구글 클라우드가 에이전트용 컴퓨팅 환경을 공개한다

구글은 수억 개의 AI 에이전트를 대규모로 실행하기 위한 구글 클라우드 서비스 Agent Compute Engine을 개발했다. 하드웨어 격리 마이크로VM과 에이전트가 작업하지 않을 때 자원을 거의 쓰지 않는 구조를 제공하며, 미리보기 버전은 앞으로 몇 달 안에 출시할 예정이다.

구글의 라마나탄 벤카타파시(Ramanathan Venkatapathy)와 로힛 자나갈(Rohit Jnagal)은 에이전트가 코드를 쓰고 실행하거나 도구와 브라우저를 조작하는 작업이 구글의 컴퓨팅·저장 자원에서 빠르게 늘고 있다고 설명했다. 기존 가상머신은 시작·중지·재개에 수 초에서 수 분이 걸리고, 컨테이너는 빠르지만 호스트 운영체제 커널을 공유한다. 코딩 에이전트와 개발자 보조 도구처럼 완전한 격리와 커널·루트 수준 제어가 필요한 작업에는 두 방식 모두 한계가 있다는 설명이다.

구글은 가상머신의 격리와 컨테이너의 속도·밀도를 결합하고, 에이전트가 작업 중인지 대기 중인지 파악하는 시스템으로 Agent Compute Engine을 만들었다. 각 에이전트는 하드웨어로 격리된 마이크로VM을 받으며, 샌드박스 안에는 자격 증명을 두지 않는다.

에이전트 실행과 격리

구글의 Gemini 팀은 각 사용자에게 클라우드에서 실행되고 작업 내용을 기억하며 사용자가 자리를 비운 동안 대신 행동하는 에이전트를 제공하려 했다. 이를 위해 에이전트마다 파일 시스템, 언어 런타임, 브라우저, 네트워크 접근을 갖춘 컴퓨터가 필요했다. Gemini for business 팀도 기업 직원이 Workspace 문서를 읽고 내부 데이터베이스를 조회하며 사설 네트워크의 서비스를 호출하는 에이전트를 만들고자 했다.

두 팀은 에이전트를 모델을 호출하고 다음 행동을 결정하는 하니스(‘두뇌’)와 코드·셸 명령·브라우저를 실행하는 샌드박스(‘손’)로 나눴다. 각 팀은 자체 하니스를 작성하고 신뢰한다. 모델이 디지털 환경과 상호작용하도록 하려면 파일 시스템과 런타임, 네트워크 도구, 브라우저를 갖춘 컴퓨터를 에이전트마다 제공해야 한다.

전통적인 가상머신은 하이퍼바이저가 격리 경계를 보장하고 운영체제·네트워크·저장소를 폭넓게 제어하게 해준다. 웹 애플리케이션부터 게임 서버와 데이터베이스까지 실행할 수 있지만, 전체 머신을 부팅하고 설정해야 하므로 시작·중지·재개에 시간이 든다. 에이전트는 이런 동작을 자주 반복한다. 반면 구글이 개척한 컨테이너는 호스트 운영체제 커널을 공유해 빠르고 가볍지만, 일부 에이전트 작업에는 충분한 격리와 커널·루트 수준의 제어가 필요하다.

에이전트가 모델의 다음 단계를 기다리는 동안에도 새 작업에 빠르게 반응할 수 있어야 하고, 중요한 작업 상태도 보존해야 한다. 매 차례마다 환경을 없애면 상태가 사라져 다음 요청 때 다시 구축해야 한다. 반대로 대기 중인 에이전트마다 전용 가상머신을 계속 켜두면 자원을 낭비하고 수용 가능한 규모를 제한한다.

Agent Compute Engine은 구글 내부의 에이전트 작업을 위한 통합 컴퓨팅 플랫폼으로 설계됐다. 제품 팀에 원시 인프라 기능을 각각 제공하는 대신, 지속성을 갖춘 하드웨어 격리 컴퓨터를 빠르게 제공하는 마이크로VM 추상화를 제공한다. 구글은 이를 대화형 소비자·기업 에이전트, 장기간 유지되는 자율 소프트웨어 개발 작업공간, 대규모 평가와 강화학습(RL), 구글 서비스의 경량 샌드박스 백엔드에 활용한다고 밝혔다. 개발 작업공간은 루트 접근 권한과 컴파일러, 언어 서버를 갖춘 Linux 컴퓨터로 수일 또는 수주에 걸친 리팩터링을 지원한다. 평가·학습 파이프라인은 수천 개의 병렬 환경 경로를 만들고 평가한다.

