Google Agent Compute Engine fournit à chaque session d’agent une microVM dédiée, isolée au niveau matériel, avec son propre noyau invité et un accès root. Annoncé par Google le 22 octobre 2026, ce service géré sépare les décisions de l’agent de l’exécution non fiable, tout en conservant les identifiants persistants à l’extérieur du bac à sable. Une microVM est une machine virtuelle légère qui combine un noyau indépendant, un environnement d’exécution minimaliste et des contrôles rapides du cycle de vie.
Comment fonctionne Google Agent Compute Engine ?
Google Agent Compute Engine place chaque session d’agent dans une microVM à locataire unique, protégée par une frontière Cloud Hypervisor. Selon l’analyse technique approfondie publiée par Google en octobre 2026, la microVM exécute les commandes, stocke les fichiers de travail et renvoie les résultats, tandis qu’un harnais d’orchestration distinct et approuvé contrôle la session depuis l’extérieur du bac à sable.
Cette architecture répond à une caractéristique délicate des agents autonomes : ils peuvent écrire du code, installer des packages, traiter des fichiers non fiables et appeler des outils du système d’exploitation. L’accès root peut être utile pour ces tâches, mais l’accorder à l’intérieur d’un conteneur partagé amplifie les conséquences d’une évasion ou d’une erreur de configuration.
La réponse de Google consiste en un environnement invité jetable doté de son propre noyau. Selon l’annonce de l’entreprise en 2026, l’infrastructure Titan et Titanium IPU fournit une confiance fondée sur le matériel, l’attestation des charges de travail, la médiation du stockage et le chiffrement réseau. Google indique également que des mesures d’atténuation contre les attaques par canal auxiliaire du processeur s’appliquent à chaque session à locataire unique.
L’hôte physique est conçu pour ne conserver aucun état durable. Google a indiqué en octobre 2026 que l’hôte est sans état et immuable, avec un système de fichiers racine en lecture seule appliqué via dm-verity. Les données persistantes de l’agent doivent être stockées sur un stockage attaché plutôt que sur la machine qui exécute la microVM.
Pourquoi le harnais de l’agent et le bac à sable d’exécution sont-ils séparés ?
Google Agent Compute Engine maintient le harnais d’orchestration approuvé à l’extérieur du bac à sable d’exécution afin que le code non fiable ne puisse pas contrôler directement le composant qui prend les décisions de l’agent. Le harnais distribue les commandes à travers la frontière, la microVM exécute ces commandes, puis elle renvoie les résultats pour évaluation, selon l’analyse approfondie publiée par Google en octobre 2026.
Cette séparation limite ce qu’un processus d’outil compromis peut atteindre. Un package malveillant peut obtenir les privilèges root à l’intérieur de l’environnement invité, mais la logique d’orchestration, les identifiants persistants et le plan de contrôle de l’hôte restent, par conception, hors de portée de l’environnement invité.
Cette distinction facilite également l’auditabilité. Un enregistrement de production utile devrait mettre en corrélation l’action proposée par le modèle, la commande du harnais, le résultat du bac à sable et tout appel d’outil ultérieur. Google a décrit cette frontière architecturale en 2026, mais n’avait pas publié de schéma d’audit complet destiné aux clients au 27 octobre 2026.
Cette approche est liée au problème plus large de la création d’environnements reproductibles pour les systèmes autonomes. Les travaux de Google sur environnements d’entraînement de l’IA en évolution illustrent pourquoi le comportement de l’environnement est aussi important que celui du modèle, en particulier dans les pipelines d’évaluation et d’apprentissage par renforcement.
Comment fonctionnent la mise en réseau et la sécurité des identifiants ?
Google Agent Compute Engine ne fournit aux microVM mises en bac à sable aucune interface réseau virtuelle conventionnelle, aucune passerelle par défaut, aucun accès direct au Virtual Private Cloud ni aucun accès au serveur de métadonnées. Le trafic passe plutôt par virtio-vsock vers des proxys de médiation, où les identités et les règles de sortie sont vérifiées avant qu’une requête puisse atteindre un service local ou une destination externe.
Il s’agit d’une position de départ plus sûre que de connecter un environnement invité à un réseau permissif, puis d’ajouter des règles de pare-feu. La médiation par défaut refusant tout accès rend chaque backend accessible explicitement soumis à une décision de politique. Honnêtement, ce choix de conception compte davantage qu’une longue liste de fonctionnalités lorsqu’un agent peut générer et exécuter des commandes arbitraires.
Les jetons d’actualisation OAuth à longue durée, les clés de comptes de service et les identifiants utilisateur restent à l’extérieur de l’environnement invité. Le bac à sable reçoit des éléments d’identité à courte durée, limités à la session, tandis qu’Agent Gateway insère à la volée les identifiants requis pour les backends après avoir effectué les vérifications d’identité et de politique.
