Google Cloud lança Agent Compute Engine para isolar agentes de IA em microVMs

O Google Cloud anunciou em 22 de outubro de 2026 o Agent Compute Engine, um serviço de computação criado para executar agentes de IA em microVMs isoladas por hardware. A proposta é resolver um problema que cresce à medida que agentes passam a navegar, executar código, chamar ferramentas e manter sessões longas: como dar a cada execução um ambiente seguro e persistente sem pagar o custo de uma máquina virtual tradicional para cada tarefa.

O serviço ainda está previsto para preview nos próximos meses, portanto não há disponibilidade geral, preço final ou métricas independentes de desempenho divulgadas. Mesmo assim, o anúncio importa porque explicita uma mudança de arquitetura: para o Google, agentes não devem ser tratados apenas como chamadas a um modelo, mas como cargas de trabalho que precisam de identidade, isolamento, rede controlada, armazenamento e governança próprios.

Resumo: o que o Google Cloud anunciou

• O Agent Compute Engine executa cada sessão de agente em uma microVM dedicada, com kernel convidado e isolamento baseado em hardware.
• As microVMs podem iniciar, pausar e retomar; o Google cita checkpoint e restauração rápidos para reduzir o custo de sessões ociosas.
• O desenho usa memória copy-on-write para compartilhar uma imagem-base de sistema operacional entre múltiplos ambientes.
• Credenciais de longa duração não devem permanecer dentro do sandbox: a arquitetura usa identidades efêmeras e injeta credenciais no caminho de saída após validações de política.
• O lançamento vem junto da expansão de componentes de governança de agentes, como Agent Gateway, Agent Registry, Agent Identity e telemetria compatível com OpenTelemetry.

Por que agentes exigem uma camada de computação diferente

Um chatbot convencional recebe uma solicitação, gera uma resposta e encerra a interação no servidor. Um agente, por outro lado, pode abrir um navegador, baixar arquivos, rodar testes, alterar código, consultar bancos de dados, esperar uma aprovação humana e continuar o trabalho horas depois. Esse ciclo mistura execução de código potencialmente não confiável, chamadas a serviços externos e dados corporativos.

Contêineres e VMs tradicionais já podem executar essas tarefas, mas obrigam equipes a combinar separadamente provisionamento, limites de rede, gerenciamento de segredos, persistência e observabilidade. O Google argumenta que a alta rotatividade de sessões de agentes — iniciar, chamar uma ferramenta, entrar em espera, retomar — pede uma infraestrutura que trate esse padrão como caso principal, não como adaptação de uma plataforma genérica.

Como funciona o Agent Compute Engine

Uma microVM por sessão de agente

Segundo o Google Cloud, cada agente recebe um ambiente de execução próprio, baseado em Cloud Hypervisor, com seu próprio kernel convidado e permissões de root dentro da máquina virtual. Isso não significa acesso irrestrito à infraestrutura do cliente: o isolamento procura separar o que acontece dentro do sandbox do host e dos outros agentes.

O ponto central é reduzir o raio de impacto. Se um agente interpretar mal uma instrução, executar uma dependência comprometida ou processar conteúdo adversarial, o erro deve ficar contido na sessão. A empresa também diz que aplica mitigação contra canais laterais de CPU e usa sua infraestrutura Titanium para reforçar a separação de I/O e confiança criptográfica.

Pausa, retomada e compartilhamento de memória

Agentes passam parte do tempo sem usar CPU: aguardam uma resposta de API, uma pessoa ou a próxima etapa de um fluxo. O Agent Compute Engine foi desenhado para detectar essa ociosidade, salvar o estado e retomar rapidamente a microVM depois. Para cargas que criam muitas execuções semelhantes — avaliações, agentes de programação ou pipelines de reforço — o Google cita cópias a partir de snapshots e compartilhamento copy-on-write de uma imagem-base.

Na prática, essa combinação tenta evitar duas ineficiências conhecidas: manter máquinas completas ativas durante a espera e reconstruir todo o ambiente para cada nova tentativa. Ainda faltam números públicos de latência de boot, densidade por host e custo por sessão; esses serão critérios essenciais quando o produto chegar ao preview.

Segredos fora do ambiente do agente

O aspecto mais relevante de segurança é a chamada arquitetura de zero secrets. A documentação técnica diz que o ambiente convidado não mantém chaves persistentes, tokens de atualização OAuth nem credenciais de contas de serviço. Em vez disso, a microVM recebe uma identidade de curta duração, e o acesso a serviços depende de validação de identidade e política no gateway.

