Google Cloud представила изолированную среду для ИИ-агентов с краткоживущими доступами
Google Cloud 22 октября представила Agent Compute Engine — сервис для запуска автономных ИИ-агентов в аппаратно изолированных microVM. Компания позиционирует его как инфраструктуру для агентов, которые выполняют код, запускают инструменты, управляют браузером и работают с корпоративными системами. Публичный preview ожидается в ближайшие месяцы.
Как устроена защита
Каждая microVM получает собственное ядро гостевой системы и изолированную среду выполнения. Google заявляет, что внутри песочницы не хранятся пользовательские учетные данные, API-ключи, OAuth-токены обновления или ключи сервисных аккаунтов. Сетевой интерфейс напрямую в среде не создается: внешние запросы проходят через посредник, который может применять политики доступа и контроля утечек данных.
Сервис использует аппаратную защиту Titanium и Cloud Hypervisor. Для каждого окружения создается криптографически подтверждаемая идентичность, а краткоживущие учетные данные добавляются за пределами microVM при выходящем запросе. Это должно ограничить последствия даже в сценарии, когда злоумышленник получил полный контроль над операционной системой внутри песочницы.
Управление агентами
Одновременно Google расширила функции управления агентами в Gemini platform. Agent Registry хранит сведения о разрешенных агентах, инструментах, MCP-серверах и навыках. Agent Identity присваивает агентам отдельные идентификаторы, а Agent Gateway становится точкой применения сетевых и организационных политик, наблюдаемости и аудита.
Google также представила Agent Substrate для Kubernetes. Он предлагает похожую модель изоляции, идентичности и проксирования сетевых запросов и рассчитан на работу с разными фреймворками агентов. По заявлению компании, среда может использовать microVM или gVisor, однако заявленные показатели производительности и планы preview относятся к материалам Google и пока не являются независимой оценкой.
Почему это важно
Обычная модель доступа часто оставляет агенту права пользователя или секреты, необходимые для вызова внутренних сервисов. Архитектура Google разделяет модель, исполнительную среду и полномочия: агент может работать с файлами и инструментами, но секрет должен оставаться за пределами его процесса. Это снижает риск кражи ключей через prompt injection или вредоносный документ, хотя не отменяет необходимости ограничивать разрешения, проверять исходящие запросы и контролировать действия самого агента.