구글 클라우드는 AI 에이전트마다 독립된 가상 실행 환경을 제공하는 전용 컴퓨팅 서비스 ‘에이전트 컴퓨트 엔진(Agent Compute Engine)’을 공개했다. AI 에이전트가 실험실을 벗어나 기업 현장에 도입되면서 드러난 보안과 확장성의 한계를 해결하려는 시도다. 핵심은 각 에이전트에 하드웨어 수준으로 격리된 마이크로 가상머신(microVM)을 배정해 코드 실행, 브라우저 조작, 기업 업무 자동화 과정의 보안 위험을 원천 차단하는 것이다.
구글 클라우드는 22일(현지시간) AGNTCon·MCPCon 행사에서 ‘에이전트 컴퓨트 엔진’을 발표했다. 이 서비스는 이미 업무용 에이전트로 ‘제미나이’를 구동하는 데 사용되고 있으며, 앞으로 수개월 안에 고객 대상 프리뷰로 제공될 예정이다.
구글은 자율형 AI 에이전트가 늘면서 기존 컴퓨팅 인프라만으로 해결하기 어려운 과제가 생기고 있다고 설명했다. 단순히 질문에 답하는 모델과 달리, 에이전트는 코드를 작성하고 실행하며 도구와 브라우저를 조작하고 여러 단계의 작업을 반복한다. 따라서 실행 환경을 빠르게 만들고 중단했다가 다시 시작할 수 있어야 하며, 각 작업을 안전하게 격리할 인프라도 필요하다는 설명이다.
에이전트 컴퓨트 엔진은 각 에이전트 세션에 전용 마이크로VM을 제공한다. 각 가상머신은 자체 게스트 커널과 루트 접근 권한을 갖고, 클라우드 하이퍼바이저(Cloud Hypervisor)를 통해 다른 실행 환경과 분리된다.
보안 수준을 높이기 위해 하드웨어 보안 아키텍처인 티타늄(Titanium)과 인프라 처리 장치(IPU)를 활용한다. 외부 프록시와 정책 검사에 기반한 통제 체계도 갖춰, 프롬프트 인젝션과 같은 잠재적 위협으로부터 내부 비밀정보와 시스템을 보호한다.
에이전트가 작업을 실행하는 환경과 모델을 호출하는 제어 영역도 분리했다. 모델을 호출하고 작업을 지시하는 ‘하네스(harness)’는 샌드박스 바깥에서 작동한다. 코드와 셸 명령어, 브라우저를 실행하는 환경에는 필요한 명령만 전달된다.
에이전트 컴퓨트 엔진은 에이전트의 작업 패턴에 맞춰 컴퓨팅 자원을 효율적으로 쓰도록 설계됐다. 에이전트는 도구를 실행한 뒤 모델의 응답이나 사용자의 입력을 기다리는 등 실제 컴퓨팅 자원을 사용하지 않는 시간이 많다.
에이전트가 도구 실행을 끝내고 대기 상태에 들어가면 마이크로VM을 체크포인트로 저장하고 유휴 상태로 전환한다. 작업을 다시 시작할 때는 저장해 둔 스냅샷으로 실행 환경을 복구한다. 이를 통해 대기 중인 에이전트에 컴퓨팅 자원을 계속 배정해야 하는 부담을 덜 수 있다.
여러 에이전트가 같은 운영체제 템플릿을 쓰는 경우에는 쓰기 시 복사(copy-on-write) 방식으로 메모리를 공유한다. 각 마이크로VM에는 구글 클라우드의 영구 디스크 서비스인 하이퍼디스크(Hyperdisk)를 연결해 작업 문맥을 유지한다.
구글은 쿠버네티스(Kubernetes) 기반 환경에서 에이전트를 운영하려는 기업을 위해 오픈소스 실행 환경 ‘에이전트 서브스트레이트(Agent Substrate)’도 제공한다. 클로드 코드, 오픈클로, 헤르메스 등 다양한 에이전트 프레임워크와 연동되며, 마이크로VM이나 gVisor 샌드박스를 사용해 에이전트별 실행 환경을 격리한다.
구글이 공개한 에이전트 서브스트레이트 벤치마크에서는 에이전트 20만개를 대상으로 초당 500회의 활성화를 처리했다. 일시 중단과 재개에 걸리는 시간은 500밀리초 미만이었고, 기존 방식보다 컴퓨팅 밀도가 최대 10배 높았다.
구글은 실행 환경뿐 아니라 기업 내 여러 AI 에이전트를 통합 관리하는 거버넌스 기능도 확대한다. 핵심 구성 요소인 에이전트 게이트웨이, 레지스트리, 아이덴티티, 옵저버빌리티를 통해 에이전트가 여러 모델과 도구에 접근할 때 생길 수 있는 권한 오남용과 데이터 유출을 체계적으로 통제한다. 토큰 사용량 관리와 모델 라우팅 기능을 제공하고, 핑 아이덴티티, 세일포인트, 사비언트 등 외부 인증 서비스와의 연동도 추진한다.
이번 발표는 AI 에이전트가 개별 실험을 넘어 기업의 실제 업무를 수행하는 단계에 들어섰음을 보여주는 전환점이다. 구글은 “자율형 에이전트를 안전하게 실행하는 것은 근본적으로 인프라의 문제”라며 “대규모 에이전트 세션을 지원하려면 새로운 실행 및 제어 방식이 필요하다”고 밝혔다.
이는 모델 성능 경쟁에 그치지 않고, 에이전트가 기업 환경에서 안전하게 대규모로 작동하도록 지원하는 인프라와 보안 통제 표준을 선점하려는 의도다.