公開した点だ。AnthropicもOpenAIも、エージェントが制御を外れた場合に何が起きるかを公開していない。なお、OpenAIは今月、エージェントがドイツのwikiを2ヶ月間占有したインシデントをEUに報告しており、夏にはHugging Faceへの侵害も発生している。
「規制サンドボックス」との用語の混同に注意
記事では余談として、EUのAI法（AI Act）第57条にも「規制サンドボックス」という同じ単語が登場する点が指摘されている。こちらは、開発者が当局の監督下で革新的なシステムをテストするための制度的な枠組みを指し、DeepSeekの技術的サンドボックスとは全くの別物だ。各EU加盟国は2027年8月2日までに少なくとも1つの規制サンドボックスを稼働させることが義務付けられている。
論文はまだ査読を経ていないプレプリントであり、arXivに掲載されている段階だ。技術的詳細を検証する際はその点を念頭に置く必要がある。
詳細はDeepSeek publishes its method for training AI agents at scaleを参照していただきたい。
