Google Agent Compute Engine: Eigene MicroVM für jeden KI-Agenten

Agenten-Infrastruktur: Technik, Grenzen und Einordnung

Ein KI-Agent, der Dateien bearbeitet, Code ausführt und Webdienste aufruft, benötigt mehr als ein Sprachmodell. Die entscheidende Frage lautet, wo seine Aktionen laufen und wer Zugriff auf Berechtigungen, Netzwerk und gespeicherte Daten kontrolliert. Google Cloud präsentierte am 22. Oktober 2026 auf AGNTCon und MCPCon die Agent Compute Engine als neue Laufzeit für solche Aufgaben. Anders als eine gemeinsam genutzte Standard-Containerumgebung soll jeder Agent eine eigene hardwareisolierte MicroVM erhalten. Das ist eine konkrete Infrastrukturankündigung, aber noch kein heute allgemein kaufbarer Cloud-Dienst.

Nach Googles Architekturbericht nutzen interne Gemini-Workflows bereits diese Technik. Jede MicroVM bringt ihren eigenen Kernel mit, während Google die Isolation durch Cloud Hypervisor und Titanium-Hardware absichert. Der Agent kann innerhalb seiner Arbeitsumgebung Programme installieren oder Dateien bearbeiten, soll aber keine langlebigen Zugangsschlüssel erhalten. Stattdessen identifiziert ein kurzlebiges, kryptografisch attestiertes Zertifikat die jeweilige Laufzeit. Wenn ein Agent externe APIs aufrufen muss, vermittelt eine außerhalb der MicroVM liegende Gateway-Schicht die dazu berechtigten Identitäten und Richtlinien.

Damit verlagert sich ein wichtiger Teil der Sicherheit aus dem vom Agenten ausführbaren Code in eine externe Kontrollinstanz. Google beschreibt einen Netzwerkpfad über isolierte Proxy-Verbindungen statt direkter VPC-Zugriffe sowie eine Trennung zwischen Agentensteuerung und Ausführungs-Sandbox. Agent Gateway soll Nutzerdelegation, Agentenidentität und Laufzeitidentität gemeinsam prüfen und Zugriffsdaten erst beim ausgehenden Request ergänzen. Das kann die Folgen kompromittierter Sandboxen begrenzen. Eine Garantie für fehlerfreie Berechtigungspolitik, Datenschutz oder jeden möglichen Sandbox-Ausbruch ergibt sich daraus nicht.

Ein zweiter Architekturpunkt betrifft Kosten und Geschwindigkeit. Wenn der Agent auf eine Antwort, ein Tool oder eine menschliche Freigabe wartet, kann die MicroVM pausieren und ihren Zustand später wiederherstellen. Gemeinsam genutzte, unveränderliche Speicherbereiche und Copy-on-Write sollen den Hardwarebedarf vieler paralleler Agenten senken; pro Agent kann ein Hyperdisk den Arbeitszustand erhalten. Google nennt dafür technische Verfahren, veröffentlicht für Agent Compute Engine selbst aber keine unabhängige Kostenmessung, verbindliche Preisliste oder regionale Angebotsmatrix. Benchmarkzahlen des ebenfalls angekündigten Agent Substrate dürfen nicht einfach auf dieses andere Produkt übertragen werden.

Für Unternehmen ist deshalb die Unterscheidung entscheidend: Die Plattform wird intern eingesetzt, während die öffentliche Vorschau erst in den kommenden Monaten erwartet wird. Parallel stellt Google Agent Substrate für Kubernetes als offenere Ausführungsalternative vor und erweitert Agent Registry, Identity und Gateway über weitere Laufzeitumgebungen. Diese Bausteine verdienen eine eigene Prüfung ihrer Lizenz, Reife und Governance-Schnittstellen. Wer ein Pilotprojekt plant, muss nachweisbar kontrollieren können, welche Accounts Agenten vertreten, was protokolliert wird und ob Werkzeuge nur die minimal nötigen Rechte erhalten.

Unsere redaktionelle Einordnung: MicroVM-Isolation plus externe Credential-Vergabe ist ein überzeugender Architekturansatz für handlungsfähige KI-Agenten. Er reduziert die Abhängigkeit davon, dass ein Modell selbst alle Sicherheitsregeln versteht. Entscheidend für die Beschaffung sind aber erst öffentlich überprüfbare Schutzgrenzen, Preise, EU-Regionen, Auditdaten und reale Fehlerszenarien. Bis dahin ist Agent Compute Engine eine interessante angekündigte Plattform – kein bereits unabhängig getesteter Enterprise-Sicherheitsstandard.

Originalquellen und weiterführende Artikel

• Google Cloud – Introducing Agent Compute Engine and expanded agent governance ↗
• Google Cloud – Inside Agent Compute Engine (technical deep dive) ↗

Die Angaben wurden anhand der genannten Dokumente für diesen Beitrag redaktionell eingeordnet; es gab keinen eigenen Produkt- oder Labortest.

Sicherheitsarchitektur für KI-Agenten verstehen →

Vergleich: BeyondTrust prüft Agentenrechte pro Aktion →