Google Agent Compute Engine: Хранение секретов за sandbox меняет границу отказа

Хранение секрета вне рабочего компьютера агента меняет возможное раскрытие при ошибке. Анонс Agent Compute Engine Google явно обозначает границу через посредничество учётных данных на исходящем доступе. Ранние новости confidential computing и маршрутизации помогают отличить её от самостоятельных вопросов доверия выполнению и размещения запроса модели.

Датированный путь

• 2025-04-09: Kubernetes, your AI superpower: How Google Kubernetes Engine powers AI innovation.

• 2026-06-23: Verifiable, private AI: Google Cloud expands Confidential Computing frontiers.

• 2026-10-22: Google объявил Agent Compute Engine с preview в будущем.

Разные средства защищают разные объекты

Ранний inference gateway касался направления запросов. Последующее обновление confidential computing обсуждало проверяемую защиту выполнения. Октябрьский агентный анонс добавляет аппаратно изолированные microVM и схему хранения долгоживущих учётных данных вне песочницы. Ретроспективная связь состоит в разделении видов полномочий наряду с ресурсами. Защиту выполнения, ограничение прямого доступа к секретам и решение об уместности действия нельзя свести к одной гарантии безопасности. Они относятся к разным объектам и требуют разных доказательств. Именно различие границ объясняет, почему следующая функция дополняет предыдущие, не делая их избыточными.

Удаление секрета меняет путь раскрытия

Условная гостевая среда, которая не получает повторно используемую учётную запись, не способна раскрыть её обычным чтением собственного рабочего пространства. Посредник вместо этого предоставляет контролируемый путь внешней операции. Это концептуальное объяснение объявленной схемы, а не полная модель угроз или гарантия против любой атаки. Важно место хранения долговременных полномочий. Источник описывает их вынесение за пределы гостевого кода, меняя одну границу отказа без автоматической правильности решений гостя. Следовательно, полезный вывод касается сокращения определённого пути прямого доступа, а не доказанной безопасности любого поведения агента.

Разрешённое действие может быть неподходящим

Агент способен запросить операцию, технически допустимую, но не соответствующую задаче пользователя. Посреднику нужна политика применения полномочий, а приложению — контекст причины запроса. Это общее защитное соображение, а не инструкция атаки или описание инцидента. Аппаратная изоляция сама по себе не предоставляет такой смысл. Предлагаемая оценка различала бы попытку доступа к секрету и последствия разрешённой внешней операции вместо признания их одним тестом. Иначе успешное удержание учётных данных внутри доверенной границы можно ошибочно принять за подтверждение корректности всех действий, выполненных с их помощью.

История ведёт к более узким границам полномочий

Если каждая среда выполнения хранит все повторно используемые учётные данные, границы среды и полномочий совпадают теснее. Объявленное посредничество разделяет их, создавая место внешнего контроля. Это содержательное архитектурное направление, хотя внешний preview ещё впереди. Провайдеру инференса, рассматривающему агентную инфраструктуру, полезно называть защищаемый объект каждой границы. Последовательность поддерживает интерес к послойным мерам, но эффективность авторизации и безопасность результатов требуют доказательств конкретного сервиса и задачи. Так новость сохраняет положительный инженерный смысл без превращения отдельного ограничения раскрытия в универсальное обещание безопасного агента.

Технический контекст

Связанный инженерный контекст: Границы гостевого пространства; Контекст внешних действий.