Google führt Agent Compute Engine für das Hosting von KI-Agenten ein

Am 22. Oktober 2026 kündigte Google LLC die Agent Compute Engine an – einen Infrastrukturdienst zur Bereitstellung von KI-Agenten. Die Ankündigung erfolgte auf der AGNTCon + MCPCon-Konferenz. Der Dienst erstellt eine isolierte Mikro-VM für jeden Agenten, in der keine Anmeldedaten vorhanden sind und Aufgaben in sicheren Sandboxes ausgeführt werden.

Google behauptet, dass die Technologie die Effizienz von Containern mit der Sicherheit der Virtualisierung kombiniert. Geräte speichern Agentendateien nicht dauerhaft; Daten werden in einem unveränderlichen Dateisystem gespeichert, die Integrität der Firmware wird durch Titan-Chips überprüft, und Prozessoren sind vor Seitenkanalangriffen geschützt. Mikro-VMs haben eingeschränkten Zugriff auf Speicher, sodass das Erfassen einer Sandbox nicht das Lesen oder Löschen von Daten ermöglicht. Der gesamte Datenverkehr durchläuft mehrere Proxys: von der Mikro-VM über einen lokalen Vermittler zu einem externen Gateway, das Anforderungsbereiche überprüft und ausgehende Routen sicherstellt.

KI-Anwendungen setzen Agenten häufig aus, und inaktive Sandboxes verbrauchen Ressourcen. Google behauptet, dass der Dienst die Inaktivität erkennt, die Sandbox deaktiviert und sie bei Bedarf aus einem Snapshot wiederherstellt. Dadurch kann ein einzelner physischer Knoten um Größenordnungen mehr aktive Mikro-VMs als reguläre virtuelle Maschinen hosten. Die Dichte wird durch die Nutzung des gemeinsamen Speichers erreicht: Vorgewärmte Images werden über DAX abgebildet, und nur die geänderten Seiten jedes Agenten belegen privaten Speicher. Der Speicher ist in flüchtige Overlays, gemeinsam genutzte schreibgeschützte Volumes und persistente Arbeitsbereiche auf Hyperdisk unterteilt.

Anmeldedaten werden außerhalb der Sandbox gespeichert, und der Agent Gateway-Dienst ruft sie ab und sendet sie im Namen des Agenten. Google geht davon aus, dass ein Angreifer alles innerhalb der Sandbox kontrolliert, sodass der Agent nach einer Eingabeaufforderungsinjektion keine Geheimnisse zum Stehlen findet.

Google definiert vier Agentenidentitäten: Benutzer, delegiert, Agent Workload Identity (eine kurzfristige SPIFFE-Identität, die für den Sandbox-Datenverkehr einzigartig ist) und Agent Workforce Identity. Die Workload-Identität ist im Falle eines Lecks für direkte API-Aufrufe nutzlos – sie zeigt nur an, welche Sandbox das Paket gesendet hat.