作者｜Cube Sandbox项目贡献者&核心用户 · 胡春东

｜ DeepSeek Harness（DSH）开源后，围绕它的企业级部署方案陆续出现，"DSH 怎么在企业内网里跑起来"成了最近的一个真实热点。

Cube Sandbox项目贡献者&核心用户胡春东，在其个人公众号"AI春冬录"上分享了自己做的 DshCloud 项目——用 CubeSandbox 的 MicroVM、CubeEgress 和 VolumePlugin，给 DSH 补上了企业部署缺的那一层。这是我们看到的 DeepSeek Harness 生态和 CubeSandbox 结合的一个具体实践，经作者授权转载。

DeepSeek Harness，简称 DSH，是近期 DeepSeek AI 开源的 Agent Harness。它可以进入工作区，读写文件、执行命令、修改项目，最后把代码、文档和运行结果留给用户。

这类产品和普通聊天工具不太一样。用户要的不是一段回答，而是一份做完的东西。它很像 Manus 那种工作方式：给出任务，Agent 在自己的工作区里干活，最后交付产物。

DshCloud 给 DSH 补上了企业部署需要的那一层。账号从哪里来，请求该送到谁的工作区，沙箱什么时候创建和回收，模型密钥放在哪里，文件能不能在下一次登录时接回来，这些都由 DshCloud 处理。

进入 DSH 之前，邮箱验证码、邀请码和登录身份都由 DshCloud 网关处理。

认证通过以后，用户看到的就是原生 DSH 工作区，只是背后的运行方式已经换了

认证后的原生 DSH 工作区。DshCloud 没有重做工作界面 

DshCloud 没有 fork DSH，也没有给上游源码打补丁。镜像安装固定版本的 @deepseek-ai/dsh，隧道和退出登录是两个 Cordis 插件。DSH 负责 Agent 本身，DshCloud 负责部署。

我很在意这条边界。上游版本变化时，只需要更新固定版本、重建镜像，再把验收跑一遍。如果部署能力靠改 DSH 内部代码才能成立，以后的每次升级都会很难受。

公司里的员工共用一个 DSH 入口，但不会挤在同一个后端进程里。

用户从办公区浏览器进入企业私有云。安全网关完成身份校验和任务路由，再把请求送进内部机房。到了执行这一层，每位用户都有自己的 DSH 进程、工作区和 CubeSandbox MicroVM。

一位用户，一个进程，一台沙箱。文件系统、进程和网络寻址都分开。

这么做看起来有点"重"，但边界很清楚。一个用户的任务不会因为某个租户字段写错，就跑进另一个人的工作区。沙箱空闲时可以回收，文件和会话则留在这个用户的持久卷里，下一台沙箱还能继续接着用。

浏览器共用入口；DSH、隧道和工作区按用户分开。

通常的做法是网关去连接沙箱。DshCloud 反过来，让沙箱主动建立 WebSocket 隧道。

这样，沙箱不用向办公网暴露端口，也不需要拥有一个可以被直接访问的地址。网关收到请求后分配 stream id，再把它送进对应用户已经建立好的隧道。网关是唯一入口，沙箱只负责自己的任务。

这条隧道还解决了另一个麻烦。DSH 有些设置接口只接受环回调用，外部请求直接打进去会返回 403。请求经过隧道进入沙箱后，会从 127.0.0.1 重放，同时重写 Host，移除外部 Origin 和 sec-fetch-site。DSH 原来的环回限制没有被拆掉，企业认证也集中在网关这一层。

Agent 会执行用户给出的命令。如果模型密钥出现在环境变量、文件或者进程参数里，一段提示词就可能把它读出来。

在 CubeSandbox 模式下，真实密钥留在控制面。沙箱里只有一个用途明确的占位符。模型请求离开沙箱时，CubeEgress 才在边界上注入真正的 Authorization。

验收脚本也会进入沙箱检查这件事：那里只能看到占位符。安全不能靠"Agent 应该不会去读"。

接上 CubeSandbox 之后，我才发现"MicroVM 启动成功"离"DSH 能稳定工作"还差得很远。最费时间的部分都在两个系统碰到一起的地方。

CubeSandbox 模板不是普通容器镜像，而是一次运行状态的快照。最初把 DSH 写进 CMD，模板会保存一个在租户身份出现之前就启动的进程。恢复以后，这个进程带着上一段生命周期的状态，很快就退出了。

现在模板里只保留 envd。网关拿到用户身份以后，再启动属于这个人的 DSH。镜像更新时也会创建新模板，不让旧快照悄悄混进来。

后端改由 envd 启动后，Dockerfile 中的 ENV 没有跟着出现。沙箱能启动，隧道也通，第一次工具调用却停在一个无人能够批准的权限提示上 

镜像现在会把最终环境写进 /app/sandbox/env.sh，入口脚本启动前自己加载。配置只保留一份，少掉很多日后对不上的机会。

最开始试过 s3fs 和 rclone mount。DSH 更新会话日志时需要硬链接和原子替换，而 S3 对象接口没有这些文件系统语义。一轮对话会直接结束在 EIO。

