Google Agent Compute Engine proporciona a cada sesión de agente una microVM dedicada, aislada por hardware, con su propio kernel invitado y acceso root. Anunciado por Google el 22 de octubre de 2026, el servicio gestionado separa las decisiones del agente de la ejecución no fiable, al tiempo que mantiene las credenciales persistentes fuera del entorno aislado. Una microVM es una máquina virtual ligera que combina un kernel independiente con un entorno de ejecución simplificado y controles rápidos del ciclo de vida.
¿Cómo funciona Google Agent Compute Engine?
Google Agent Compute Engine sitúa cada sesión de agente dentro de una microVM de un único inquilino protegida por un límite de Cloud Hypervisor. Según el análisis técnico exhaustivo de Google de octubre de 2026, la microVM ejecuta comandos, almacena archivos de trabajo y devuelve resultados, mientras que un arnés de orquestación fiable independiente controla la sesión desde fuera del sandbox.
La arquitectura aborda una característica problemática de los agentes autónomos: pueden escribir código, instalar paquetes, procesar archivos no fiables e invocar herramientas del sistema operativo. El acceso root puede resultar útil para esas tareas, pero conceder root dentro de un contenedor compartido amplía las consecuencias de una fuga o de un error de configuración.
La respuesta de Google es un invitado desechable con su propio kernel. Según el anuncio de la empresa de 2026, la infraestructura Titan y Titanium IPU proporciona confianza basada en hardware, atestación de cargas de trabajo, mediación del almacenamiento y cifrado de red. Google también afirma que las mitigaciones contra canales laterales de la CPU se aplican a cada sesión de un único inquilino.
El host físico está diseñado para no aportar ningún estado persistente. Google informó en octubre de 2026 de que el host es sin estado e inmutable, con un sistema de archivos raíz de solo lectura aplicado mediante dm-verity. Los datos persistentes del agente deben almacenarse en almacenamiento conectado, no en la máquina que ejecuta la microVM.
¿Por qué están separados el arnés del agente y el sandbox de ejecución?
Google Agent Compute Engine mantiene el arnés de orquestación fiable fuera del sandbox de ejecución para que el código no fiable no pueda controlar directamente el componente que toma las decisiones del agente. El arnés envía comandos a través del límite, la microVM los ejecuta y devuelve el resultado para su evaluación, según el análisis exhaustivo de Google de octubre de 2026.
Esta división limita el alcance de un proceso de herramientas comprometido. Un paquete malicioso podría obtener privilegios root dentro del invitado, pero la lógica de orquestación, las credenciales persistentes y el plano de control del host permanecen fuera del límite del invitado por diseño.
La distinción también facilita la auditabilidad. Un registro de producción útil debería correlacionar la acción propuesta por el modelo, el comando del arnés, el resultado del sandbox y cualquier llamada posterior a una herramienta. Google describió el límite arquitectónico en 2026, pero no había publicado un esquema de auditoría completo orientado al cliente a 27 de octubre de 2026.
Este enfoque está relacionado con el problema más amplio de crear entornos reproducibles para sistemas autónomos. El trabajo de Google sobre entornos de entrenamiento de IA en evolución ilustra por qué el comportamiento del entorno es tan importante como el comportamiento del modelo, especialmente en las canalizaciones de evaluación y aprendizaje por refuerzo.
¿Cómo funcionan la red y la seguridad de las credenciales?
Google Agent Compute Engine proporciona a las microVM en sandbox ninguna interfaz de red virtual convencional, puerta de enlace predeterminada, acceso directo a Virtual Private Cloud ni acceso al servidor de metadatos. En su lugar, el tráfico atraviesa virtio-vsock hasta proxies de mediación, donde se comprueban las políticas de identidad y de salida antes de que una solicitud pueda llegar a un servicio local o a un destino externo.
Este es un punto de partida más sólido que conectar un invitado a una red permisiva y añadir reglas de firewall después. La mediación con denegación predeterminada convierte cada backend accesible en una decisión de política explícita. Sinceramente, esa elección de diseño importa más que una larga lista de funciones cuando un agente puede generar y ejecutar comandos arbitrarios.
Los tokens de actualización de OAuth de larga duración, las claves de cuentas de servicio y las credenciales de usuario permanecen fuera del invitado. El sandbox recibe material de identidad de corta duración y limitado a la sesión, mientras que Agent Gateway inserta las credenciales de backend necesarias durante el tránsito, después de completar las comprobaciones de identidad y política.
