据MarkTechPost报道，Google Cloud本周在AGNTCon + MCPCon发布Agent Compute Engine（ACE），该服务为每个AI代理分配一个硬件隔离的microVM，并称沙箱内不保存任何凭证。该服务已用于支持Gemini作为工作任务代理，客户预览计划于未来数月启动。

按Google Cloud技术文章，ACE将每个代理拆成两部分：运行在沙箱外的“大脑”harness负责调用模型，并向沙箱内的“手”下发明确命令；沙箱负责运行代码、shell命令和浏览器。每个会话运行在单租户microVM中，由Cloud Hypervisor边界隔离，主机为无状态设备，只读根文件系统由dm-verity强制执行，Titanium将证明密钥保存在guest之外。

网络设计不同寻常：microVM没有标准网络接口、默认网关和直接VPC访问，所有流量经virtio-vsock边界到本地代理，再到外部网关。guest只获得会话级SPIFFE证书和短期身份令牌；Agent Gateway在策略检查后于传输中替换为真实后端凭证。Google假设攻击者控制沙箱内的一切，因此被提示注入的代理找不到可窃取秘密。

身份分为四类：用户身份只用于认证整体任务；委托的on-behalf-of身份存放在中央授权服务，不放在节点上；Agent Workload Identity是短期SPIFFE身份，也是沙箱流量唯一使用的身份；Agent Workforce Identity是代理自己的账户与资源。Google称，工作负载身份即使被窃取也无法直接调用API，只能标识数据包来自哪个沙箱。

为降低闲置代理成本，Google称代理多数时间在等待模型或用户，沙箱在工具调用完成后通知主机，主机将空闲microVM检查点至零活动资源，下次调用时从快照恢复。密度来自写时复制内存共享和DAX映射的预热快照镜像，主机上的microVM共享基础OS和库页面，私有内存只计入各代理修改的页面。harness还支持克隆、快照/分叉、回退和回滚；存储分为一次性scratch覆盖层、共享只读卷和Hyperdisk上的持久用户工作区。

开源同类Agent Substrate可在任何Kubernetes集群运行。Google给出的最佳性能数据显示，Agent Substrate在20万个代理规模下达到每秒500次激活，暂停/恢复低于500毫秒。但Google未给出ACE自身的启动时间、密度或定价，也未公布具体预览日期。