Google、Gemini基盤のAgent Compute Engineを提供へ

Googleは、Geminiのエージェントを支えるインフラをGoogle Cloudの利用者向けに提供する。サンノゼで開かれたLinux FoundationのAGNTCon+MCPConで木曜に発表した「Agent Compute Engine」は、今年後半にプレビューとして利用可能になる。各AIエージェントに、コンテナーの速度とサンドボックスの安全性を兼ね備えた、ハードウェア分離のmicroVMを割り当てる。

The New Stackによると、エージェント向けサンドボックス自体は新しくない。E2BやDaytona、AWSのBedrock AgentCoreも提供している。Google自身もGKEでAgent Sandboxの管理版を用意している。ただしAgent Compute Engineは、Gemini、Antigravity、Googleのモデル学習パイプライン向けの社内基盤として生まれた点が異なる。

エージェントごとに永続的なコンピューター

Googleのエンジニア、ローヒト・ジナガル氏とラマナタン・ヴェンカタパティ氏によれば、従来のVMは起動や一時停止、再開が遅く、コンテナーでは完全な分離やカーネル権限の制御が足りない場合がある。そこで一から設計し直したという。エージェントはシェルスクリプトやヘッドレスブラウザーを使い、root権限でコードを書きながら、数週間続くループを実行できる。評価ループやベンチマーク、強化学習といった大規模用途も想定する。

エージェントはモデルやユーザーの応答待ちが大半のため、ツール呼び出しが終わるとmicroVMをチェックポイント化し、次の呼び出しまで稼働リソースを使わない。

攻撃者が内部にいる前提の設計

各セッションは、メモリ安全なシングルテナントのmicroVMで動く。メモリにもディスクにもシークレットはなく、IDは短命のセッション単位のみ。通信と保存データは暗号化される。標準のネットワークインターフェースはなく、通信はサンドボックス外のプロキシを通る。Agent Gatewayがユーザーの委任とサンドボックスのIDを確認し、外部で認証情報を付与する。ホストは読み取り専用のステートレスな構成で、起動ごとにハードウェアとファームウェアを暗号学的に検証する。TitanとTitanium IPUを基盤とし、microVMはCloud Hypervisor上で動く。

チームは「サンドボックス内のすべてを攻撃者が支配すると想定し、使えるものを何も置かない」ことを原則にしたと述べている。

マネージドサービスを望まない場合は、5月に発表したGKE向けオープンソースのAgent Substrateもある。Googleによれば密度は最大10倍で、20万エージェントのベンチマークで毎秒500回のアクティベーションを処理した。