Google afirmó en octubre de 2026 que la identidad del agente se basa en credenciales SPIFFE de corta duración y atestadas criptográficamente. El diseño distingue entre identidades de usuario, agente delegado, carga de trabajo y plantilla laboral, en lugar de tratar cada acción como si procediera directamente de una única cuenta de servicio. Esa separación resulta especialmente relevante para agentes autorizados para iniciar pagos, donde la autoridad delegada debe tener límites estrictos.
¿Es Google Agent Compute Engine más seguro que los contenedores o las máquinas virtuales?
Google Agent Compute Engine busca ofrecer un aislamiento más sólido que un contenedor convencional, al tiempo que mantiene una mayor densidad y una gestión del ciclo de vida más rápida que una máquina virtual convencional. La guía de Google sobre contenedores de octubre de 2026 indica que los contenedores comparten el kernel del sistema operativo del host, mientras que las máquinas virtuales sitúan las cargas de trabajo tras kernels invitados independientes y límites de aislamiento a nivel de hardware.
| Arquitectura | Modelo de kernel | Límite de aislamiento | Modelo de persistencia | Compromiso habitual |
|---|---|---|---|---|
| Contenedor convencional | Comparte el kernel del host | Aislamiento a nivel de proceso | Volumen externo o capa del contenedor | Alta densidad, menor separación del kernel |
| Máquina virtual convencional | Kernel invitado independiente | Aislamiento a nivel de hardware | Disco virtual | Separación sólida, ciclo de vida más pesado |
| MicroVM de Agent Compute Engine | Kernel invitado independiente | Límite dedicado de Cloud Hypervisor | Hyperdisk y snapshots opcionales | Separación propia de las máquinas virtuales con controles de densidad |
Un kernel independiente reduce el riesgo de que un proceso invitado aproveche el kernel compartido del host utilizado por cargas de trabajo vecinas. Eso no hace que la ejecución de agentes sea inocua. Una política deficiente, permisos excesivos en backends, herramientas vulnerables y resultados confidenciales aún pueden causar daños sin que se produzca ninguna fuga del sandbox.
Cada microVM puede conectar su propio Hyperdisk, lo que permite que los archivos, los espacios de trabajo de ejecución y el contexto del agente sobrevivan a pausas o sesiones posteriores. Google también informó en 2026 de que las instantáneas de memoria y los volúmenes de bloques están cifrados en reposo y requieren tokens de autorización específicos o gestionados por el cliente antes de conectarse o restaurarse.
El uso compartido mediante copia en escritura permite que las páginas de memoria y las instantáneas comunes consuman menos capacidad física que los invitados completamente duplicados. Las sesiones inactivas pueden guardarse en un punto de control en lugar de ocupar capacidad de cómputo activa de forma continua y restaurarse después con la memoria y los archivos intactos. Google no había publicado mediciones específicas del servicio sobre la latencia de reanudación a 27 de octubre de 2026.
¿Cuándo estará disponible Google Agent Compute Engine y cuánto costará?
Google Agent Compute Engine no estaba disponible con carácter general a 27 de octubre de 2026. Google afirmó que se preveía una vista previa pública para «los próximos meses» y habilitó un proceso para manifestar interés tras presentar el servicio en AGNTCon + MCPCon el 22 de octubre de 2026, pero no se había publicado ninguna fecha exacta para la vista previa ni una lista de precios pública.
La implementación interna está más avanzada que el cliente acceso. Google afirma que el sistema ya impulsa los agentes de Gemini para tareas de trabajo y es compatible internamente con la plataforma Gemini, Antigravity, la evaluación de modelos y las canalizaciones de aprendizaje por refuerzo. Eso no demuestra que los clientes externos tengan acceso en producción, aunque ya utilices Google Cloud o sigas cambios en el acceso a los modelos de Gemini.
A 27 de octubre de 2026, el material del anuncio de Google no incluía unidades de facturación públicas, una lista de regiones, cuotas, límites de sesiones ni un acuerdo de nivel de servicio. Por tanto, los compradores aún no pueden calcular un coste operativo creíble por sesión o por agente.
Hay una cifra tentadora, pero debe etiquetarse con cuidado. Google informó de que Agent Substrate, un sistema independiente de ejecución de de código abierto Kubernetes, alcanzó hasta 10 veces la densidad de la computación tradicional y gestionó 500 activaciones por segundo en una prueba con 200.000 agentes durante 2026, con una latencia de suspensión y reanudación inferior a 500 milisegundos.
