每隔十年，软件形态变化就会逼着计算架构从第一性原理重想一遍。Web规模流量爆发初期，谷歌用Borg和Linux容器改变了内部工作负载的运行方式，并最终催生了Kubernetes。深度学习模型超出通用芯片的算力和功耗边界后，谷歌自研了TPU。云安全要求更强的硬件信任根，于是有了Titanium IPU。现在，代理型AI（agentic AI）正在成为下一个底层转折：AI代理不只会回答问题，还会写代码、执行命令、操作浏览器、编排企业流程。谷歌说，代理工作负载已经成为其集群中增长最快的计算和存储消耗来源之一。

传统计算原语撑不住这种新形态。虚拟机有完整的隔离边界，但每台都要完成整机启动和配置，从启动、挂起到恢复需要数秒到分钟，而代理恰恰在不停地启停。容器很快很轻，因为共享宿主机内核，但编码助手这类场景需要根权限和内核级控制，容器给不了。更深的问题是：代理大部分时间在等待模型下一轮输出或用户回复，如果为每个空闲会话保留完整资源，成本会完全失控。谷歌因此从零构建了Agent Compute Engine——给每个代理一台硬件隔离的microVM，启动速度接近容器，沙箱内不持有任何长期凭据。

Agent Compute Engine不是裸IaaS，而是统一代理计算平台，为四类工作负载服务：交互式消费和企业代理（实时对话、shell、无头浏览器）；自主软件工程工作区（带root权限、编译器和语言服务器的持久Linux环境，支撑跨天跨星期的重构）；大规模评测和强化学习（同时拉起、分支、评估数千条轨迹）；以及Google内部服务的轻量沙箱后端。

安全架构是整套系统的核心。节点信任根建立在Titan芯片和Titanium IPU上，物理主机是无状态只读系统，启动时进行密码学验证。每个代理会话跑在独立的单租户、内存安全的microVM中，并应用CPU侧信道缓解。沙箱内部遵循“零秘密”原则：任何时刻都不持有用户凭据、OAuth token或服务账号密钥，也访问不到云实例元数据服务器。microVM没有标准网络接口，所有进出流量走virtio-vsock点对点通道，先经过本机非特权代理，再到外部Agent Gateway做策略验证；控制面和出站连接全部mTLS加密，块存储和内存快照静态加密。代理的“大脑”（harness）和“手”（sandbox）严格分离，每次工具调用都有确定性的审计轨迹。

治理层面，谷歌为“谁在代表谁操作”定义了四种身份：用户身份、委托代理OBO身份、代理工作负载身份（基于SPIFFE标准的短期凭证，也是沙箱内唯一身份）、代理劳动身份。沙箱内代码发起外部请求时，本机代理绑定节点和Titanium证明，转发给外部Agent Gateway。网关验证用户委托、代理身份、节点身份三元组，评估数据防泄漏和访问策略，然后执行即时token交换，在请求离开网关时插入真正的后端凭据。下游系统看到的是一个可验证的代理身份，而沙箱始终接触不到任何秘密。

效率上，谷歌发现大多数代理大多数时间都在等待。由于沙箱运行时和宿主机执行器协同设计，基础设施能感知应用状态：代理执行完一次工具调用、进入思考阶段时，沙箱会通知主机，主机立即把该会话转成checkpoint冻结的空闲状态，保留完整内存，但活跃资源消耗趋近于零。单个物理节点能承载的代理microVM数量比传统VM高出数量级。配合预热的快照镜像和DAX/CoW内存克隆，同一台主机上所有microVM共享同一份基础OS、运行时和二进制的物理内存页，只为每个代理实际改动的私有页分配少量内存。

持久化也做了分层：临时日志和构建产物写进可丢弃overlay；基础镜像、语言工具链、共享包缓存以只读方式在所有沙箱间共享同一份副本；只有用户的工作状态和最终产物落盘到Hyperdisk加密卷。企业接入时，管理员通过Agent Gateway、Private Service Connect和VPC Service Controls声明代理允许触达的边界，代理访问Workspace或私有云资源不需要复制数据，也不用打开防火墙端口。

容量调度上，谷歌把消费级流量、企业级流量和RL/评测流量放在同一硬件池中，利用它们互不重合的峰值时间。Gemini交互流量集中在早晚，企业端按各时区工作时间波动，RL和评测没有固定峰值。全局调度器把时间弹性大的任务（日摘要、后台研究、夜间测试、大规模评测）排到低谷期，从而在相同硬件上支撑更多代理。Agent Compute Engine已在谷歌内部驱动Gemini、Gemini platform、Antigravity和评测管线，预计未来几个月在Google Cloud开放预览。