Google Agent Compute Engine: песочницы агентов Gemini в облаке

Google откроет клиентам Google Cloud инфраструктуру, на которой работают её агенты Gemini. Сервис Agent Compute Engine, представленный в четверг на конференции AGNTCon+MCPCon от Linux Foundation в Сан-Хосе, станет доступен в режиме preview позже в этом году. Каждому ИИ-агенту он выделяет microVM с аппаратной изоляцией: скорость контейнеров сочетается с безопасностью песочницы.

Как отмечает The New Stack, сама идея песочниц для агентов не нова. Их предлагают стартапы E2B и Daytona, а также AWS в составе Bedrock AgentCore. У Google тоже есть managed-версия Agent Sandbox в GKE и песочницы для исполнения кода в Gemini Enterprise Agent Platform. Но Agent Compute Engine начинался как внутренняя инфраструктура для Gemini, Antigravity и конвейеров обучения моделей Google.

Постоянный компьютер для каждого агента

По словам инженеров Google Рохита Джнагала и Раманатана Венкатапати, обычные виртуальные машины слишком медленно запускаются, приостанавливаются и возобновляются, а контейнеры не всегда обеспечивают полную изоляцию и контроль на уровне ядра. Поэтому команда построила единую платформу с нуля. Агент получает постоянный компьютер: он может запускать shell-скрипты, пользоваться headless-браузером и писать код с root-правами в циклах, которые идут неделями. Платформа рассчитана и на масштабные задачи: eval-циклы, бенчмарки и обучение с подкреплением.

Поскольку агенты большую часть времени ждут модель или пользователя, после вызова инструмента microVM сохраняется в чекпойнт и не потребляет активных ресурсов до следующего вызова.

Исходное допущение: атакующий внутри песочницы

Каждая сессия работает в однопользовательской memory-safe microVM без секретов в памяти и на диске. Её единственная идентичность — краткоживущая, привязанная к сессии. Трафик шифруется, снапшоты и диски тоже. Стандартного сетевого интерфейса у microVM нет: весь трафик идёт через прокси вне песочницы, а Agent Gateway проверяет делегирование пользователя и идентичность песочницы и подставляет реальные учётные данные снаружи. Хост — это stateless-устройство с файловой системой только для чтения, а оборудование и прошивка проверяются криптографически при каждой загрузке. Платформа опирается на Titan и Titanium IPU, а microVM работают на Cloud Hypervisor с собственным гостевым ядром.

«Мы исходили из одного правила: считать, что атакующий контролирует всё внутри песочницы, и не оставить там ничего полезного», — пишет команда.

Для тех, кто не хочет управляемого сервиса, Google предлагает Agent Substrate — open source среду выполнения для GKE, анонсированную в мае. По данным компании, она даёт до 10 раз большую плотность, а в тесте на 200 000 агентов обработала 500 активаций в секунду при возобновлении агентов менее чем за полсекунды.