Google a indiqué en octobre 2026 que l’identité des agents repose sur des identifiants SPIFFE à courte durée et attestés cryptographiquement. La conception distingue les identités utilisateur, agent délégué, charge de travail et personnel, au lieu de traiter chaque action comme si elle provenait directement d’un seul compte de service. Cette séparation devient particulièrement pertinente pour les agents autorisés à initier des paiements, pour lesquels l’autorité déléguée doit être strictement limitée.
Google Agent Compute Engine est-il plus sûr que les conteneurs ou les machines virtuelles ?
Google Agent Compute Engine vise une isolation plus forte que celle d’un conteneur conventionnel, tout en conservant une densité supérieure et une gestion plus rapide du cycle de vie qu’une machine virtuelle conventionnelle. Les recommandations de Google sur les conteneurs, publiées en octobre 2026, indiquent que les conteneurs partagent le noyau du système d’exploitation hôte, tandis que les machines virtuelles placent les charges de travail derrière des noyaux invités distincts et des frontières d’isolation au niveau matériel.
| Architecture | Modèle de noyau | Frontière d’isolation | Modèle de persistance | Compromis typique |
|---|---|---|---|---|
| Conteneur conventionnel | Partage le noyau de l’hôte | Isolation au niveau des processus | Volume externe ou couche du conteneur | Forte densité, séparation moins stricte du noyau |
| Machine virtuelle conventionnelle | Noyau invité distinct | Isolation au niveau matériel | Disque virtuel | Séparation forte, cycle de vie plus lourd |
| MicroVM Agent Compute Engine | Noyau invité distinct | Frontière Cloud Hypervisor dédiée | Hyperdisk et instantanés facultatifs | Séparation de type machine virtuelle avec contrôles de densité |
Un noyau distinct réduit le risque qu’un processus invité exploite le noyau partagé de l’hôte utilisé par les charges de travail voisines. Cela ne rend pas l’exécution d’un agent inoffensive. Une politique inadéquate, des autorisations excessives sur les backends, des outils vulnérables et des résultats sensibles peuvent toujours causer des dommages sans aucune évasion du bac à sable.
Chaque microVM peut attacher son propre Hyperdisk, ce qui permet aux fichiers, aux espaces de travail d’exécution et au contexte de l’agent de survivre aux pauses ou aux sessions ultérieures. Google a également indiqué en 2026 que les instantanés mémoire et les volumes de blocs sont chiffrés au repos et nécessitent des jetons d’autorisation dédiés ou gérés par le client avant leur rattachement ou leur restauration.
Le partage en écriture différée permet aux pages mémoire et aux instantanés communs de consommer moins de capacité physique que des environnements invités entièrement dupliqués. Les sessions inactives peuvent être sauvegardées sous forme de points de contrôle au lieu d’occuper continuellement des ressources de calcul actives, puis restaurées avec leur mémoire et leurs fichiers intacts. Google n’avait pas publié de mesures spécifiques au service concernant la latence de reprise au 27 octobre 2026.
Quand Google Agent Compute Engine sera-t-il disponible et combien coûtera-t-il ?
Google Agent Compute Engine n’était pas généralement disponible au 27 octobre 2026. Google a indiqué qu’un aperçu public était prévu « dans les prochains mois » et a ouvert une procédure d’expression d’intérêt après avoir présenté le service à AGNTCon + MCPCon le 22 octobre 2026, mais aucune date exacte d’aperçu ni aucune grille tarifaire publique n’avait été publiée.
Le déploiement interne est plus avancé que client l’accès. Google affirme que le système alimente déjà les agents Gemini chargés de tâches professionnelles et prend en charge en interne la plateforme Gemini, Antigravity, l’évaluation des modèles et les pipelines d’apprentissage par renforcement. Cela ne prouve pas que les clients externes disposent d’un accès en production, même si vous utilisez déjà Google Cloud ou suivez évolutions de l’accès aux modèles Gemini.
Aucune unité de facturation publique, liste de régions, quota, limite de session ni aucun accord de niveau de service ne figurait dans les documents d’annonce de Google au 27 octobre 2026. Les acheteurs ne peuvent donc pas encore calculer de manière crédible le coût d’exploitation par session ou par agent.
Il existe un chiffre tentant, mais il doit être présenté avec prudence. Google a indiqué qu’Agent Substrate, un open source environnement d’exécution Kubernetes distinct, a atteint une densité jusqu’à 10 fois supérieure à celle du calcul traditionnel et géré 500 activations par seconde lors d’un test portant sur 200 000 agents en 2026, avec une latence de suspension et de reprise inférieure à 500 millisecondes.
