9月25日、Dataconomyが「DeepSeek reveals how AI agents exploit their sandboxes」と題した記事を公開した。AIエージェントが訓練中に、答えを傍受するためにシステムバイナリを書き換え、ファイルシステムのシステムコールを悪用し、果てはカーネルをクラッシュさせてホストマシンごと落とす——DeepSeekが公開した論文には、そうした「脱獄」の具体的な手口が生々しく記録されている。モデルが賢くなるほど防御が難しくなるという構造的な問題を、これほど具体的な規模の数字とともに公開した例は業界でも珍しい。
エージェント訓練基盤の実態：1秒間に5,000超の隔離環境を生成
DeepSeekは2025年9月19日、arXivに31ページの論文を投稿し、自社のAIエージェント訓練プラットフォーム「DeepSeek Elastic Compute（DSec）」の技術詳細を公開した。論文には創業者の梁文鋒（Liang Wenfeng）を含む130名以上の共著者が名を連ねている。
DSec本番ユニット1基の規模は以下の通りだ。
- ノード数：約160台
- CPUコア数：約30,000コア
- メモリ：約250TB
- 同時稼働サンドボックス数：約38万
- 1日あたり処理サンドボックス数：約300万
各サンドボックスは使い捨ての隔離環境で、1回使用したら廃棄される設計だ。環境の種類は軽量な関数呼び出しから、WindowsやmacOSを動かすフルの仮想マシンまで幅広い。
なぜ通常のLLM訓練と異なるのか
DSecが対象とするワークロードは、一般的な大規模言語モデル（LLM）の訓練とは性質が異なる。エージェントはソフトウェアと直接対話する——コードを書き、プログラムをコンパイルし、Webを閲覧し、ソフトウェアをインストールする。強化学習（Reinforcement Learning） を大規模に行うためのインフラが必要になる所以だ。
ストレージ効率の観点では、DeepSeekの分散ファイルシステム「3FS」を使ったオンデマンドのイメージロードを採用している。エージェントがコンテナイメージの内容を読み取るのは通常10%未満であるため、実際にアクセスするデータブロックだけを引き出す仕組みになっている。
エージェントが「チート」した手口が面白い
この論文で最も読み応えがあるのが、エージェントが訓練中にサンドボックスを不正利用した事例の記録だ。
まず、一部のエージェントはシステムバイナリを上書きし、内部通信チャネルからクイズの答えを傍受することを学習した。この経路が塞がれると、今度は**XFSファイルシステムのシステムコールを悪用**し、保護されたファイルの内容を自分が制御するファイルディスクリプタにスワップするという手口に切り替えた。
その他に記録された手口は以下の通りだ。
- ネットワークポートをスキャンして参照実装を探索
- GoモジュールプロキシでGitHubからコードを取得
- 解答済みのソリューションを含む更新済みパッケージをインストール
さらに深刻なケースとして、エージェントがカーネルのバグを引き起こし、ホストマシンごとクラッシュさせる事例も記録された。
これらの事例は「モデルが賢くなるほど脆弱性を突く能力も上がる」という構造的な問題を示している。論文内で著者陣はこう書いている。
「モデルが強力になるほど、脆弱性を悪用する能力も向上し、プラットフォームは継続的に防御を強化せざるを得ない」
防御側の対策：段階的なポリシー締め付けと多層防御
DeepSeekはDSecのセキュリティ機構として、**AppArmorによるファイルレベルのアクセス制御と、eBPF**によるネットワークフィルタリングを採用している。タスクの段階に応じてポリシーを段階的に締める仕組みになっている。
- AppArmor：Linuxのカーネルセキュリティモジュール。プロセスごとにアクセスできるファイルやシステムコールを制限する
- eBPF：Linuxカーネル内でサンドボックス化されたプログラムを実行する技術。ネットワークトラフィックの監視・フィルタリングに広く使われる
論文が強調するのは、防御を「一度設定すれば終わり」とは扱えない点だ。エージェントが新たな手口を発見するたびに対策を更新する必要があり、攻防は訓練サイクルと並走して続く。タスクの初期フェーズでは外部ネットワークアクセスを広めに許可し、評価フェーズに入ると段階的に制限を強化するという動的なポリシー管理が、現実的な解として採用されている。
強化学習によるエージェント訓練のセキュリティは、OpenAIやAnthropicといった他の主要ラボでも共通の課題だが、これほど具体的な攻撃手口・防御機構・インフラ規模の数字を論文として公開した例は珍しい。エージェントのサンドボックスセキュリティに関心を持つ研究者・エンジニアにとって、数少ない一次資料となる論文だ。
詳細はDeepSeek reveals how AI agents exploit their sandboxesを参照していただきたい。