最后换成 JuiceFS。数据块放在 S3 兼容对象存储，元数据放进数据库，硬链接、原子 rename、文件锁和租户配额都能保留。

第一版 volume attach 要取回磁盘镜像，实测大约 8 秒。现在每个节点只挂载一次 JuiceFS，再把用户目录 bind 进沙箱，attach 降到了 0.06 秒。带持久卷的沙箱启动时间在 0.4 到 1.4 秒之间。

DshCloud 的运行面都留在企业内网：办公人员使用私有云入口，安全网关管理身份和租户路由，内部机房运行 DSH 沙箱、模型服务、数据库和对象存储 

基础镜像、依赖包、JuiceFS 和模型制品会统一做成离线交付包。现场导入以后，模型、执行环境、身份和数据都由企业自己管理。

模型地址不是写死的。它可以指向内部的 DeepSeek，也可以接入其他兼容模型服务。真实模型密钥不进入沙箱；Agent 的执行网络按策略收口；用户文件只落在内部存储。

硬件这边也做了两套准备。Linux/ARM64 缺少 node-pty 预编译产物时，镜像会在构建阶段从源码编译；JuiceFS 安装脚本同时识别 x86_64/amd64 和 aarch64/arm64。通用 x86 服务器和国产 ARM 节点可以走同一套构建与验收流程。

我需要的不只是一个能启动的容器。Agent 会执行命令、修改文件，也可能长时间运行。租户之间最好有独立内核；网络策略要能落到执行边界；沙箱回收后，工作区还得留下。 

CubeSandbox 的 MicroVM、CubeEgress、VolumePlugin 和 envd 正好覆盖了这几个位置。DshCloud 把它们接进一条实际业务链路：一个用户对应一台 MicroVM；模型密钥在网络边界注入；JuiceFS 保存工作区；envd 在模板恢复后启动用户进程。

对 CubeSandbox 来说，这也是一个很具体的 Agent 案例。仓库里不只有架构图，还留下了模板生命周期、进程环境、CA 信任和文件系统语义这些集成记录。随着 DeepSeek Harness 这类开源 Agent Harness 越来越多地进入企业场景，"Agent 在哪个沙箱里跑、密钥怎么和 Agent 隔开"会是一个会被反复问到的问题，DshCloud 是这条路径上一个可以直接参考的实践。 

如果你正在负责国企或大型组织的 AI 转型，我觉得模型排行榜反而不是最先要看的东西。Agent 到底在哪里执行，密钥放在哪儿，员工之间怎么隔离，机器回收以后数据还在不在，这些问题更早决定一套系统能不能进机房。

DshCloud 仓库已经有 Docker 本地模拟、CubeSandbox 部署 overlay、离线镜像制作、真实浏览器验收、租户隔离检查和模型密钥占位符检查。中英文设计文档和踩坑记录也在里面。

它还有很多可以继续做的地方。我准备把后面的适配、部署和使用过程继续写下来。AI 这几年变化太快，光站在旁边看有点可惜。我更想亲手做点什么，然后把做成和没做成的部分都留下。

新的世界会长成什么样，我也不知道，但已经很想往前走了。

项目说明：DshCloud 是独立维护的非官方项目，与 DeepSeek AI、DSH 或 CubeSandbox 维护方不存在隶属、赞助或背书关系。文中名称用于说明兼容性与上游依赖。 

编者按｜ DeepSeek Harness（DSH）开源后，围绕它的企业级部署方案陆续出现，"DSH 怎么在企业内网里跑起来"成了最近的一个真实热点。

把 DeepSeek Harness 装进 CubeSandbox：DshCloud 的企业内网实践

AI Infra 开源项目

云计算

人工智能

后端

DshCloud项目为企业部署DeepSeekHarness提供完整方案，基于CubeSandbox的MicroVM、CubeEgress和VolumePlugin，实现用户级沙箱隔离、WebSocket隧道安全连接、密钥边界注入及JuiceFS持久化存储。支持全离线交付与ARM/x86架构，实测沙箱启动仅0.4-1.4秒，解决模板状态、环境变量和S3文件系统等集成难题，是Agent落地的可参考实践。

对象存储

文件系统

服务器

数据库

私有云

验证码

WebSocket

DeepSeek

容器

路由

Linux

Agent

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

DshCloud项目为企业部署DeepSeekHarness提供完整方案，基于CubeSandbox的MicroVM、CubeEgress和VolumePlugin，实现用户级沙箱隔离、WebSocket隧道安全连接、密钥边界注入及JuiceFS持久化存储。支持全离线交付与ARM/x86架构，实测沙箱启动仅0.4-1....

把 DeepSeek Harness 装进 CubeSandbox：DshCloud 的企业内网实践

把 DeepSeek Harness 装进 CubeSandbox：DshCloud 的企业内网实践

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