Google推Agent Compute Engine：十倍密度跑分背后，零凭证沙箱与空闲税的算力暗战

Google把专为智能体打造的算力底座Agent Compute Engine推向台前，给每个自主运行的Agent分配了一台硬件级隔离的微虚拟机。

发布会刚过，一组数据就在技术圈疯传：20万并发、挂起恢复延迟低于500毫秒、单机承载密度提升整整10倍。许多人据此断定，长程智能体的算力问题已经被彻底解决。

事实完全是两回事。那份惊艳的跑分记录，来自Google在自建GKE集群上测试的开源底座Agent Substrate，绝非托管云服务的生产承诺。截至目前，托管版ACE不仅没有公开生产环境下的冷启动指标，甚至连计费单价都按下了不表。

抛开宣传滤镜，这项服务真正动刀的地方只有两处：第一，默认沙箱已经被攻陷，拔掉网卡推行零凭证；第二，用微虚机快速休眠把活跃算力清零，对抗漫长等待产生的空闲税。

跑分归跑分，实验室的十倍密度不是生产账本

理解ACE的第一步，是把开源组件的极限测试与公有云托管服务剥离开来。

智能体在长达数小时的工作流中，超过九成的时间都在等待大模型吐出下一个Token，或是等待人类给出确认指令。在这段真空期里，物理CPU和内存一直被无谓占用。Google试图通过Titanium安全芯片配合Cloud Hypervisor微虚拟机，让Agent在等待I/O时释放物理资源。

所谓的十倍密度，本质是超卖逻辑。它利用智能体交互的长尾空闲打时间差，而不是单机同时扛住20万个高负载并发任务。

更重要的是复用边界。这项技术的核心是单智能体内存快照与快速写时复制，用来省去重建解释器环境的时间，根本不是某些传言所称的跨Agent知识库共享内存。在公有云的多租户环境里，任何跨租户的内存穿透都是灾难。

实验室跑分展示了底层调度的上限，但托管版在面对真实网络抖动、租户隔离策略和鉴权拦截时能剩下几成功力，依然要打上问号。

拔掉虚拟网卡，把沙箱当成潜在敌营

过去的防御思路大多停留在提示词注入拦截，总想着在代码执行前把恶意意图挑出来。ACE反其道而行，预设沙箱已经被攻击者彻底拿下。

既然内部不可信，Google就索性把沙箱的手脚捆死。微虚拟机内部没有分配标准物理网卡，没有配置默认网关，更无法直接访问内网私有网络。

虚拟客机与外界沟通的唯一通道是virtio-vsock。沙箱内部只保留一张生命周期极短的SPIFFE身份凭证，这张凭证对外没有任何API调用权限，仅仅用于向宿主机证明自己的身份。真正的敏感凭证交换，被剥离到了沙箱外部的Agent Gateway里，在流量离机时动态置换完成。

这种设计直接击中了传统环境的软肋。在很多主流方案中，沙箱执行不受信代码时，环境内部依然可以直接读取宿主机的IAM角色权限，一旦被执行越权探测，凭据泄露几乎不可逆。

不过把门锁死不代表天下太平。沙箱偷不走明文密码，但只要它受外部指令误导，发出了属于正常权限范围内的合法请求，照样能改写数据库或刷爆API额度。防线没有凭空消失，只是从系统内核退到了外围网关的策略规则上。

停机哲学分歧：三巨头的空闲账本

如何处置陷入等待的虚拟机，直接体现了不同厂商的工程取向。

AWS在AgentCore中执行激进的资源清退。当空闲达到120秒，系统直接清空内存，代价是下一次唤醒时必须重新拉起Python等运行环境。

微软Azure Foundry托管沙箱采用超时断电。闲置一定时间后只保留磁盘上的文件，运行时的内存变量和浏览器上下文直接抹掉，业务层必须自己写代码处理断点重连。

Google押注的是RAM全内存快照。Titanium硬件卸载让它有底气把Python子进程甚至未提交的中间变量冻结在内存镜像里，唤醒时原地复活。

这不仅仅是技术路线的差异，更是把工程复杂度压向哪一侧的选择。AWS把压力留给业务开发，Google试图把包袱收进平台底层。

但在另一头，更激进的初创方案已经把单价打了下来。Modal推出独立Linux内核沙箱，按核心占用每小时仅收0.047美元；E2B采用Firecracker微虚机，同样推行外部密钥注入。

Google的物理算力确实可以在休眠时清零，但企业必须留神另一笔账。微虚拟机的快照存放在Hyperdisk上，外部网关的代理服务每秒都在待命，这些存储和网络开销并不会随着CPU挂起而消失。

古人讲兵贵神速，更讲粮道不断。智能体执行链路拉得越长，靠瞬间爆发赢下的性价比，往往越容易在持久的等待中被存储底噪吃个干净。

ACE画出了一副极具诱惑力的技术蓝图：零凭据、强隔离、秒级休眠。但对于负责付账的架构师来说，在官方定价表与真实多租户冷启动数据公布之前，这场关乎长程运行时的较量，依然只算刚刚拉开帷幕。