Google Cloud、AIエージェント向け「Agent Compute Engine」発表　認証情報を実行環境から分離

Google Cloudは2026年10月22日、AIエージェント向けコンピューティングサービス「Agent Compute Engine（ACE）」を発表した。エージェントを軽量仮想マシン「microVM」で分離し、外部サービスの認証情報を実行環境の外で付与する設計を採る。

発表の場は、米カリフォルニア州サンノゼで開催されたAGNTCon + MCPConだ。同社によると、ACEはすでにGeminiのエージェント機能を支えており、今後数カ月以内に顧客向けプレビューを提供する予定である。

■認証情報を外部で付与する設計

ACEは、エージェントのコードを実行する環境と、企業のデータやサービスへアクセスするための認証情報を分離する。Google Cloudの技術説明によると、microVM内にはユーザーの長期認証情報、APIキー、OAuth更新トークン、クラウドのサービスアカウント鍵を保持させず、外部のAgent Gatewayで必要な認証情報に差し替える。

各エージェントセッションには、独自のゲストカーネルを持つmicroVMを割り当てる。ホストのカーネルを共有する一般的なコンテナに対し、ACEではCloud Hypervisorによるハードウェア仮想化の境界を設ける。ゲスト環境ではroot権限を利用でき、コード実行やブラウザー操作などを行える。

Google Cloudは、ホスト側の信頼性を支える仕組みに、独自のセキュリティチップ「Titan」と、処理をホストCPUから切り離す「Titanium Infrastructure Processing Unit（IPU）」を用いる。Titanはハードウェアやファームウェアの整合性を検証し、Titanium IPUはI/Oやストレージなどの処理を担う。

ノードやワークロードの状態・身元を証明するアテステーションの秘密鍵は、ゲスト環境の外にあるIPU、ホスト、またはリモート側で保持する。エージェントの実行環境、ホストの整合性確認、外部サービスへの認証を組み合わせた多層構造が特徴だ。

■通信経路で身元と権限を検証

microVMには、ワークロードの身元を表すオープン標準「SPIFFE」に基づく、セッション単位の証明書と短期のIDトークンを渡す。ユーザーがエージェントに作業を委任したことを示す長期の権限情報は、中央の認可サービスで管理する。

外部へのリクエストは、ノード内のプロキシを経由して、ノード外のAgent Gatewayへ送られる。Gatewayはユーザーからの委任、エージェントID、ノードIDを検証し、通信先やデータ損失防止に関するポリシーを評価する。その後、接続先に必要なバックエンド認証情報をリクエストへ付与する。

microVMの通信経路も制御する。通常の外部ネットワークインターフェースやVPCへの直接接続を持たせず、virtio-vsockという仮想マシンとホスト間の通信機構を通じて、仲介プロキシへ通信を集約する。

この構造は、エージェントが扱うコードや文書を通じて攻撃者の指示が入り込んだ場合に、長期の認証情報を持ち出されるリスクを抑える。エージェントに許可された操作の範囲は、Gateway側のポリシーでも管理する。認証情報の保護と、個々の操作に対する権限制御を組み合わせる仕組みである。

■背景にあるプロンプトインジェクションの脅威

プロンプトインジェクションは、入力に含まれる指示によってAIの動作を意図しない方向へ誘導する攻撃だ。特にWebページ、メール、文書など、外部から取り込む情報に指示を埋め込むものを間接的プロンプトインジェクションと呼ぶ。OWASPは、LLMアプリケーション向けの2025年版Top 10で、プロンプトインジェクションを「LLM01」に挙げている。

Palo Alto NetworksのUnit 42は、2026年3月3日に公開した調査で、Web上で検出した間接的プロンプトインジェクションの12事例を紹介した。Googleも同年4月、公開Webのアーカイブ「Common Crawl」を調べた結果、悪意あるものに分類したコンテンツの検出が、2025年11月から2026年2月にかけて相対的に32％増えたと報告した。

具体的な脆弱性の一例が、2025年に公表されたMicrosoft 365 Copilotの「EchoLeak」（CVE-2025-32711）である。セキュリティ企業Aim Securityは、細工したメールを通じてCopilotを誘導し、ユーザーがアクセスできる情報を外部へ送信させる攻撃を実証した。CVSSスコアは9.3で、Microsoftは公開前にサーバー側で修正した。

エージェントが外部情報を読み、ツールを使って行動するようになるほど、入力の扱いとアクセス権の管理が重要になる。OWASPも、モデルに与える権限を必要最小限に絞り、APIトークンなどをモデルへ直接渡す代わりに、コード側で機能を扱う対策を推奨している。

■待機中の資源を解放し、高密度に実行

AIエージェントは、モデルの応答、ツールの処理結果、人間の入力などを待ちながら動作する。ACEはこの実行と待機の繰り返しに合わせ、チェックポイント／リストアとメモリ共有を組み合わせて、物理マシンの利用効率を高める。

エージェントが待機状態に入ると、microVMの状態をスナップショットとして保存し、稼働に使っていた資源を解放する。次の処理が必要になれば保存した状態から復元し、作業を続ける。各microVMにはHyperdiskを割り当て、実行用の作業領域やエージェントのコンテキストを保持する。

メモリにはコピーオンライト方式を用いる。同じOSやランタイムのイメージを使うエージェント間で共通のメモリページを共有し、変更した部分を個別に保持する仕組みだ。例えば同じテンプレートを使う50個のエージェントでも、共通部分をそれぞれ独立したコピーとして持つ必要がなくなる。

