2026年10月22日，谷歌云在加利福尼亚州圣何塞举行的AGNTCon + MCPCon大会上正式推出Agent Compute Engine（ACE）。这是专为AI智能体打造的计算服务，其核心设计原则是“零后端凭据”：智能体会话启动时，服务令牌、API密钥等敏感信息由独立硬件层注入网络，智能体本身无法触及。即便遭遇提示词注入攻击，攻击者面对的也只是一个空白沙箱。
硬件级隔离：从软件信任到硅片信任
ACE摒弃了传统的容器技术，转而采用轻量级硬件隔离虚拟机（microVMs）。其安全根基在于谷歌自研的Titanium基础设施处理单元（IPU）。Titanium芯片位于访客环境之外，持有每个microVM的认证密钥，确保沙箱内的任何软件漏洞都无法窃取密钥。
该安全模型由三层架构组成：
- MicroVM层：每个智能体会话运行在独立的microVM中，拥有独立的Linux内核，通过基于KVM的虚拟化实现完整的硬件隔离边界。启动时间约125毫秒，每个智能体仅增加约5MB内存开销。
- Titanium层：专用处理器负责加密操作及I/O虚拟化，并在访客环境外保管私有认证密钥。每个microVM获得临时的SPIFFE身份证书及短期令牌，但不包含后端服务凭据。
- Agent Gateway层：作为策略执行层，验证用户委托令牌、智能体身份及节点身份后，在飞行中进行令牌交换，将实际后端凭据插入通信线路。凭据从未进入或存储在microVM内部。
这种设计意味着，即使攻击者完全控制智能体行为，也无法提升权限或泄露凭据用于后续攻击。
应对提示词注入：行业共识转向microVM
提示词注入已成为AI安全的主要威胁。OWASP将其列为LLM应用十大风险之首。仅在2026年前三个季度，安全研究人员就记录了12起针对生产环境AI系统的间接注入攻击。谷歌威胁研究团队数据显示，2025年11月至2026年2月期间，针对集成LLM应用的恶意注入载荷增加了32%。
严重的EchoLeak漏洞（CVE-2025-32711）曾利用微软Microsoft 365 Copilot的间接注入漏洞窃取用户数据，根源在于智能体持有读取数据的凭据。谷歌的解决方案是将凭据完全移出攻击面。
2026年，四大云服务提供商不约而同地选择了microVM隔离技术，标志着容器在智能体计算中已失效：
- AWS：6月22日推出基于Firecracker的Lambda MicroVMs，支持长达八小时的会话窗口。
- Docker：9月24日推出基于Intel VT-x/AMD-V的Docker Cloud Sandboxes，总裁Mark Cavage直言容器无法满足AI智能体的隔离需求。
- DigitalOcean：10月进入基于Firecracker的MicroVM服务私人预览。
- 谷歌：10月22日发布ACE，通过Titanium硅片层实现垂直整合的安全链。
大规模下的成本优化与开源生态
为解决硬件隔离带来的高成本问题，ACE引入了两项关键技术：
- 检查点恢复（Checkpoint-restore）：在智能体空闲时快照microVM状态并释放资源，活跃时可在500毫秒内恢复，实现无缝续跑。
- 写时复制内存：多个智能体共享OS模板的物理内存页，仅维护各自的修改页，大幅降低内存成本。
基于此模型的开源运行时——GKE上的Agent Substrate，已在基准测试中实现每秒500次智能体激活，计算密度比传统计算高出10倍。目前，Agent Substrate已作为开源项目发布，支持在任何Kubernetes集群上运行，兼容Claude Code、OpenClaw等框架。
完全托管的ACE产品，包含Titanium隔离层和托管生命周期控制，将在未来几个月内进入客户预览阶段。
全域治理：跨云与终端的统一控制
伴随ACE发布，谷歌将智能体治理平台扩展至多云、本地部署及托管终端设备。治理栈包含四个组件：
- Agent Gateway：集中式策略执行，提供敏感数据保护及攻击防御。
- Agent Registry：维护经批准的智能体、工具及模型的单一事实来源。
- Agent Identity：基于SPIFFE标准颁发密码学标识符，实现跨运行时身份追踪。
- Agent Observability：提供符合OpenTelemetry W3C标准的遥测数据，支持分布式追踪及审计。
预计2026年第四季度末，还将预览令牌和成本治理、模型路由策略等功能。欧莱雅首席AI工程师Alexandre Frizzo表示，该治理平台为其扩展AI雄心提供了统一身份、策略和可观测性的基础。
谷歌将于11月9日举办“AI Infrastructure Future”活动，进一步披露ACE架构的技术细节。