보안과 에이전트 신원

구글은 에이전트가 애플리케이션을 만들거나 사용자의 이메일과 일정을 관리하는 등 복잡한 작업을 맡을수록 샌드박스에서 신뢰할 수 없는 코드나 적대적 코드가 실행될 위험이 있다고 설명했다. 이에 따라 샌드박스 안의 모든 것을 공격자가 제어한다고 가정하고, 공격에 쓸 자격 증명을 그 안에서 찾을 수 없게 하는 설계를 택했다.

• Titan과 Titanium IPU를 이용해 하드웨어에 신뢰의 기반을 둔다. 노드와 작업을 증명하는 암호화 개인 키는 게스트 환경 밖의 IPU, 호스트 또는 원격 시스템에만 둔다. 블록 저장소 연결은 IPU가 인스턴스에 묶인 암호화 권한으로 중개한다. 구글은 샌드박스나 호스트 운영체제가 침해돼도 노드 또는 테넌트 경계를 넘어 볼륨을 연결하거나 읽고 덮어쓸 수 없도록 한다고 설명했다.
• 물리 호스트는 상태를 저장하지 않는 변경 불가 장비로 운영한다. 루트 파일 시스템은 읽기 전용이며 dm-verity로 보호하고, 로컬에 지속 상태를 두지 않는다. Titan은 하드웨어와 펌웨어 무결성을 확인하고 작업을 예약하기 전에 부팅 무결성을 암호학적으로 검증한다.
• 각 에이전트 세션은 전용 단일 테넌트 메모리 안전 마이크로VM에서 실행한다. CPU 부채널 취약성을 완화하기 위한 조치도 적용한다.
• 게스트에는 영구 비밀, OAuth 갱신 토큰, 클라우드 서비스 계정 키를 메모리나 디스크에 두지 않으며 클라우드 인스턴스 메타데이터 서버에도 접근하지 못하게 한다. 각 마이크로VM은 별도로 격리된 로컬 리스너를 통해 세션 범위의 임시 공개 SPIFFE 인증서와 수명이 짧은 신원 토큰만 받는다. 장기 사용자 자격 증명은 호스트 밖에 둔다. Gemini 플랫폼의 Agent Gateway는 세션의 상호 TLS(mTLS) 신원과 송신 정책을 확인한 뒤 필요한 자격 증명을 동적으로 교체한다.
• 마이크로VM에는 표준 가상 네트워크 인터페이스와 기본 IP 게이트웨이, 직접 VPC 접근을 제공하지 않는다. 모든 통신은 격리된 지점 간 IPC 경계인 virtio-vsock을 통과한다. 로컬의 권한이 제한된 중개 프록시가 이를 받아 외부 프록시로 전달하고, 외부 게이트웨이가 요청 범위를 확인해 정책에 따라 송신을 중개한다.
• 네트워크 통신은 모두 암호화한다. Titanium IPU는 네트워크 계층에서 회선 속도의 하드웨어 암호화를 제공한다. 제어 영역 명령과 에이전트의 외부 연결은 상호 인증 mTLS 터널로 보호하며, 개인 키 서명은 게스트 마이크로VM 밖에서 처리한다.
• 마이크로VM 메모리 스냅샷과 블록 볼륨은 저장 상태에서 암호화한다. 연결하거나 복원하려면 전용 또는 고객 관리 암호화 권한 토큰이 필요하다.
• 알려진 취약점을 빠르게 찾아 수정하고, 호스트 수준의 실행 중 침입 탐지와 지속적인 퍼징, CI/CD 과정의 취약점 검사, 정기적인 레드팀 훈련을 시행한다.
• 실행 하니스는 샌드박스 밖에서 작동한다. 신뢰할 수 없는 게스트 환경은 하니스가 명시적으로 전달한 명령만 실행하고 결과를 돌려준다. 이 경계는 하니스의 도구 호출과 샌드박스 내 예상 컴퓨팅 활동을 연결해 감사 기록을 만든다.

구글은 악성 이메일이 에이전트에게 컴퓨터의 API 키를 찾아 외부로 보내라고 지시하는 상황을 예로 들었다. 모델이나 시스템 지시가 매번 악의적인 지시를 무시한다고 가정할 수 없으므로, 샌드박스 안에는 훔칠 비밀을 두지 않는다는 설명이다. 샌드박스는 외부 네트워크 카드 없이 부팅하고, 안팎의 모든 통신은 외부 프록시를 거친다.

자격 증명이 없는 샌드박스에서 에이전트가 Google Drive 문서를 열 때 누구를 대신해 요청하는지 구분하기 위해 구글은 에이전트 신원을 네 종류로 나눴다.