O modelo é importante para agentes que usam ferramentas. Guardar tokens de alto privilégio no mesmo ambiente que lê páginas da web, executa comandos ou manipula extensões aumenta o impacto de um vazamento. Separar identidade, política de saída e injeção de credenciais não elimina riscos de autorização excessiva, mas reduz a chance de que um segredo de longa duração fique exposto no próprio sandbox.

O que muda com a governança anunciada

O Agent Compute Engine faz parte de um conjunto maior. O Agent Gateway é apresentado como ponto de controle para tráfego entre clientes, agentes e ferramentas; o Agent Registry funciona como inventário de agentes, ferramentas, servidores MCP, skills, modelos e endpoints aprovados; e o Agent Identity atribui uma identidade baseada em SPIFFE a cada agente. A telemetria, por sua vez, adota convenções do OpenTelemetry para registrar chamadas de modelo, ferramentas e saltos entre agentes.

Essa integração responde a um problema comum em implantações corporativas: não basta isolar a execução. A organização precisa saber qual agente chamou qual ferramenta, com qual identidade, sob qual regra, em qual ambiente e a que custo. O Google também anunciou controles de orçamento e tokens, roteamento de modelos e pontos de aplicação de políticas para cenários multicloud e híbridos, vários ainda em preview.

Limitações e perguntas em aberto

• Disponibilidade: o serviço foi anunciado para preview, sem data pública de disponibilidade geral.
• Preço: o anúncio não informa o custo de microVMs, armazenamento persistente, checkpoints ou tráfego de saída.
• Portabilidade real: o Google afirma que o Agent Substrate aberto pode operar em Kubernetes e com diferentes frameworks; será preciso separar essa camada do serviço gerenciado Agent Compute Engine ao avaliar dependência de fornecedor.
• Segurança operacional: isolamento forte não corrige permissões mal configuradas, ferramentas perigosas ou políticas de acesso excessivamente amplas.
• Desempenho: não há benchmark independente comparando o produto com sandboxes baseados em contêineres, gVisor ou microVMs administradas pela própria empresa.

Impacto prático para empresas brasileiras

Para times no Brasil que estão saindo de protótipos e levando agentes a fluxos de atendimento, desenvolvimento, análise documental ou operações internas, o anúncio ajuda a tornar mais concreta uma exigência que já deveria estar no projeto: o ambiente que executa ferramentas precisa ser tratado como parte do produto de segurança.

Antes de migrar uma carga para qualquer serviço gerenciado, vale definir quais ferramentas o agente realmente pode usar, quais dados pode acessar, como as aprovações humanas entram no fluxo e como os logs serão retidos. Em setores regulados, também será necessário confrontar a arquitetura prometida com requisitos de residência de dados, contratos, auditoria e políticas internas. Uma microVM isolada é uma base melhor do que um processo compartilhado, mas não substitui governança de identidade e desenho de permissões.

Análise do NoticIA

Na análise do NoticIA, o anúncio sinaliza que a competição de infraestrutura para IA está migrando da hospedagem de modelos para a execução controlada de agentes. O diferencial não é simplesmente oferecer uma máquina pequena por agente; é integrar isolamento, identidade, rede, armazenamento, telemetria e políticas no mesmo plano operacional.

Esse enfoque pode reduzir o trabalho de equipes que hoje montam uma pilha com Kubernetes, sandboxes, proxies, cofres de segredos e observabilidade por conta própria. Mas a conveniência tem contrapartidas: será preciso avaliar preço, limites de personalização e o grau de acoplamento ao ecossistema Google. A promessa de que agentes podem pausar e retornar com contexto preservado também muda a discussão de custo: a métrica deixa de ser apenas preço por token e passa a incluir o custo de manter um ambiente de trabalho seguro disponível ao longo do tempo.

O que acompanhar a partir de agora

O teste decisivo virá quando o preview abrir. Empresas devem procurar documentação de regiões, limites de rede, opções de imagem, integrações de identidade, modelo de cobrança e métricas de recuperação após pausa. Também será importante verificar se as políticas de egress, a auditoria de ferramentas e a segregação de credenciais continuam consistentes em integrações com dados corporativos e servidores MCP de terceiros.

O Agent Compute Engine não torna um agente automaticamente seguro nem disponível no Brasil neste momento. Ele, porém, coloca em produto uma tese que tende a orientar os próximos projetos de agentes: autonomia só é sustentável quando a infraestrutura que permite agir também consegue limitar, identificar e auditar cada ação.