Esos no son resultados de referencia de Agent Compute Engine. Con la tasa de activación indicada, iniciar 200.000 agentes llevaría 400 segundos, es decir, 6 minutos y 40 segundos, si la tasa se mantuviera constante. El cálculo aporta una escala útil a la afirmación del proveedor, pero no dice nada sobre las cargas de trabajo de los clientes, la latencia de cola ni las futuras cuotas del servicio gestionado.
¿Qué deben verificar los compradores antes de utilizar Agent Compute Engine?
Los compradores de Google Agent Compute Engine deben verificar el aislamiento, las redes mediadas, el alcance de la identidad, los controles de persistencia, la correlación de auditoría y el coste operativo total antes de aprobar su uso en producción. A fecha de 27 de octubre de 2026, Google había explicado la arquitectura, pero aún no había publicado la especificación comercial completa necesaria para comparar el servicio gestionado con las plataformas de sandbox existentes.
Una evaluación técnica debe solicitar pruebas de los siguientes controles y condiciones comerciales:
- Confirmar que las conexiones de salida están denegadas por defecto y mediadas, incluido el comportamiento del Sistema de nombres de dominio, la resistencia a la elusión del proxy y el acceso a servicios privados.
- Verificar que las credenciales de larga duración permanecen fuera del guest y que cada sesión recibe material de identidad de corta duración y con atestación, con permisos estrictamente delimitados.
- Probar el aislamiento mediante un kernel de guest dedicado, los límites del acceso root y la respuesta cuando un código no fiable intenta acceder al servidor de metadatos o a Virtual Private Cloud.
- Revisar los controles de Hyperdisk, las instantáneas, la restauración, la eliminación y la autorización gestionada por el cliente, incluido quién puede volver a conectar los datos de una sesión pausada.
- Exigir la correlación entre las decisiones del modelo, las llamadas a herramientas, los comandos del arnés, la salida del sandbox y los eventos de autorización del backend.
- Calcular el precio de la computación activa, los puntos de control en inactividad, las instantáneas de memoria, el almacenamiento persistente, la salida de red y las operaciones de restauración cuando Google publique las condiciones de facturación de 2026 o posteriores.
- Comprobar las cuotas, las regiones compatibles, los límites de duración de las sesiones, los objetivos de recuperación y el acuerdo de nivel de servicio antes de diseñar dependencias de producción.
El riesgo que suele pasarse por alto es la persistencia. Una microVM desechable aún puede conservar archivos manipulados, scripts de inicio maliciosos o contexto contaminado en su volumen asociado. Los controles deben analizar el estado restaurado y regular las instantáneas, en lugar de asumir que reiniciar el guest devuelve al agente a un estado limpio.
El 27 de octubre de 2026 había pocas pruebas independientes en producción porque la vista previa para clientes aún no había comenzado. Por ahora, las afirmaciones arquitectónicas proceden principalmente del anuncio y del análisis detallado de Google. El diseño resulta convincente, pero el proceso de adquisición debe distinguir los mecanismos publicados de los controles que los clientes ya han probado.
Preguntas frecuentes
¿Proporciona Agent Compute Engine acceso root a un agente de IA?
Google Agent Compute Engine proporciona a cada sesión del agente acceso root dentro de su microVM dedicada, según el anuncio de Google de octubre de 2026. El acceso root permanece confinado por el límite del kernel del guest y Cloud Hypervisor, sin extenderse al host físico ni al arnés de orquestación de confianza.
¿Puede Agent Compute Engine conservar archivos entre sesiones?
Google Agent Compute Engine puede conectar un Hyperdisk dedicado para que los archivos, los espacios de trabajo y el contexto del agente persistan entre pausas y sesiones. En 2026, Google indicó que los volúmenes de bloques y las instantáneas de memoria están cifrados en reposo y requieren autorización para conectarse o restaurarse.
¿Tiene una microVM de Agent Compute Engine acceso directo a Internet?
Una microVM de Agent Compute Engine no tiene una interfaz de red convencional, una puerta de enlace predeterminada ni una conexión directa a Virtual Private Cloud. Las solicitudes de red atraviesan virtio-vsock hasta los proxies de mediación, que aplican reglas de salida, identidad y políticas.
¿Es Agent Substrate el mismo producto que Agent Compute Engine?
Agent Substrate es un runtime de Kubernetes de código abierto independiente que admite sandboxes de microVM o gVisor. Las afirmaciones de Google de 2026 sobre densidad y latencia de Agent Substrate no deben presentarse como resultados de rendimiento del servicio gestionado Agent Compute Engine.