你的AI代理剛剛決定運(yùn)行一段代碼?？赡苁菆?zhí)行工具調(diào)用，可能是啟動子進(jìn)程解析文件，也可能是你寫系統(tǒng)提示時沒預(yù)料到的操作。

什么在阻止它執(zhí)行rm -rf /？

這個問題讓每位真正部署過AI代理的工程師夜不能寐。谷歌在Cloud NEXT '26的260多項發(fā)布中，悄悄藏了一個可能改變行業(yè)游戲規(guī)則的答案。

那個沒人愿意承認(rèn)的真相

當(dāng)前AI代理的狀態(tài)用一個詞概括：失控的信任。

代理執(zhí)行工具調(diào)用時——運(yùn)行shell命令、寫文件、調(diào)用API、生成子進(jìn)程——這段代碼總得在某處運(yùn)行。大多數(shù)現(xiàn)有方案里，這個"某處"是你同時用于其他任務(wù)的容器。更糟的是直接跑在虛擬機(jī)（VM）上。

隔離策略本質(zhì)上是："我們相信模型不會干壞事。"

演示Demo這么玩沒問題。生產(chǎn)環(huán)境這么玩是災(zāi)難。

問題在幾個場景下急劇惡化：

多租戶代理應(yīng)用：一個用戶的代理理論上能干擾另一個用戶的執(zhí)行環(huán)境

自主代理：運(yùn)行越久、人類監(jiān)督越少，執(zhí)行的代碼越多，任何錯誤的波及范圍就越大

第三方工具：你運(yùn)行的不只是自己的代碼。代理調(diào)用外部工具、MCP服務(wù)器、返回任意載荷的API

每個認(rèn)真做代理的團(tuán)隊都有過這種對話："原型我們很愛。但讓用戶真實(shí)使用？怕得要死。"

從"筆記本里能跑"到"拿飯碗擔(dān)保上線"的鴻溝，幾乎全是信任和隔離問題。

谷歌到底發(fā)布了什么

NEXT '26大會上，谷歌宣布GKE Agent Sandbox正式商用（Generally Available）。

一句話總結(jié)：為AI代理專門設(shè)計的隔離、一次性執(zhí)行環(huán)境，運(yùn)行不可信代碼和工具調(diào)用，同時確保碰不到不該碰的東西。

但細(xì)節(jié)才見真章。

隔離層基于gVisor，在內(nèi)核層面攔截系統(tǒng)調(diào)用，阻止其到達(dá)宿主機(jī)。這是谷歌用來保護(hù)Gemini本身的同款技術(shù)。不是新實(shí)驗(yàn)，是久經(jīng)沙場的基建被重新用于代理工作負(fù)載。

規(guī)模數(shù)字：每集群每秒啟動300個沙箱；首次指令執(zhí)行時間低于1秒；每個沙箱有狀態(tài)（stateful）。

這些數(shù)字意味著代理可以頻繁、快速地生成隔離環(huán)境，同時保持執(zhí)行上下文。不是"跑完就扔"的無狀態(tài)容器，而是能承載復(fù)雜代理工作流的臨時安全艙。

谷歌把自家保護(hù)大模型的基礎(chǔ)設(shè)施開放給了所有人。這本身就是信號。

為什么現(xiàn)在才有人做

隔離執(zhí)行環(huán)境不是新概念。容器、虛擬機(jī)、沙箱技術(shù)存在多年。

但AI代理的需求組合是新的：

啟動速度要快（代理不能等幾十秒環(huán)境就緒）

隔離要徹底（不可信代碼必須真·隔離）

要有狀態(tài)（代理需要記住剛才做了什么）

要可擴(kuò)展（每秒數(shù)百個沙箱）

傳統(tǒng)方案在這幾點(diǎn)的權(quán)衡上總是顧此失彼。快的不安全，安全的不夠快，能擴(kuò)展的沒狀態(tài)。

谷歌的解法是把gVisor的輕量級虛擬化與GKE的編排能力結(jié)合，再針對代理場景優(yōu)化啟動路徑。不是通用沙箱的重新包裝，是從頭為"LLM生成代碼執(zhí)行"這個特定模式設(shè)計的。

這解釋了為什么"隔離代理執(zhí)行"這個顯而易見的需求，直到2026年才有大廠拿出生產(chǎn)級方案。問題不是技術(shù)不存在，是要把正確的技術(shù)以正確的方式組合，并愿意承擔(dān)支持它的長期成本。

誰該關(guān)心這件事

如果你在做任何讓LLM執(zhí)行代碼的系統(tǒng)，答案是你。

具體場景包括：

代碼生成工具（Copilot類產(chǎn)品的執(zhí)行層）

數(shù)據(jù)分析代理（讓LLM跑Python/R處理用戶上傳文件）

自動化工作流（代理調(diào)用API、操作數(shù)據(jù)庫、部署服務(wù)）

多租戶SaaS（一個平臺托管多個客戶的代理，必須嚴(yán)格隔離）

這些場景的共同點(diǎn)：代碼來源不可信（LLM生成），執(zhí)行環(huán)境必須可信（不能讓用戶A的代理看到用戶B的數(shù)據(jù)）。

谷歌的方案不是唯一路徑。你可以自己用gVisor搭，用Firecracker，用各種開源組合。但"正式商用"意味著SLA、支持、文檔、持續(xù)維護(hù)——這些是企業(yè)生產(chǎn)決策的真正成本。

更重要的是，它驗(yàn)證了方向：代理隔離是基礎(chǔ)設(shè)施問題，不是應(yīng)用層能湊合的。

沒說完的部分

原文發(fā)布時GKE Agent Sandbox剛GA，具體定價、與Vertex AI的集成深度、多云支持策略等細(xì)節(jié)尚未完全公開。谷歌的典型節(jié)奏是先推核心能力，再逐步擴(kuò)展生態(tài)。

已知的是技術(shù)底座：gVisor的syscall攔截、GKE的編排、每秒300沙箱的啟動能力。未知的是市場會多快跟進(jìn)——AWS和Azure是否有對等產(chǎn)品，開源社區(qū)是否會形成標(biāo)準(zhǔn)抽象。

但有一點(diǎn)已經(jīng)清楚：把代理執(zhí)行隨便丟進(jìn)容器的時代，正在結(jié)束。