Google正式发布面向AI Agent的专用算力服务Agent Compute Engine。这项技术此前已在内部承载驱动处理复杂任务的Gemini模型，其客户预览版将在未来数月内向外界开放。与此同时，Google将其底层的Kubernetes运行时Agent Substrate推向开源，主打基于定制Titanium芯片的硬件级微虚拟机（microVM）隔离。
这一发布绝非普通的技术补丁。随着大模型应用从单次问答交互走向长达数小时乃至数天的长程自主工作流，智能体在工具调用、代码执行和等待外部响应时产生了大量算力空转。Google此举亮出的核心信号十分明确：云计算巨头的角逐场，已经从按Token计费的模型推理API，转移到承载Agent全生命周期的轻量级操作系统与虚拟化底座。
毫秒级冻结与十倍密度：解构 Agent Substrate 的真实账本
在官方公布的指标中，最引人瞩目的是Agent Substrate在20万个Agent基准测试中的表现：系统维持了每秒500次激活，挂起与恢复的切换延迟低于500毫秒，并声称将单机部署密度最高提升了10倍。
这一惊人密度的物理前提在于高度过载复用，绝非允许单台宿主机同时满负荷并发执行20万个复杂进程。传统虚拟机启动耗时长、内存占用刚性，而轻量容器在多租户执行不可信动态代码时又存在穿透隐患。Google通过Titanium IPU架构配合Cloud Hypervisor微虚拟机，在底层赋予每个microVM独立的客态内核（guest kernel）与root权限，使Agent在等待人类输入或网络I/O时能够迅速释放物理CPU与内存。
需要澄清的是，部分早期解读将文中的内存优化误传为跨Agent的知识库共享内存。仔细审视Agent Substrate的工程实现会发现，其复用机制本质上是单一Actor内存状态（RAM）的快照与快速写时复制，用于避免反复重建解释器运行环境，而非开放跨智能体的未隔离共享存储。混淆这两者，会严重低估公有云多租户环境下的状态隔离边界。
长程智能体竞争的焦点已非算力峰值，而是在长久沉默中精准休眠的能力。
停机哲学分歧：三巨头的状态持久化账本
当智能体在长达数小时的工作流中陷入等待，公有云厂商该如何处置处于停滞状态的虚拟机？在这个问题上，Google、AWS与微软走向了完全不同的工程取向。
AWS在Bedrock AgentCore中推行纯粹的资源回收路线。其V1版本的基准定价为每vCPU小时0.0895美元外加每GB小时0.00945美元；而在升级后的V2按需计费模式中，单价微调至每vCPU小时0.1276美元与每GB小时0.0169美元。V2引入了更为激进的回收策略：当Agent空闲达到120秒时，系统强行回收其占用的内存，并设有128MB的计费下限。
微软Azure Foundry托管沙箱则选择了超时断电机制。它支持空闲超时自动缩容，默认闲置阈值为15分钟，虽然文档在可调区间上存在2至60分钟与2至240分钟的不一致表述，但其底层原则非常坚定：缩容时只保证持久化存储中的文件系统状态（如用户主目录与特定数据目录），不承诺恢复运行时的RAM内存或正在执行的进程。
相比之下，Google试图通过Titanium硬件卸载直接保留RAM镜像。这意味着开发者运行中的无头浏览器会话、Python子进程以及尚未提交至磁盘的中间计算变量，均可在半秒内原地复活。这种差异决定了企业应用的研发门槛：在AWS与Azure上，开发者必须手工编写大量状态外置代码；而在Google的设想中，系统级休眠承揽了一切麻烦。
- 结论.对于重度依赖多轮工具交互与未完成执行上下文的长程开发Agent，保存RAM的微虚机方案能显著精简业务层的状态恢复逻辑，直接降低工程断裂风险。
独立 root 权限的双刃剑与未完工的护栏
为了让Agent能够自主安装依赖、编译代码并操作底层系统组件，Google让每个microVM都拥有独立的客态内核和root权限。然而，把大语言模型产出的不可控指令放进具备高特权的虚拟机内核，必然会带来信任链的重新审视。
查看开源项目agent-substrate/substrate的安全架构文档可以发现，当前这套系统仍有明显的半成品痕迹。文档明确记录，针对各个独立Actor的加密机制以及快照恢复时的鉴权重新校验功能，目前依然被标记为未实现的预留状态；用于防范宿主机工作节点被异常进程污染的遏制逻辑，也尚在开发进行阶段。
更值得关注的是其信任模型的边界排除：该项目明确将宿主机内核以及Kubernetes控制面层面的潜在漏洞排除在防护模型之外。目前外部技术人员的实测多局限于轻量级的双节点开发集群以及gVisor沙箱测试，在公有云恶意多租户互相攻防的严苛环境下，Titanium芯片加Cloud Hypervisor这套全新组合拳的安全性，尚未经历权威第三方机构的深度攻防审计。
- 风险.在公有云托管版本明确其服务等级协议（SLA）与多租户隔离细则之前，企业安全官若盲目向拥有root权限的微虚拟机灌注高密级内网凭据，可能引发意料之外的越权横向渗透。
Google正在把安全与审计控制扩展到Cloud Run、GKE以及各类托管端点，同时整合了Ping Identity与SailPoint等第三方身份凭证服务。但这套技术架构的核心较量，最终依然会落在经济账本上。
当Agent Compute Engine正式公布按量计费单价时，企业将面临最实际的权衡：Google的IPU硬件方案能否在频繁的内存快照与磁盘I/O开销下，把综合账单压到低于AWS AgentCore V2的水平？这场由智能体引发的微虚拟机算力重构，才刚刚露出冰山一角。