[分享创造] 做了一个 DeepSeek DSec sandbox platform 的开源实现： OpenDsec
这段时间按照 DeepSeek 的 DSec 论文，做了一个 sandbox platform 的开源、自托管实现：OpenDsec。 项目地址： https://github.com/Kernflux/opendsec 先说明一下：这是独立项目，不包含 DeepSeek 代码，也不是 DeepSeek 官方发布或维护的项目。架构和主要设计来自论文；论文没有明确说明、或者我们采用不同方案的地方，都在 SPEC 里单独标注了。 整体架构分为控制面和节点运行时。 控制面里，stateless apiserver 负责认证、配额、调度和请求转发；IAM 用 Raft 保存身份、项目和配额状态；watcher 汇总各节点的健康与负载；每台计算节点运行一个 edge，负责最终准入和 sandbox 生命周期。组件之间走 gRPC + mTLS，sandbox id 里编码所在 edge，因此 apiserver 不需要维护 per-sandbox 路由表。 节点侧目前支持三种后端： Firecracker microVM Linux container 完整 QEMU VM sandbox 内运
阅读原始来源![原始网页截图: [分享创造] 做了一个 DeepSeek DSec sandbox platform 的开源实现： OpenDsec](/media/7c0c252b6c6ad18574bc5c39?v=2026-11-06T01%3A40%3A27.155Z)
来源记录
研究分析
项目记录
来源描述：这段时间按照 DeepSeek 的 DSec 论文，做了一个 sandbox platform 的开源、自托管实现：OpenDsec。 项目地址： https://github.com/Kernflux/opendsec 先说明一下：这是独立项目，不包含 DeepSeek 代码，也不是 DeepSeek 官方发布或维护的项目。架构和主要设计来自论文；论文没有明确说明、或者我们采用不同方案的地方，都在 SPEC 里单独标注了。 整体架构分为控制面和节点运行时。 控制面里，stateless apiserver 负责认证、配额、调度和请求转发；IAM 用 Raft 保存身份、项目和配额状态；watcher 汇总各节点的健康与负载；每台计算节点运行一个 edge，负责最终准入和 sandbox 生命周期。组件之间走 gRPC + mTLS，sandbox id 里编码所在 edge，因此 apiserver 不需要维护 per-sandbox 路由表。 节点侧目前支持三种后端： Firecracker microVM Linux container 完整 QEMU VM sandbox 内运
采用记录与比较对象
可供比较的近期同类记录：“astral-sh/ruff” (GitHub Trending, 2026年11月6日)；“microsoft/vscode” (GitHub Trending, 2026年11月6日)。主题相近仅用于导航，未核验其是否属于同一需求或独立证据。
采用判断
应与它要替代的工具或人工流程比较。现有记录支持发现项目，尚不能确认可靠性、运行成本优势或商业采用。
尚未核验的门槛
尚未核验：许可证权限、硬件要求、安装步骤、维护状态，以及包含失败样例的代表性任务。
下一步试验
选择一个真实任务和现有替代方案，记录 commit、环境、输入、输出、耗时与失败行为；保留结果后再给出采用建议。