Il ne s’agit pas de résultats de référence d’Agent Compute Engine. Au rythme d’activation indiqué, le démarrage de 200 000 agents prendrait 400 secondes, soit 6 minutes et 40 secondes, si le rythme restait constant. Ce calcul donne une idée utile de l’échelle de l’affirmation du fournisseur, mais il ne dit rien des charges de travail des clients, de la latence de queue ni des futurs quotas du service géré.
Que doivent vérifier les acheteurs avant d’utiliser Agent Compute Enginef
Les acheteurs de Google Agent Compute Engine doivent vérifier l’isolation, la mise en réseau médiée, la portée des identités, les contrôles de persistance, la corrélation des journaux d’audit et le coût total d’exploitation avant d’approuver une utilisation en production. Au 27 octobre 2026, Google avait expliqué l’architecture, mais n’avait pas publié la spécification commerciale complète nécessaire pour comparer le service géré aux plateformes de bac à sable existantes.
Une évaluation technique devrait demander des preuves concernant les contrôles et conditions commerciales suivantsa
- Confirmer que la mise en réseau sortante est interdite par défaut et médiée, notamment le comportement du système de noms de domaine, la résistance au contournement du proxy et l’accès aux services privés.
- Vérifier que les identifiants à longue durée restent à l’extérieur de l’environnement invité et que chaque session reçoit des informations d’identité attestées et à courte durée, avec des autorisations strictement limitées.
- Tester l’isolation assurée par un noyau invité dédié, les limites de l’accès root et la réponse lorsqu’un code non fiable tente d’accéder au serveur de métadonnées ou à un réseau Virtual Private Cloud.
- Examiner les contrôles relatifs à Hyperdisk, aux instantanés, à la restauration, à la suppression et aux autorisations gérées par le client, notamment pour déterminer qui peut rattacher les données d’une session mise en pause.
- Exiger une corrélation entre les décisions du modèle, les appels d’outils, les commandes du harnais, la sortie du bac à sable et les événements d’autorisation du backend.
- Calculer le coût du calcul actif, de la sauvegarde des points de contrôle inactifs, des instantanés mémoire, du stockage persistant, de l’egress réseau et des opérations de restauration lorsque Google publiera les conditions de facturation pour 2026 ou une date ultérieure.
- Vérifier les quotas, les régions prises en charge, les limites de durée des sessions, les objectifs de reprise et l’accord de niveau de service avant de concevoir des dépendances de production.
Le piège souvent négligé est la persistance. Une microVM éphémère peut tout de même conserver des fichiers compromis, des scripts de démarrage malveillants ou un contexte contaminé sur son volume attaché. Vos contrôles doivent analyser l’état restauré et encadrer les instantanés, plutôt que de supposer que le redémarrage de l’environnement invité ramène l’agent à un état propre.
Les preuves indépendantes issues de la production étaient rares le 27 octobre 2026, car l’aperçu client n’avait pas commencé. Pour l’instant, les affirmations architecturales proviennent principalement de l’annonce et de l’analyse approfondie de Google. La conception est convaincante, mais les achats doivent distinguer les mécanismes publiés des contrôles que les clients ont effectivement testés.
Questions fréquemment posées
Agent Compute Engine donne-t-il à un agent IA un accès rootf
Selon l’annonce de Google d’octobre 2026, Google Agent Compute Engine donne à chaque session d’agent un accès root à l’intérieur de sa microVM dédiée. L’accès root reste confiné par le noyau invité et la limite de Cloud Hypervisor, sans s’étendre à l’hôte physique ni au harnais d’orchestration approuvé.
Agent Compute Engine peut-il conserver des fichiers entre les sessionsf
Google Agent Compute Engine peut attacher un Hyperdisk dédié afin de conserver les fichiers, les espaces de travail et le contexte de l’agent entre les mises en pause et les sessions. Google a déclaré en 2026 que les volumes en mode bloc et les instantanés mémoire sont chiffrés au repos et nécessitent une autorisation pour être attachés ou restaurés.
Une microVM Agent Compute Engine dispose-t-elle d’un accès direct à Internetf
Une microVM Agent Compute Engine ne possède ni interface réseau conventionnelle, ni passerelle par défaut, ni connexion directe à Virtual Private Cloud. Les requêtes réseau transitent par virtio-vsock vers des proxys de médiation qui appliquent les règles de sortie, d’identité et de stratégie.
Agent Substrate est-il le même produit qu’Agent Compute Enginef
Agent Substrate est un runtime Kubernetes open source distinct qui prend en charge les bacs à sable microVM ou gVisor. Les affirmations de Google en 2026 concernant la densité et la latence d’Agent Substrate ne doivent pas être présentées comme des résultats de performance du service géré Agent Compute Engine.