谷歌将Gemini代理背后的基础设施转化为云服务
内容提要
谷歌计划今年晚些时候向Google Cloud用户预览Agent Compute Engine，为每个AI代理提供硬件隔离的微虚拟机，兼顾容器速度与沙箱安全。该服务源自Gemini内部基础设施，支持长时间运行的代理循环、代码执行和强化学习，并通过无状态主机、加密通信和外部代理网关防止代理逃逸。谷歌还提供开源运行时Agent Substrate，可在任意Kubernetes集群上运行，支持高密度短时工具调用。
延伸解读
从内部工具到云服务：谷歌的代理基础设施外溢
Agent Compute Engine并非全新产品，它源自谷歌为Gemini、Antigravity及模型训练管线构建的内部基础设施。如今将其开放给Google Cloud用户，意味着谷歌正把自身大规模代理工作负载中验证过的安全与调度能力产品化。这类似于当年Borg催生Kubernetes的路径，但更聚焦于代理场景的隔离与生命周期管理。
安全模型的核心：假设沙箱已被攻破
谷歌的设计原则是“假设攻击者控制沙箱内一切”，因此每个代理运行在单租户、内存安全的微虚拟机中，不存储任何秘密，仅通过短时身份和外部代理网关访问服务。所有流量经沙箱外代理，凭证在外部注入，主机本身无状态且文件系统只读。这种纵深防御针对的是代理可能被提示注入操控、进而窃取凭证或逃逸的真实风险。
与AWS等竞品的差异点：持久性与密度
相比AWS AgentCore会话上限8小时（后扩展至14天），Agent Compute Engine支持运行数周的代理循环，并能在工具调用间隙检查点暂停微虚拟机、不占用活跃资源。开源运行时Agent Substrate则宣称在20万代理基准中实现每秒500次激活、亚半秒恢复，密度达传统计算的10倍，且可在任意Kubernetes集群运行，兼容Claude Code等 harness。
适用边界：托管服务与自托管运行时的选择
Agent Compute Engine是谷歌全托管的云服务，适合希望直接获得硬件隔离、免运维安全控制的团队；而Agent Substrate面向已有Kubernetes基础设施、希望保留控制权的用户，支持microVM或gVisor隔离，并自带每代理加密身份。两者都强调凭证不进入沙箱，但前者深度绑定Google Cloud，后者则可在任意集群部署，选择取决于对云厂商锁定与运维自主性的权衡。
Q&A
谷歌的Agent Compute Engine是什么？它和Gemini代理有什么关系？
Agent Compute Engine是谷歌即将向Google Cloud用户预览的云服务，为每个AI代理提供硬件隔离的微虚拟机。它源自谷歌内部为Gemini、Antigravity和模型训练管道构建的基础设施，现在将开放给云用户使用。
Agent Compute Engine如何保证AI代理的安全隔离？
每个代理会话运行在单租户、内存安全的微虚拟机中，不存储秘密信息，仅通过短期会话身份认证。所有流量端到端加密，快照和磁盘静态加密。微虚拟机没有标准网络接口，所有流量通过外部代理，代理网关在沙箱外添加凭证。主机是无状态设备，文件系统只读，启动时进行加密验证。
Agent Compute Engine支持哪些类型的代理工作负载？
它支持长时间运行的代理循环（可运行数周），代理可以使用shell脚本、无头浏览器和编写代码（具有root权限）。还支持大规模用例，如评估循环、AI基准测试和强化学习，以及为谷歌自身服务运行沙箱后端。
谷歌还提供了哪些相关的开源工具？
谷歌提供了开源运行时Agent Substrate，可在任何Kubernetes集群上运行，支持高密度短时工具调用。它基于Agent Sandbox项目，添加了轻量控制平面，能处理数百万短时工具调用，并支持微虚拟机或gVisor隔离。
Agent Compute Engine与传统的虚拟机和容器相比有什么优势？
传统虚拟机启动、挂起和恢复速度慢，不适合快速启停的代理；容器虽快但缺乏完整隔离和内核级控制。Agent Compute Engine结合了容器的速度和沙箱的安全性，提供硬件隔离的微虚拟机，并能在代理等待时检查点暂停，不消耗活跃资源。
Agent Substrate的性能如何？
在20万代理的基准测试中，Agent Substrate每秒处理500次激活，代理挂起和恢复时间低于半秒。谷歌表示其密度可达传统计算的10倍。
