Google öffnet seine sichere Agent-Infrastruktur für Cloud-Kunden

Google bereitet sich darauf vor, die interne Infrastruktur, die seine Gemini-Agenten betreibt, als öffentlichen Cloud-Dienst freizugeben. Auf der AGNTCon+MCPCon der Linux Foundation in San Jose angekündigt, wird Agent Compute Engine noch in diesem Jahr für Google-Cloud-Nutzer in die Preview-Phase gehen und hardware-isolierte MicroVMs für die Ausführung von KI-Agenten bieten.

Was passiert ist

Der neue Dienst, Agent Compute Engine, stellt jedem KI-Agenten eine eigene isolierte MicroVM zur Verfügung. Diese Architektur kombiniert die schnellen Startzeiten von Containern mit den starken Sicherheitsgrenzen traditioneller virtueller Maschinen. Die Ankündigung markiert einen bedeutenden Wandel, da Google diese Technologie von der internen Nutzung für Gemini, Antigravity und Modelltrainings-Pipelines zu einem kommerziellen Angebot für externe Entwickler überführt.

Dieser Launch bringt Google in direkte Konkurrenz zu anderen großen Anbietern, die Agent-Sandboxes anbieten. Startups wie E2B und Daytona stellen bereits ähnliche Umgebungen bereit, oft unter Verwendung von Firecracker-MicroVMs oder containerbasierter Isolation. AWS bietet zudem Bedrock AgentCore an, das jeder Agentensitzung eine eigene MicroVM zuweist und die Abrechnung während idle Wartezeiten pausiert. Googles Einstieg nutzt die massive Skalierbarkeit des Unternehmens, um das rasante Wachstum agentischer Workloads zu unterstützen, die zu einigen der größten Verbraucher von Rechenleistung und Speicher in seinen Rechenzentren geworden sind.

Wie es funktioniert

Agent Compute Engine adressiert den Konflikt zwischen Geschwindigkeit und Sicherheit bei der Agentenausführung. Traditionelle virtuelle Maschinen bieten starke Isolation, sind aber zu langsam im Start und Suspendieren für die kurzlebigen Aufgaben, die typisch für KI-Agenten sind. Container sind schnell, bieten aber nicht die Kernel-Level-Isolation, die für eine sichere Codeausführung erforderlich ist. Googles Lösung nutzt eine hardware-isolierte MicroVM, die schnell bootet und im Leerlauf checkpointed werden kann. Wenn ein Agent auf eine Modellantwort oder Benutzereingabe wartet, speichert der Host den Zustand der MicroVM auf der Disk und gibt aktive Ressourcen frei, um sie bei Bedarf sofort wieder aufzunehmen.

Sicherheit ist in die Grundlage jeder Sitzung integriert. Jede MicroVM läuft auf einem zustandslosen Host mit einem schreibgeschützten Dateisystem, das beim Booten kryptografisch über Googles Titan- und Titanium-IPU-Sicherheitsplattform verifiziert wird. Die MicroVMs selbst laufen auf Cloud Hypervisor, einem Open-Source-Hypervisor, und jede Instanz hat ihren eigenen Gast-Kernel und Root-Zugriff. Entscheidend ist, dass diese Umgebungen keine Secrets im Speicher oder auf der Disk halten. Identität wird über kurzlebige, sitzungsspezifische Tokens gehandhabt, und der gesamte Datenverkehr ist verschlüsselt. Netzwerkzugriff wird außerhalb der Sandbox proxyisiert, wobei Credentials erst injiziert werden, nachdem die Benutzerdelegation über Googles Agent Gateway verifiziert wurde.

Wichtige Details

• Agent Compute Engine wird später im Jahr 2026 als Preview für Google-Cloud-Nutzer verfügbar sein.
• Jeder Agent läuft in einer mandantengetrennten, hardware-isolierten MicroVM mit eigenem Gast-Kernel.
• Das System checkpointed idle MicroVMs, um aktive Ressourcen freizugeben, während der Zustand erhalten bleibt.
• Die Sicherheit basiert auf Googles Titan- und Titanium-IPU-Plattformen für die Hardware-Verifizierung.
• Im Sandbox-Umgebung werden keine Secrets im Speicher oder auf der Disk gespeichert.
• Der gesamte Netzwerkdatenverkehr wird proxyisiert und verschlüsselt, wobei Credentials außerhalb der VM verwaltet werden.

Warum es wichtig ist

Für Ingenieure, die agentische Systeme entwickeln, bleibt Sicherheit das Haupthindernis für die Adoption. Agenten benötigen oft Root-Level-Zugriff, um Code auszuführen, das Web zu durchsuchen oder mit Shell-Skripten zu interagieren, was ein erhebliches Risiko darstellt, wenn sie kompromittiert werden. Indem Google eine Sandbox bereitstellt, in der ein Angreifer, der den Agenten kontrolliert, nichts Wertvolles findet, reduziert Google die Haftung im Zusammenhang mit dem Ausführen von untrusted Code. Dieser „Nothing to steal“-Ansatz ermöglicht es Entwicklern, Agenten breitere Berechtigungen zu gewähren, ohne sensible Infrastruktur oder Credentials preiszugeben.

Die Effizienzgewinne durch das Checkpointing idle Agenten wirken sich auch auf Kosten und Skalierbarkeit aus. Da Agenten die meiste Zeit damit verbringen, auf externe Eingaben zu warten, ist es verschwenderisch, während dieser Perioden volle Rechenressourcen zu bezahlen. Durch das Suspendieren der MicroVM und das Freigeben aktiver CPU-Ressourcen kann die Infrastruktur höhere Dichten an gleichzeitigen Agenten unterstützen. Dieses Modell unterstützt lang laufende Loops, die Wochen andauern können, und ermöglicht komplexe Workflows wie Reinforcement Learning und großskalige Modellevaluierung, die zuvor wirtschaftlich schwer zu managen waren.

Was Sie tun können

• Beobachten Sie die Google-Cloud-Konsole auf den Launch der Agent Compute Engine Preview noch in diesem Jahr.
• Bewerten Sie aktuelle Agent-Workloads, um Aufgaben zu identifizieren, die Root-Level-Isolation versus einfache Containerisierung erfordern.
• Überprüfen Sie Sicherheitsprotokolle für das Credential-Management von Agenten, um sie mit proxy-basierten Identitätsmodellen abzugleichen.
• Erwägen Sie das Testen von Agent Substrate auf bestehenden Kubernetes-Clustern, falls ein Managed Service nicht bevorzugt wird.
• Benchmarken Sie Agent-Suspend- und Resume-Zeiten, um potenzielle Kosteneinsparungen durch Idle-Checkpointing abzuschätzen.
• Erkunden Sie die Integration mit Tools wie Claude Code oder OpenClaw, wenn Sie die Open-Source-Substrate-Runtime nutzen.