Google 推出 Agent Compute Engine，一個 AI 代理一部虛擬機

Google 推出 Agent Compute Engine，一個 AI 代理一部微型虛擬機

據 Google Cloud 官方網誌 10 月 22 日公布，Google 在 AGNTCon + MCPCon 大會推出 Agent Compute Engine，為每個 AI 代理分配一部硬件隔離的微型虛擬機（microVM，即為單一程式而設的細小虛擬電腦），該服務已在內部支撐 Gemini 的工作代理，對外客戶預覽則要「未來數月」才開放。文章由產品總監 Nirav Mehta、Michael Bachman 與 Kevin Hutchins 聯名發表。

為何不用容器：把代理的「大腦」與「雙手」分開

據 MarkTechPost 10 月 22 日的技術拆解，ACE 的設計把代理的 harness 與 sandbox 分家：harness 是「大腦」，負責呼叫模型及決定下一步動作，全程在沙盒（隔離程式的環境）之外運行；sandbox 是「雙手」，只負責執行程式碼、shell 指令、工具呼叫與瀏覽器操作。代理在自己的 microVM 內有 root 權限，但該 microVM 有獨立的客體核心，與同一部機器上的其他代理由硬件分隔。

Google 指，運算主機本身是無狀態設備，根檔案系統唯讀並由 dm-verity 機制強制，認證金鑰存放在 Titanium IPU（一塊專責輸入輸出、儲存與加密的附加晶片）之上，即在客體作業系統觸不到的地方。

憑證不進沙盒，對外流量先過閘道

據 Google Cloud 網誌，每部 microVM 有一個經加密核實的身分，只取得短效憑證；真正的服務憑證在 microVM 之外、流量外送時才注入。MarkTechPost 補充，microVM 沒有標準網絡介面，沒有預設閘道，也不能直接接通虛擬私有雲，所有對外流量要經 virtio-vsock 這道邊界交給本機代理程式，再轉到外部閘道。

客體手上只有一張限於該次工作階段的 SPIFFE 證書及短效權杖，Agent Gateway 在政策檢查過後，才在傳輸途中換上真正的後端憑證。身分分為四類：用戶身分、代用戶行事的委託身分、代理工作負載身分，以及代理勞動力身分。

速度靠共用範本，閒置代理可以凍結

據 Google Cloud 網誌，每部 microVM 另有自己的 Hyperdisk，供需要保留狀態的代理長期使用。

另一條路：GKE 上的 Agent Substrate

據 Google Cloud 網誌，不想用全託管服務的客戶，可在 Kubernetes 引擎（GKE）上用開源的 Agent Substrate。Google 稱，在一個 20 萬個代理的基準測試中，該方案每秒可啟動 500 個代理，暫停與還原均在 500 毫秒以內，密度最高達一般做法的 10 倍，並可配合 Claude Code、OpenClaw 與 Hermes 等現成代理運行。MarkTechPost 指，Agent Substrate 自 2026 年 9 月 15 日起在 GKE 正式推出，但生產環境（正式運作中系統）用途仍限於白名單客戶。

管治：登記冊、身分與一個「空管塔」

據 Google Cloud 網誌，Google 同時擴大代理管治範圍，核心是 Agent Gateway，網誌形容它是代理流量的「空中交通管制員」，另有 Agent Registry 登記企業內所有代理，Agent Identity 以 SPIFFE 標準發出身分，再以 OpenTelemetry 收集可觀測性數據。管治範圍覆蓋 Agent Runtime、Cloud Run、Agent Sandboxes、GKE 及 ACE。

Google 稱，基於 Envoy 的執行方式將延伸至多雲及混合環境，而在受管裝置上運行的本地編碼代理，例如 Claude Code 及 Antigravity CLI，亦會納入管治，兩者都列為即將推出的預覽。本季預覽清單還包括權杖及成本管治、模型路由、Service Extensions，以及與 Ping Identity、SailPoint、Saviynt 的整合。

未公布的數字

研究機構 ComputeLabs 10 月 22 日指出，Google 當日公布的是預覽排期，而非正式推出，其公開資料沒有提供 ACE 的開機時間、單機密度、定價，亦未訂出預覽的確實日期。換言之，外界現時可核實的，只有這套架構的設計，而不是它的表現。

來源

• Introducing Agent Compute Engine and expanded agent governance（Google Cloud 官方網誌）
• Google Cloud Agent Compute Engine: microVM sandboxes for AI agents（MarkTechPost）
• Google's Agent Compute Engine already powers Gemini work agents（ComputeLabs Research）