谷歌云发布 Agent Compute Engine：每个 AI Agent 一台硬件隔离虚拟机，20 万 Agent 压测跑到每秒 500 次激活、挂起恢复低于 500 毫秒

先把出处说清楚。原始材料是谷歌云官方博客 2026 年 10 月 22 日发布的《Introducing Agent Compute Engine and expanded agent governance》，作者是三位产品负责人 Nirav Mehta、Michael Bachman 和 Kevin Hutchins，发布场合是 AGNTCon + MCPCon 大会。本文所有数字和引语都来自这篇官方博客，第三方二手转述不采信。

发布的是什么。谷歌云正式推出 Agent Compute Engine，一个专门为 Agent 打造的计算服务，官方说它已经在内部支撑 Gemini 作为工作任务智能体的运行，客户预览会在未来几个月开放，提供的是硬件隔离的运行时沙箱安全。同一时间，谷歌把 Gemini 企业版的 Agent 治理能力扩展到「Agent 在任何地方运行」都能覆盖。两件事合起来的意思是：算力和治理一起给，而不是先给算力再补治理。

为什么原来的算力不够用。官方解释得很直接：Agent 会不断启动、暂停、恢复，需要一种在规模下依然快、而且极度节省的架构；而传统的计算原语是为标准负载优化的，并没有针对 AI Agent 那种高度迭代的节奏做设计。这句「传统计算原语没为 Agent 优化」是全文最值钱的判断，因为它意味着一个企业就算把 Kubernetes 用得再熟，也仍然会撞上 Agent 生命周期的特殊形状。

具体怎么省。三件事叠在一起：第一，microVM 启动极快，所以一个 Agent 循环或一批评测不用等基础设施；第二，用 copy-on-write 内存共享让多个 Agent 跑在同一套操作系统模板上，物理机利用率拉满；第三，空闲 microVM 通过快速 checkpoint 和 restore 被暂停。官方描述了一个细节：当 Agent 执行完一次工具调用、进入 Agent 循环里的思考阶段时，microVM 会发出空闲信号，宿主机把它从活跃态转到空闲态；换句话说，Agent 在等人或者在等外部系统的时候，机器可以被挂起，之后从快照秒级恢复。

安全是怎么落地的。官方说 Agent 越来越多地执行不可信甚至对抗性代码，这已经是常态风险，所以 Agent Compute Engine 是跑在谷歌的 offload IPU 上的，用硬件提供硅根信任的纵深防御。隔离靠的是 Cloud Hypervisor 边界，每个 microVM 有自己的 guest kernel 和自己的 root 权限。每个 microVM 用所属 Agent 的身份运行，凭证是短时的；每个 microVM 还带一个加密可验证的 ID，服务凭证在 microVM 之外的出网路径上注入，而不是塞进沙箱里。再与 Agent Gateway 集成，把可观测性、策略和安全评估串起来。

持久化和数据不动。官方说 Agent 需要跨多个长会话保存数据，所以每个 microVM 有自己的存储，用来持久化执行工作区和 Agent 上下文。另一半更关键：Agent 要真正干活就得用企业数据，但不能把数据搬来搬去。做法是把 Agent Compute Engine 直接织进谷歌的云与身份体系里，企业连接由保护 microVM 的同一套安全和身份模型来治理，从而拿到统一的身份模型和可审计性。对做企业集成的人来说，这一句比任何性能数字都重要。

官方引语值得单独抄下来。Gemini 的副总裁兼 Google Fellow Gautham Thambidorai 说：「把 Gemini 智能体扩展到行星级规模，需要能够快速启动、并以极高效率运行的计算。Agent Compute Engine 的 microVM 给了我们所需的响应速度、硬件隔离和工作负载密度，用来向全世界的用户交付交互式 Agent 沙箱。」注意他讲的三个词——响应、隔离、密度，这正是传统虚拟机和企业级容器都没能同时给出的组合。

开源那条线别漏掉。对于要自定义、要多云可移植、或者已经标准化在 Kubernetes 上的平台团队，谷歌给了 Agent Substrate：一个开源的执行运行时，把同一套 Agent 优先的设计带到 GKE 上，零信任架构，把 Agent 执行和机器管理彻底解耦；Agent 空闲时快照其活跃内存、把机器还给池子，需要时立刻恢复。官方的两个数字很硬：计算密度相比传统计算最高提升 10 倍，并且在 20 万个 Agent 的基准验证里维持每秒 500 次激活，挂起与恢复延迟低于 500 毫秒。每个沙箱可以选 microVM 或 gVisor，每个 Agent 有加密安全身份，出网代理负责执行细粒度网络策略并在沙箱外注入凭证。

治理这一块容易被忽略。官方说把 Gemini 企业版的 Agent 治理能力扩展到了「Agent 在任何地方运行」，与算力服务配套。这句话翻译成人话就是：以前企业担心的是 Agent 跑起来之后没人管，现在治理被下沉到了运行层——身份、凭证、策略、可观测性都在 Sandbox 之外统一挂上。对安全团队来说，这意味着治理点从应用代码挪到了基础设施，评审对象也跟着变。

边界在哪里，别越过去。第一，ACE 目前是「未来几个月开放预览」，不是已经 GA 的企业级产品，官方也没给 SLA 和区域清单。第二，10 倍密度和 500 次激活每秒是官方给出的 Agent Substrate 基准，测试条件是 20 万个 Agent 的验证场景，不等于你的业务负载。第三，谷歌没有公布定价，所以任何「成本能省多少」的推算目前都没有依据。第四，本文只记录到 2026 年 10 月 26 日为止官方公开发布的内容，不预测 GA 时间。