• 사용자 신원은 요청을 시작했거나 에이전트 작업 흐름을 소유한 사용자의 인증 신원이다. 전체 작업의 요청을 인증하는 데만 사용하며 에이전트 작업 자체에는 사용하지 않는다.
• 위임된 에이전트의 대리 신원은 사용자가 하니스에 특정 작업을 맡겼다는 암호학적으로 범위가 지정된 권한이다. 장기 권한은 중앙 권한 부여 서비스에만 보관하고 컴퓨팅 노드에는 두지 않는다.
• 에이전트 작업 신원은 마이크로VM이 시작될 때 개방형 SPIFFE 표준을 기반으로 플랫폼이 부여하는 수명이 짧고 암호학적으로 증명된 신원이다. 샌드박스 트래픽에 쓰는 유일한 신원이며, 유출돼도 백엔드 API를 직접 호출할 수 없다. 특정 샌드박스에서 외부 패킷이 나왔음을 확인하는 용도로만 쓴다.
• 에이전트 인력 신원은 에이전트가 자체 신원과 계정, 자원을 가진 보조자로 행동할 때 쓰인다.

구글은 호스트에서 에이전트 작업 신원(ID-3)만 사용하고, 호스트와 사용자, 샌드박스, 세션 및 관련 정책을 확인한 뒤 노드 외부에서 다른 신원으로 변환한다고 밝혔다. 샌드박스 코드가 외부 요청을 보내면 노드의 로컬 프록시가 이를 가로채 노드와 Titanium 기반 증명을 결합하고, 노드 밖의 Agent Gateway로 전달한다. 게이트웨이는 사용자 위임, 에이전트 신원, 노드 신원을 확인하고 세부 송신 정책과 데이터 손실 방지 정책을 평가한다. 요청이 게이트웨이에서 나갈 때 필요한 백엔드 자격 증명을 삽입한다. 백엔드는 에이전트가 특정 사용자를 대신해 행동했다는 감사 가능한 표준 신원을 확인하지만, 샌드박스에는 자격 증명이 전달되지 않는다.

구글은 Gemini 플랫폼의 에이전트 거버넌스 기능으로 세 가지 서비스를 제시했다. Agent Registry는 플러그인, 스킬, MCP 서버, A2A 에이전트를 관리자가 통제하는 통합 카탈로그다. Agent Identity는 에이전트별 고유 신원을 구성하고 보관·중개하는 인증 관리자다. Agent Gateway는 정책과 신원을 실행 시점에 적용하고 모든 네트워크 트래픽을 통제한다.

대기 중 자원과 지속성

구글이 일반적인 에이전트 세션을 측정한 결과, 에이전트는 대부분의 시간을 모델의 다음 단계나 사용자의 응답을 기다리며 보냈다. 열려 있는 세션 중 실제로 코드를 실행하는 비율은 어느 순간이든 일부에 불과했다. 모든 세션에 CPU와 메모리를 계속 할당하면 실제 작업에 비해 비용이 크게 늘어난다. 구글은 대기 중인 에이전트의 비용을 거의 0에 가깝게 낮추면서 사용자에게 감지되기 전에 다시 깨울 필요가 있다고 설명했다.

전통적인 가상머신의 하이퍼바이저는 게스트 운영체제가 유용한 작업을 하는지, 다음 프롬프트를 기다리며 유휴 상태인지 알기 어렵다. Agent Compute Engine은 샌드박스 명령 실행 환경과 호스트 실행기를 함께 설계해 애플리케이션 상태를 파악한다. 에이전트가 도구 호출을 끝내고 에이전트 작업 흐름의 ‘생각’ 단계에 들어가면, 샌드박스는 실행 중인 명령이나 백그라운드 작업이 없음을 알린다. 호스트는 빠른 체크포인트·복원 방식으로 샌드박스를 활성 상태에서 유휴 상태로 전환한다. 상태는 보존되고 다음 도구 호출 때 빠르게 깨어나며, 호스트의 활성 자원을 소비하지 않는다. 구글은 이 방식으로 한 물리 노드에서 전통적인 가상머신보다 훨씬 많은 에이전트 마이크로VM을 실행할 수 있다고 밝혔다. 복제, 스냅샷·분기, 되감기, 롤백 기능도 제공해 하니스가 자원을 중복하지 않고 시스템을 활용하도록 한다.

