Google Cloud поселит каждого ИИ-агента в отдельный микроVM: внутри ни одного секрета
На конференции AGNTCon + MCPCon Google Cloud анонсировала Agent Compute Engine — вычислительный сервис, заточенный под ИИ-агентов. Каждому агенту выдаётся собственный микроVM с аппаратной изоляцией и пустой песочницей без каких-либо секретов. Сервис уже работает в продуктиве: на нём запущены Gemini, Antigravity и внутренние пайплайны оценки и RL. Для остальных клиентов превью откроется в ближайшие месяцы. Главный месседж — изоляция уровня виртуальной машины при скорости и плотности, как у контейнера.
Архитектура делит агента на две части: харнесс («мозг») вызывает модель и находится полностью вне песочницы, а сандбокс («руки») исполняет код, shell-команды и браузер. Каждая сессия живёт в single-tenant микроVM за границей Cloud Hypervisor. Сеть устроена необычно: у микроVM нет ни стандартного сетевого интерфейса, ни шлюза по умолчанию, ни прямого доступа к VPC. Весь трафик идёт через virtio-vsock к локальному прокси и дальше к внешнему шлюзу. Гость получает только SPIFFE-сертификат в рамках сессии и короткоживущий токен; настоящие бэкенд-креды подставляет Agent Gateway на лету после проверки политик. Даже если агента взломают через prompt injection, внутри песочницы нечего красть.
Для каждой агентской нагрузки введены четыре идентичности: пользовательская, делегированная от имени пользователя, workload-идентичность агента и workforce-идентичность агента. Похищенная workload-идентичность бесполезна для прямых API-вызовов — она лишь опознаёт, из какого сандбокса ушёл пакет. Простаивающие агенты чекпоинтятся до нулевого потребления ресурсов и поднимаются из снапшотов. Плотность достигается copy-on-write разделением памяти и предварительно прогретыми образами через DAX: база ОС и библиотеки общие для всех микроVM на хосте, в приватной памяти остаются только изменённые страницы. Хранилище делится на эфемерные overlay, общие read-only тома и постоянные пользовательские workspace на Hyperdisk. У open-source соседа Agent Substrate, который работает на любом Kubernetes-кластере, зафиксировали 500 активаций в секунду и suspend/resume менее чем за 500 мс на 200 000 агентах. По самому Agent Compute Engine Google пока не публикует ни время загрузки, ни плотность, ни цены, ни точную дату превью.