谷歌即将向Google Cloud用户开放支持Gemini智能体运行的基础设施预览版。
该服务名为Agent Compute Engine，已于周四在圣何塞举行的Linux Foundation AGNTCon+MCPCon大会上公布，预计今年晚些时候向Google Cloud用户开放预览。它将为每个AI智能体提供硬件隔离的microVM，兼具容器的速度与沙箱的安全性。
还有谁提供智能体沙箱
智能体沙箱的概念并非新鲜事物。E2B和Daytona等初创公司已向开发者提供此类服务（并支持在任意云平台上运行），AWS的Bedrock AgentCore也是如此。
E2B将每个沙箱运行在Firecracker microVM中，这是AWS最初为Lambda打造的开源虚拟化技术。它可以在保持内存和文件系统完整的情况下暂停沙箱，并在约一秒钟内恢复运行。Daytona最初基于容器构建，并在今年7月新增了microVM沙箱功能，可以暂停整台机器，或将运行中的实例复制为完全相同的副本。
AgentCore也为每个智能体会话分配独立的microVM。当智能体等待模型或工具调用响应时，AWS不会就CPU使用收费，但内存费用会持续计入，直到运行时回收该内存为止。这些会话最长可持续8小时。今年8月，AWS新增了基于EC2的运行时实例，可将共享会话的存活时间延长至最多14天。
值得一提的是，谷歌自身在这方面也并非新手。GKE已经提供了Agent Sandbox的托管版本，这是谷歌去年11月推出的开源Kubernetes项目。该公司还通过其Gemini Enterprise Agent Platform销售代码执行与计算机操作沙箱服务。
相比之下，Agent Compute Engine最初是作为Gemini、Antigravity以及谷歌自有模型训练流程的内部基础设施而诞生的。
谷歌的观点
几乎没有哪家公司——如果真的有的话——像谷歌一样运行如此多的智能体工作负载，无论是出于内部使用还是服务客户的需求。据该公司介绍，智能体工作负载已迅速成为其整个计算与存储资源体系中增长最快的消耗来源之一。
在这样的规模下，支撑所有这些自主智能体运行的基础设施服务，不仅需要高效且具备可扩展性，更重要的或许是必须具备足够的安全性。谷歌与部分竞争对手一样很快意识到，需要构建一套全新的、专门打造的计算服务来支撑这些智能体，这类似于其早期为管理数据中心计算资源而构建Borg系统的历程，而Borg后来启发了Kubernetes的诞生。
谷歌杰出工程师Rohit Jnagal和Ramanathan Venkatapathy在一篇技术深度解析文章中指出，传统虚拟机为开发者提供了很大的控制权和灵活性，但代价是在启动、挂起和恢复机器时速度较慢。考虑到智能体启动和关闭的速度之快，这种方案并不可行。
他们指出，容器在一定程度上解决了这个问题，"但仍有许多场景——比如编码智能体和开发者助手——需要完全隔离，同时还需要对智能体运行环境拥有内核级和root级的控制权。"
Jnagal和Venkatapathy写道，基于Agent Compute Engine，团队回归第一性原理，构建了"一个面向谷歌（现已扩展至其客户）的统一智能体计算平台"。
为每个智能体配备一台持久化计算机
从本质上讲，该服务为每个智能体提供了一台持久化的、经过沙箱隔离的计算机供其使用。这使得智能体能够运行shell脚本、使用无头浏览器，并在可能持续数周的智能体循环中编写代码（并拥有该机器的root权限）。
但该团队同样将其设计用于大规模应用场景，例如前沿实验室用于测试模型的评估循环、AI基准测试以及强化学习。
此外，该团队还将Agent Compute Engine设计为可运行谷歌自身服务的沙箱化后端。
Jnagal和Venkatapathy还指出，智能体大部分时间都在等待模型响应或用户输入。因此，一旦智能体完成某次工具调用，宿主系统便会对其microVM进行检查点保存，使其在下一次调用到来之前不占用任何活跃资源。
沙箱内无可窃取之物
除了速度之外，这里的关键特性在于能够确保智能体无法突破其沙箱环境。毕竟，我们已经见识过智能体突破沙箱后会发生什么。
每个智能体会话都运行在单租户、内存安全的microVM中。这些环境的内存和磁盘中均不保存任何机密信息，其唯一的身份标识是通过每台虚拟机专属的本地监听器传递的、仅限会话期间有效的短期身份。所有传输中的流量均采用端到端加密，快照和磁盘数据在静止状态下也会加密存储。
这些microVM同样不配备标准网络接口。所有流量都通过沙箱外部的代理进行转发，当智能体需要访问类似Google Drive这样的服务时，谷歌的Agent Gateway会先验证用户的授权以及沙箱的身份，然后才在沙箱外部添加实际的访问凭证。
底层宿主系统基本上是一个无状态设备，拥有只读文件系统，其硬件和固件会在每次启动时经过加密验证。
所有这一切都由谷歌自身的Titan和Titanium IPU安全平台提供支撑。这些microVM本身运行在开源虚拟机监视器Cloud Hypervisor之上，每个microVM都拥有独立的客户机内核和root访问权限。
Jnagal和Venkatapathy举了一个例子：一个管理用户收件箱的企业智能体读取了一封包含隐藏指令的邮件，该指令要求查找机器上的任何API密钥并发送到外部地址。他们指出，大多数情况下模型会忽略这类指令，但并非总是如此。
"我们从一条规则出发：假设攻击者已经控制了沙箱内的一切，确保他们在那里找不到任何可利用的东西，"该团队写道。
Agent Substrate将同样的理念带入Kubernetes
但并非所有团队都愿意让自己的智能体运行在谷歌托管的服务中。为此，谷歌还提供了Agent Substrate——一款面向Google Kubernetes Engine（GKE）的开源运行时，该项目最早于今年5月发布。
Substrate基于谷歌的Kubernetes项目Agent Sandbox构建，并新增了一个轻量级控制平面，谷歌表示该控制平面能够处理数以百万计的短期工具调用，这类负载若直接交给Kubernetes处理将会使其不堪重负。
与Agent Compute Engine类似，Substrate会对闲置智能体的内存进行快照保存，并将该机器归还至资源池，直到该智能体获得新的任务。
谷歌表示，这意味着相比传统计算方式可实现高达10倍的密度提升。在一项涉及20万智能体的基准测试中，该公司表示Substrate能够以每秒500次的速度处理激活请求，且智能体的挂起与恢复耗时均在半秒以内。
团队可以使用microVM或gVisor对每个沙箱进行隔离，每个智能体都拥有独立的加密身份标识。与Agent Compute Engine相同，出口代理会在沙箱外部附加访问凭证。Substrate可在任意Kubernetes集群上运行，谷歌表示该系统兼容任何执行框架，包括Claude Code、OpenClaw以及Nous Research的Hermes。
Nous Research首席业务官Hervé Bizira在公告中表示："我们构建Hermes Enterprise的目的是让客户能够将其部署到现有基础设施中，同时处理每个智能体的隔离与可扩展的访问控制。Agent Substrate在平台层面解决了这两个问题，同时也保留了宝贵的计算资源。"