활성 에이전트도 같은 운영체제 이미지와 Python 런타임, 브라우저를 쓰는 경우가 많다. 각 가상머신에 같은 데이터를 따로 메모리에 유지하면 낭비가 생긴다. 구글은 파일 시스템과 메모리의 정적 페이지를 호스트 전체에서 한 번만 보유하도록 하고, 필요한 항목을 미리 메모리에 불러와 준비한다. 바이너리를 초기화한 사전 준비 스냅샷 이미지를 만들고, 호스트에서 직접 접근(DAX)과 쓰기 시 복사(CoW) 메모리 복제를 사용해 스냅샷을 물리 메모리에 직접 매핑한다. DAX는 중복된 게스트 페이지 캐시를 거치지 않으므로, 호스트의 각 마이크로VM은 기본 운영체제·라이브러리·바이너리에 해당하는 물리 메모리 페이지를 공유한다. 에이전트가 실제로 수정하는 개인 페이지에만 추가 메모리를 할당하며, 활성 메모리 회수와 압축으로 해제된 페이지를 호스트 풀에 돌려보낸다.

Google DeepMind의 클레멘트 파라베(Clement Farabet) 부사장은 자율 코딩 에이전트가 루트 권한, 맞춤 컴파일러, 테스트 실행기, 지속적인 Git 작업공간을 갖춘 컴퓨터를 필요로 하며, 병렬 실험을 빠르게 분기해야 한다고 말했다. 그는 Agent Compute Engine의 즉각적인 스냅샷·분기 기능과 빠른 재개가 장기간 이어지는 소프트웨어 개발 작업을 지원한다고 설명했다.

에이전트는 작업 사이에 상태를 유지해야 한다. 구글은 예를 들어 월요일에 스프레드시트를 분석하면서 Python 라이브러리 두 개를 설치하고 스크립트와 차트를 저장한 에이전트가 화요일에도 그 상태를 이어가야 한다고 설명했다. 매번 라이브러리를 다시 설치하고 코드를 다시 작성하면 사용자가 기다려야 하고 결과도 달라질 수 있다.

Gemini 규모로 에이전트마다 일반 디스크를 제공하면 저장 용량이 빠르게 소진될 수 있다. 실제로는 디스크 대부분이 비어 있고, 호스트는 CPU가 부족해지기 전에 디스크 연결 슬롯이 먼저 바닥날 수도 있다. 구글은 에이전트가 쓰는 데이터를 세 가지로 나눠 저장한다.

• 임시 작업 데이터: 운영체제 로그, 임시 빌드 산출물, 컨테이너 계층의 변동분을 빠르게 폐기할 수 있는 오버레이에 담는다.
• 읽기 전용 공유 볼륨: 기본 이미지, 언어 도구 체인, 공유 패키지 캐시를 샌드박스 여러 개에 읽기 전용으로 마운트한다. 공통 라이브러리는 에이전트마다 다시 내려받고 저장하지 않고 한 사본을 공유한다. 팀과 다중 에이전트 작업 흐름은 Google Cloud Storage에 고속 FUSE로 공유 볼륨을 연결해 대규모 데이터를 복사하지 않고 협업할 수도 있다. 자격 증명은 샌드박스 밖 호스트에서 관리한다.
• 지속 사용자 작업공간: 사용자의 작업 상태와 저장한 산출물만 내구성 있는 상태로 보존한다.

별도 지정이 없으면 각 저장 유형은 저장 상태와 전송 중 모두 암호화되는 Hyperdisk로 제공한다고 구글은 밝혔다.

기업 데이터 접근과 용량 운영

Gemini for business 고객은 Google Workspace나 사설 가상 사설 클라우드(VPC) 네트워크 안의 데이터베이스, 내부 MCP 서버에 있는 데이터를 다른 곳으로 옮기지 않고 에이전트가 이용하기를 원한다고 구글은 설명했다. 민감한 데이터를 다른 공급업체로 복사하거나 에이전트용 방화벽 포트를 열 필요도 없다는 것이다. 관리자는 에이전트가 접근할 대상을 정하고 Agent Compute Engine은 샌드박스 밖에서 이를 적용한다.

Agent Gateway와 Private Service Connect 및 VPC Service Controls 기반의 온디맨드 사설 네트워크 연결을 통해 관리자는 특정 내부 VPC 엔드포인트, 승인된 Workspace API, 허용 목록에 있는 외부 도메인에 대한 정책을 선언적으로 설정한다. 기본적으로 자산은 보호된다. 기업 에이전트가 Workspace 문서나 사설 Google Cloud 자원에 접근할 때는 Agent Gateway가 사용자의 대리 권한과 샌드박스의 증명된 신원을 확인한 뒤 기업 범위의 자격 증명으로 교체한다. 각 작업은 Cloud IAM과 VPC Service Controls 경계를 따르고, 기업 자격 증명을 샌드박스에 넣지 않으면서 처음부터 끝까지 감사 로그를 남긴다.

