Google công bố Agent Substrate trên GKE: cần kiểm chứng isolation, resume và network policy thế nào?

Google cho biết Agent Substrate là runtime nguồn mở chạy trên Kubernetes và được tối ưu cho GKE. Kiến trúc tách lifecycle sandbox khỏi quản lý máy, hỗ trợ Cloud Hypervisor microVM hoặc gVisor, egress gateway, snapshot local disk/Cloud Storage và tùy chọn Filestore cho workspace dùng chung.

Nguồn công bố nêu các con số “10x higher density”, resume dưới 500 ms, hơn 500 suspend/resume mỗi giây và hơn 1.000 dormant agent mỗi host. Đây là tuyên bố của Google trong bối cảnh kiến trúc họ mô tả, chưa phải benchmark độc lập. Google cũng ghi giải pháp nguồn mở dùng được cho non-production; hỗ trợ GA cho production trên GKE theo allowlist—phạm vi này phải được xác nhận tại thời điểm triển khai.

Điểm đáng chú ý là active-only compute: agent đang chờ model/tool/human có thể được snapshot, giải phóng CPU/RAM rồi resume khi có turn mới. Control plane chuyên dụng đặt sandbox lên worker đã warm, còn Kubernetes quản lý worker pod, autoscaling và node recovery.

Về security, Google mô tả hai lớp sandbox và gateway kiểm ingress/egress, có thể inject credential ngoài tầm với của agent. Đây là thiết kế cần kiểm bằng negative test: code độc hại trong sandbox, metadata access, lateral movement, egress bypass, snapshot tampering và secret exposure sau resume.

Đội platform cần thêm SLO cho activation/resume, snapshot fidelity, burst admission, worker saturation và recovery. Đội security phải định nghĩa trust boundary cho kernel, gateway, credential injection, image/snapshot và storage. Đội FinOps cần đo active/idle ratio, storage/egress và headroom thay vì chỉ dùng mật độ quảng bá.

Test plan nên có topology gồm load generator phát hàng nghìn lifecycle event, sandbox workload chuẩn hóa, tool endpoint giả, malicious endpoint, network impairment và observability độc lập. KPI gồm p50/p95/p99 resume latency, success dưới burst, state checksum, cross-tenant leakage, blocked egress, credential exposure, worker failure recovery và cost per completed task.

• Đội platform xây agent execution service đa tenant.
• Đội security đánh giá untrusted code và credential boundary.
• Đội SRE chịu trách nhiệm burst, snapshot, node failure và SLO.
• Đội ML/RL chạy benchmark hoặc rollout có nhiều sandbox ngắn/dài hạn.
• Đội mua sắm cần phân biệt nguồn mở, GKE optimization và support allowlist.

Không thể từ bài công bố kết luận các con số mật độ/resume áp dụng cho mọi machine family, image size, workspace, network policy hoặc concurrency. Chưa có benchmark độc lập trong nguồn để so microVM với gVisor hoặc container chuẩn theo cùng workload. “Secure by default” không thay thế threat model và penetration test.

Không nên diễn giải “available on GKE” thành production support mặc định cho mọi khách hàng. Tài liệu cài đặt hiện chỉ hỗ trợ GKE Standard, không hỗ trợ Autopilot; production support thuộc chương trình private GA theo allowlist. Cần kiểm thêm release/tag, region, GKE version, quota, ComputeClass và Filestore trước khi triển khai. Tương thích “mọi agent framework” cũng phải được kiểm ở filesystem, syscall, browser, GPU và tool access thực tế.

• Xác minh trạng thái nguồn mở, release/tag và tài liệu GKE ngày triển khai.
• Chốt microVM hay gVisor theo syscall/kernel compatibility.
• Đo cold start, warm activation và resume theo p50/p95/p99.
• Tạo burst, idle-heavy và long-running traffic profile riêng.
• Kiểm checksum/process/network state trước và sau snapshot.
• Thử host escape, metadata access, lateral movement và egress bypass trong lab được phép.
• Xác minh credential không xuất hiện trong guest, log hoặc snapshot.
• Kill worker/control-plane path; đo task loss, duplicate và recovery.
• Đo storage, egress, active/idle compute và cost per completed task.
• Không dùng số 10x/<500 ms/>500/s nếu chưa tái lập cùng điều kiện.

• Sandbox: môi trường cô lập chạy code agent.
• Suspend/resume: đóng băng và khôi phục trạng thái thực thi.
• MicroVM: máy ảo nhẹ với kernel riêng.
• gVisor: sandbox cung cấp lớp kernel userspace.
• Egress gateway: điểm kiểm soát lưu lượng ra và credential.
• Active-only compute: chỉ giữ compute khi agent hoạt động.