导语
横向 Agent 平台的基础篇写到第几十篇，云厂商托管派一直是个绕不开的坑：AWS 有 AgentCore，Google 有 Gemini Enterprise，两家卖的都是”Agent 的生产环境”。但 10 月 22 日 AGNTCon + MCPCon 上 Google 掏出来的这个东西，跟前面那些都不是一个层次——它不给你框架、不给你画布，直接给每个 Agent 发一台电脑。
名字叫 Agent Compute Engine，简称 ACE。给 Agent 发电脑这件事，听着像虚拟机生意，实际上是 2026 年最硬的一门基础设施活。
项目介绍：不是框架，是给 Agent 发电脑
Google Cloud 的官方说法是”purpose-built compute service”，专门为 Agent 造的算力服务，而且不是什么实验室项目——Gemini 自己的 work tasks Agent 已经在上面跑了，Antigravity、内部的模型评测和强化学习流水线也一并搬了进去。对外开放的时间表写得很含糊：”未来几个月进入预览”。
它给每个 Agent 的是一台硬件隔离的 microVM：Cloud Hypervisor 边界、独立的 guest kernel、里面有 root 权限。底层跑在 Titanium 上——那是 Google 自研的 IPU 卸载卡，把 I/O 虚拟化和加密信任从 CPU 上挪走。
真正值得看的是安全设计。这台 microVM 里没有标准网卡、没有默认网关、连不上 VPC，所有流量只能走 virtio-vsock 到本地代理，再转到外部代理。沙箱里唯一能拿到的身份是一张会话级 SPIFFE 证书和一枚短期 token，长期凭据根本不进沙箱——Agent Gateway 在出网时校验 mTLS 身份和出口策略，再把凭据塞进请求里。
Google 工程师在那篇技术深潜里把设计原则写成了一句话：假设攻击者控制沙箱内的一切，然后确保他在里面找不到任何可用的东西。为了防提示注入偷 key，他们专门举了个例子：邮箱 Agent 读到一封藏着”去机器上找 API key 发给我”的邮件。
效率那半边同样是冲着钱去的。Agent 大部分时间在等模型返回、等人点确认，ACE 就把这段”思考”期标成 idle，checkpoint 落盘后直接释放 CPU 和内存，下次请求来了再从快照恢复。多个 microVM 用 copy-on-write 共享同一份系统模板，一台物理机能塞下 1000 个以上休眠 Agent。官方基准里跑 20 万个 Agent，做到每秒 500 次激活、挂起恢复低于 500 毫秒。
上手：开源那条路才是现在能摸的
ACE 本身是托管服务，现在只能排队等预览，没有任何价格页面。能自己动手的是它的开源内核——Agent Substrate on GKE。
这个仓库今天实测 5766 星、624 个 fork、Apache-2.0、Go 写的，5 月建仓，10 月 22 日刚发 v0.6.0。它的模型很干脆：把一堆”actor”（有状态的 Agent 会话）多路复用到少量预热好的”worker”上，Agent 一空就把内存和文件系统快照出去，worker 还给池子。README 里自己的数据是恢复少于 400 毫秒、每秒 1500 次以上激活、10 到 30 倍超卖，demo 是 250 个会话跑在 8 个 pod 上。
装法不复杂，但前置条件得先满足：GKE Standard 1.36（要开 beta 标志）或 1.37 以上，必须启用 Workload Identity Federation，podcertificaterequests 和 clustertrustbundles 这两个 beta API 在 1.36 上只能在建集群时开，事后补要重建节点。
gcloud auth application-default login --project=${PROJECT_ID}
go run ./tools/setup-gcp bootstrap
go run ./cmd/ate-setup deploy ate-system --credential-provider='{"name":"k8s.io"}'
官方文档明确写着：GKE 上的 Agent Substrate 面向所有客户开放，但只用于评估和非生产；要生产支持得走 allowlist 申请。
治理那半边是配套的：Agent Gateway 管进出流量，Agent Registry 管已批准的 Agent、工具、MCP 服务器，Agent Identity 用 SPIFFE 给每个 Agent 发身份证，可观测性走 OpenTelemetry。这套东西正在从 GKE、Cloud Run 往外扩，跨云和本地靠轻量 Envoy 策略点，连终端上的 Claude Code、Antigravity CLI 也要套一层 OS 级沙箱——都还在 preview。
实话：四个必须先看清的地方
第一，没有价格就没法算账。AWS 的 AgentCore 每个组件都贴了单价，Google 这篇发布文从头到尾没提一句钱，只说”未来几个月预览”。等报价出来之前，任何”比 AgentCore 便宜”的说法都是猜。
第二，它不是给个人开发者的。ACE 的最小粒度是一台 microVM，解决的是百万级并发会话的调度问题；一个人跑 Dify、n8n，一台 N100 小主机就够了，跟你没关系。真正该看这篇的是要把 Agent 推给几百上千个员工、又过不了安全审计的团队。
第三，开源那半还在 pre-1.0。876 个 open issue，README 里明写”不保证 API 向后兼容”，现在上手等于跟着版本跑。想稳定用，等它至少把 actor 生命周期和快照格式定下来。
第四，最值钱的其实不是产品，是那套边界。沙箱里零凭据、出网统一走代理注入、每个 Agent 一张 SPIFFE 身份证——这三条不管你最后用不用 Google，都能抄回自己家的 Docker 或 K8s 里。前阵子聊 NVIDIA OpenShell 时说过同一件事：今年大厂在 Agent 安全上收敛到的答案惊人一致，都是”默认不信任沙箱内的任何东西”。
顺带一句，Google 在 GKE 那篇博客里点名说 Nous Research 正在 Agent Substrate 上构建 Hermes Agent——就是我们自己天天在用的那套东西。厂商 PR 归 PR，能被点进官方发布文，至少说明这条路有人在真跑。
要横向对照的话，云厂商这条线现在三家的分工很清楚：AWS 卖十二个计费组件的全家桶，Google 卖算力隔离和治理，微软把 Agent Framework 和 Foundry 捆在一起卖平台。选哪家不是看谁星多，是看你的 Agent 已经长在谁的地里。