마이크로VM을 통해 한 머신에 더 많은 에이전트를 배치해도 에이전트 컴퓨팅 수요는 하드웨어 공급보다 빠르게 늘었다. 구글은 Gemini와 평가 팀의 샌드박스 수요가 같은 시간에 최고점에 도달하지 않는다는 점을 활용한다. Gemini 에이전트는 아침과 저녁에, Gemini for business는 각 시간대의 업무 시간에 수요가 늘었다. 평가와 강화학습 작업은 특정 최고점 없이 여유 용량이 있을 때 실행된다. 일일 요약이나 백그라운드 조사처럼 즉시 시작할 필요가 없는 Gemini 작업도 있다. 구글은 이 세 종류의 작업을 하나의 하드웨어 풀에서 운영하고, 시간에 여유가 있는 작업으로 유휴 시간대를 채운다.

• 전 세계 통합 정책 기반 예약 시스템은 여러 지역의 여유 용량, 상태, 이미지 준비 여부를 계속 확인한다. 새 세션이 요청되면 적절한 용량 풀로 보내되 제품의 지리적 경계, 기업 규정 준수 규칙, 소비자 데이터 위치 요구 사항을 적용한다.
• 예약·지연 작업의 실행 시간을 조정한다. 일일 요약, 백그라운드 조사, 비동기 코드 마이그레이션, 야간 테스트, 대규모 강화학습 평가처럼 실시간 사용자 상호작용이 필요하지 않은 작업을 품질과 우선순위에 따라 예약하거나 다른 시간대로 보낸다. 이를 통해 대화형 작업의 낮 시간대 수요 사이에 생기는 여유 시간대를 활용하고, 사업 운영에 필요한 하드웨어 최고 용량을 낮춘다.
• 제품 팀마다 고정된 하드웨어를 따로 떼어두지 않고, 이동성이 높고 의존성이 적은 오버레이를 기반으로 통합된 다중 테넌트 인프라를 운영한다. 동일한 베어메탈·가상화 노드 풀이 소비자 대화, 시간대별 기업 업무, 지속적인 학습·평가 작업의 서로 다른 수요 변동을 받아들인다. 대화형 수요가 급증하면 우선순위가 낮은 일괄 평가가 물리 슬롯을 양보하고, 대화형 트래픽이 줄면 강화학습과 평가 파이프라인이 여유 자원을 사용한다.

Google Cloud 제공 계획

구글은 Gemini, Gemini for business, 내부 팀을 위한 플랫폼을 만들며 세 가지 문제에 대응했다고 밝혔다. 모델이 실수하더라도 공격자가 악용할 것을 샌드박스에 남기지 않아야 한다. 에이전트는 대부분 대기하므로 유휴 비용을 거의 없애고 사람보다 먼저 깨워야 한다. 에이전트가 기억하는 정보가 늘수록 유용해지므로 작업공간을 차례와 날짜, 운영체제 버전이 바뀌어도 유지해야 한다.

구글은 Agent Compute Engine을 Gemini, Gemini 플랫폼, Antigravity, 내부 모델 평가와 강화학습 파이프라인에 활용하고 있다며, 이 플랫폼을 Google Cloud에서도 제공할 계획이라고 밝혔다. 개발자는 각 환경의 이미지와 신원, 네트워크 접근, 생명주기를 제어하고, 구글은 기반 인프라를 관리한다. 회사는 용량을 미리 계획하지 않고 에이전트 한 개부터 행성 규모까지 확장할 수 있다고 설명했다.

대화형·기업 에이전트는 애플리케이션 상태를 인식하는 체크포인트 기능으로 유휴 세션의 활성 컴퓨팅 사용량을 거의 0으로 낮추면서 파일과 메모리를 차례 사이와 날짜 사이에도 보존한다. 코딩·평가·강화학습 파이프라인은 환경을 한 번 스냅샷으로 저장한 뒤 메모리를 중복 저장하지 않는 사본 수천 개로 분기해, 각 실행마다 처음부터 다시 구축하지 않을 수 있다. Agent Compute Engine은 앞으로 몇 달 안에 미리보기로 제공될 예정이다. 관심을 등록하는 양식에서 제공 의사를 남길 수 있다.

관련 자료: Agent Compute Engine 및 에이전트 거버넌스 기능 소개, Titanium.