Google Cloud lance Agent Compute Engine : une microVM dédiée à chaque agent IA
Google Cloud a dévoilé cette semaine, lors de la conférence AGNTCon + MCPCon, Agent Compute Engine, un service de calcul conçu spécifiquement pour les agents d'IA. Le principe est d'attribuer à chaque session d'agent sa propre microVM, isolée au niveau matériel, avec son noyau invité, un accès root et un volume Hyperdisk. Le service fait déjà tourner Gemini lorsqu'il agit comme agent pour des tâches professionnelles, ainsi qu'Antigravity et les pipelines internes d'évaluation et d'apprentissage par renforcement. Google sépare chaque agent en deux parties : le « cerveau » (le harnais, qui appelle le modèle et reste entièrement hors du bac à sable) et les « mains » (le bac à sable, qui exécute code, commandes shell et navigateurs). Chaque session s'exécute dans une microVM mono-locataire derrière une frontière Cloud Hypervisor, sur des hôtes sans état dont le système de fichiers racine est en lecture seule, garanti par dm-verity. Les clés d'attestation sont conservées par Titanium, hors de l'invité. La disponibilité en préversion client est annoncée pour les prochains mois, sans date, ni tarif, ni chiffres de démarrage ou de densité pour le service lui-même.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de MarkTechPost. Lire l'article original →
Également couvert par The Decoder.
L'originalité tient à la conception réseau et à la gestion des identités. Les microVMs n'ont ni interface réseau standard, ni passerelle par défaut, ni accès direct au VPC : tout le trafic passe par une frontière virtio-vsock vers un proxy local, puis vers une passerelle externe. Le bac à sable ne détient aucun identifiant, seulement un certificat SPIFFE limité à la session et un jeton d'identité de courte durée. C'est l'Agent Gateway qui injecte le véritable identifiant du service cible en cours de route, après vérification des politiques. Google part du principe qu'un attaquant contrôle tout l'intérieur du bac à sable : un agent victime d'une injection de prompt n'y trouve aucun secret à voler. Quatre identités sont distinguées : celle de l'utilisateur, qui authentifie la tâche globale ; une identité déléguée, stockée dans un service d'autorisation central et jamais sur le nœud ; l'identité de charge de travail de l'agent, qui indique seulement quel bac à sable a émis un paquet et reste inutilisable pour des appels API directs si elle est exfiltrée ; et l'identité d'employé de l'agent, avec son propre compte et ses ressources.
Ce lancement répond à un constat : les agents passent l'essentiel de leur temps à attendre un modèle ou un utilisateur. Le bac à sable signale donc la fin d'un appel d'outil, et l'hôte met la microVM inactive en point de reprise, sans ressources actives, avant de la relancer à l'appel suivant. La densité repose sur le partage de mémoire en copie sur écriture : des images instantanées préchauffées sont mappées avec DAX, si bien que les microVMs d'un hôte partagent système et bibliothèques, seules les pages modifiées consommant de la mémoire privée. Les harnais disposent aussi du clonage, des instantanés avec bifurcation et du retour en arrière. Le stockage se répartit entre couches jetables, volumes partagés en lecture seule et espaces de travail persistants sur Hyperdisk. Sur du matériel Google (puces Titan et IPU Titanium), le service s'appuie sur la promesse d'une isolation de type VM avec la rapidité et la densité des conteneurs.
Cette annonce s'inscrit dans la course à l'infrastructure sécurisée pour agents autonomes, où l'injection de prompt et la fuite d'identifiants sont les risques dominants. Google propose aussi un pendant open source, Agent Substrate, exécutable sur tout cluster Kubernetes, qui aurait atteint 500 activations par seconde avec une suspension et reprise sous 500 ms pour 200 000 agents. Reste à voir si Agent Compute Engine tiendra ces performances en production et à quel prix.
Pas d'impact direct sur la France/UE