Gemini担当のVP兼Google FellowであるGautham Thambidorai氏は、世界規模でエージェントを提供するには、迅速な起動と高い効率が必要だと説明する。同氏はACEのmicroVMについて、対話型サンドボックスに必要な応答性、ハードウェア分離、実行密度を提供するとしている。

■Kubernetes向けのAgent Substrateも提供

Kubernetesを基盤に独自の実行環境を構築したいチーム向けには、オープンソースの「Agent Substrate on GKE」がある。任意のKubernetesクラスタで動作し、オンプレミスやマルチクラウドにも対応する。Claude Code、OpenClaw、Hermesなどのエージェントフレームワークや実行ハーネスで利用できる。

Agent Substrateは、Cloud HypervisorのmicroVMまたはgVisorによるサンドボックスを選択できる。待機中のエージェントを退避して、必要なときに事前準備済みの実行資源へ復元する。通信プロキシによるネットワーク制御と、エージェントの外での認証情報の付与も備える。

Google Cloudの10月22日の発表によると、Agent Substrateは従来型コンピューティングに比べて最大10倍の実行密度を実現するという。同社は20万エージェントを動かしたベンチマーク検証で、毎秒500回のアクティベーションを維持し、一時停止・再開の遅延を500ミリ秒未満に抑えたとしている。

Nous Researchは、Hermes EnterpriseでAgent Substrateのアーキテクチャを利用している。同社のChief Business Officer、Hervé Bizira氏は、顧客の既存インフラへの導入に必要なエージェント単位の分離と拡張可能なアクセス制御を、計算資源を効率的に使いながら提供できると評価した。

2026年10月時点のGoogle Cloudの公式ドキュメントでは、Agent Substrate on GKEは評価・非本番用途で利用できる。本番サポートは、許可リスト方式の非公開GAプログラムを通じて提供する。フルマネージドのACEでは、Googleが基盤のフリートやライフサイクルを管理し、Titaniumを組み込んだ実行環境を提供する。

■実行場所をまたいでガバナンスを適用

Google CloudはACEと併せて、エージェントのガバナンス機能を拡張する方針も示した。Google Cloud上のランタイムに加え、他社クラウド、オンプレミス、管理対象端末で動くエージェントにも、ID、ポリシー、監視の仕組みを広げる。

中核となるAgent Gatewayは、クライアントからエージェントへの通信や、エージェントから外部への通信にポリシーを適用する。機密データ保護、攻撃対策、通信内容の意味に基づく制御などを統合する。Agent Registryは、承認済みのエージェント、ツール、MCPサーバー、スキル、モデル、エンドポイントを一元管理する。

Agent Identityは、SPIFFEに基づくエージェント固有のIDを認証、アクセス制御、監査に利用する。Agent ObservabilityはOpenTelemetryに準拠し、Agent Gatewayを通るモデル呼び出し、ツール実行、エージェント間の処理について、メトリクス、ログ、分散トレースを提供する。

分散トレースは、複数のサービスやエージェントにまたがる処理の追跡に役立つ。W3CのTrace Contextは、そのためのコンテキスト情報をサービス間で伝える標準である。こうした記録は障害の原因分析や監査を支え、高リスクAIシステムに自動ログ機能を求めるEU AI法のような制度への対応を検討する際にも、基盤となる。

Google Cloudは、2026年第4四半期に、トークン消費・費用の管理とモデルルーティングのプレビューを予定する。エージェントやモデルごとの支出を把握して予算制御を適用し、費用と性能に応じてリクエスト先を選ぶ機能だ。他社クラウド向けのポリシー適用や、Claude Codeなど管理対象端末上のコーディングエージェント向けガバナンスも、近くプレビュー提供する予定である。

ロレアルのAI Lead Engineer、Alexandre Frizzo氏は、Beauty Tech Agentic Platformでエージェント活用を進めていると説明する。同氏は、Cloud RunなどのランタイムをまたいでID、ポリシー、可観測性を統合するGoogle Cloudの仕組みが、開発を進めながら各エージェントのアクセス範囲を管理する基盤になるとしている。

■他社でも進むmicroVM採用と今後の予定

AIが生成したコードなどを分離して実行するサービスは、他社でも広がっている。AWSは2026年6月22日、Firecrackerを使う「AWS Lambda MicroVMs」を発表した。最大8時間にわたる実行の一時停止・再開と状態保持に対応し、発表時点で東京リージョンを含む5リージョンで提供を開始した。

FirecrackerはKVMを利用する仮想マシンモニターで、AWSが2018年11月26日にオープンソースとして発表した。AWSの2026年6月の説明によると、同技術は月間15兆回超のLambda関数呼び出しを支えている。

Dockerは2026年9月24日、microVMベースの「Docker Cloud Sandboxes」を発表した。同社社長のMark Cavage氏は、コンテナが引き続き重要な役割を持つ一方、AIエージェント向けには異なる水準の分離が必要だと説明した。DigitalOceanもFirecrackerベースのMicroVMsを発表し、10月9日にはMKC1で公開プレビューを開始した。

各社が取り組む課題は、信頼できないコードを分離しつつ、迅速な起動、状態保持、待機中の資源節約を両立させることだ。Google Cloudはこれに、TitanとTitaniumによる信頼基盤、ノード外の認証情報管理、Agent Gatewayによるポリシー適用を組み合わせる。

ACEの顧客向けプレビューに関心を持つ企業や開発者は、Google Cloudの登録フォームから申し込める。同社は11月9日に「The Future of AI Infrastructure」と題するイベントも予定し、共同設計されたオープンシステムによるAIの拡張を紹介する。

元記事: Google Cloud Unveils Agent Compute Engine: AI Agent Credentials Kept Outside Hardware Sandbox