每个AI Agent配一台独立微VM：Google Cloud的隔离实验与行业赌注
从共享沙箱到硬件隔离：AI Agent计算的范式转移
当AI Agent从概念演示走向企业级部署，一个长期被回避的矛盾终于浮出水面：Agent需要执行代码、调用工具、访问外部服务，但传统容器或进程级隔离在面对提示注入、供应链投毒等新型攻击时显得捉襟见肘。Google Cloud近日发布的Agent Compute Engine（ACE）给出了一个极端却富有启发性的答案——为每个AI Agent会话分配一个独立的硬件隔离微VM，让每个Agent都拥有自己的内核、根权限和持久存储，同时保持接近容器的调度密度。
这一架构并非简单的技术堆叠。它背后是对Agent工作负载本质的重新理解：Agent的"大脑"（负责调度模型、决策逻辑）与"双手"（负责执行代码、操作浏览器）必须物理分离。在ACE的设计中，harness运行在沙箱之外，仅通过显式指令与sandbox通信，而sandbox本身不持有任何长期凭证。这意味着即便攻击者通过提示注入完全控制Agent的执行环境，也无法从中窃取可用于横向移动的企业密钥或API令牌。
四层身份体系与安全边界的极致收缩
Google为每个Agent工作负载定义了四层身份，这套设计堪称整个架构中最具野心的部分。用户身份仅用于认证整体任务；委派身份存储在集中授权服务，从不驻留节点；Agent工作负载身份是基于SPIFFE的短期凭证，仅用于标识沙箱发出的数据包；而Agent劳动力身份才是Agent自身的账户与资源归属。
真正让安全边界收缩到极致的是网络设计。每个微VM没有标准网络接口，没有默认网关，也不直接接入VPC。所有流量必须经过virtio-vsock边界到达本地代理，再由外部网关转发。Agent Gateway在流量发出时，根据策略检查动态注入真实后端凭证。这种"凭证代理"机制颠覆了传统安全模型——它不再试图阻止攻击者进入沙箱，而是默认沙箱已被攻陷，关键在于让沙箱内无密可窃。
宿主机本身也被设计为无状态设备，通过dm-verity强制只读根文件系统，Titan芯片在客户机外部保管证明密钥。整个链条传递出一个清晰信号：Google正在将云原生安全从"边界防御"推进到"零信任架构"的下一阶段。
成本难题：当Agent大部分时间在等待
如果每个Agent都独占一个微VM，成本如何控制？Google工程师观察到一个关键现象：Agent生命周期中绝大部分时间并非在执行计算，而是在等待模型响应或用户指令。基于这一洞察，ACE引入了空闲检查点机制——当沙箱检测到工具调用结束，宿主机会将微VM状态快照到存储，释放所有活跃资源。待下一次唤醒时，从快照恢复而非冷启动。
开源版本Agent Substrate的数据提供了部分验证：在20万Agent的规模下，系统实现了每秒500次激活，挂起与恢复延迟低于500毫秒。这一数字意味着，对于典型的Agent交互场景（如几分钟一次的异步调用），资源占用可以压缩到接近零。但Google并未公布ACE本身的启动时间、单宿主密度或定价模型，这使得企业客户难以进行准确的成本预估。
这里隐藏着一个行业级的经济账。微VM的隔离性远强于容器，但内存占用和启动开销也显著更高。如果Agent的调用频率足够高，或者单个Agent需要长时间保持状态，快照机制的收益可能被频繁的序列化/反序列化开销抵消。Google必须在"安全"与"密度"之间找到那个微妙的平衡点。
开源与闭源的双轨战略
值得注意的是，ACE并非孤立产品。其开源孪生兄弟Agent Substrate被设计为可运行在任何Kubernetes集群之上，这意味着Google同时在下两盘棋：一方面通过ACE锁定Google Cloud的高价值客户，另一方面通过Substrate将架构理念渗透到混合云和多云环境。
这种双轨策略在云厂商的历史上并不罕见，但执行难度极高。开源版本若过于强大，会削弱商业版本的溢价能力；若功能阉割过多，又难以形成生态影响力。目前Substrate已展示的性能表明，开源版本并非玩具，而是具备生产级别的潜力。Google需要在控制面能力、托管服务集成和运维工具链上构建ACE的差异化优势，而非仅仅依赖隔离架构本身。
前瞻：Agent基础设施的军备竞赛刚刚开场
ACE的发布标志着AI基础设施竞争进入深水区。当模型能力趋同，差异化将向下延伸到运行时层、编排层和安全层。Google选择了一条重资产、高安全的路径，这与AWS的Lambda@Edge或Azure的Container Apps形成鲜明对比——后者更倾向于通用计算框架的扩展，而ACE从一开始就是为Agent量身定制。
未来几个月的客户预览将决定这一架构的命运。如果Google能公布有竞争力的启动密度数据（例如单宿主支持的微VM数量）和清晰的定价模型，ACE很可能成为金融、医疗、法律等合规敏感行业的首选。反之，如果成本曲线过于陡峭，它可能退守为特定高安全场景的利基方案。
无论如何，这场实验已经改变了行业讨论的焦点：AI Agent不再仅仅是模型能力的延伸，它正在催生一套全新的操作系统级基础设施。谁定义了Agent的运行时标准，谁就可能在下一波AI应用浪潮中掌握底层话语权。Google押注硬件隔离，而市场将决定这是否是正确的赌注。