Googleは5月、「GKE Agent Sandbox」を正式提供するとともに、「Agent Substrate」プロジェクトを公開した。これについてシリコンバレーの技術アナリスト、ジャナキラム・MSV氏はThe New Stackへの寄稿で、KubernetesがAIエージェント向けの制御基盤としては適していないことを、Google自身の動きが事実上示したとの見方を示した。

GKE Agent Sandboxは、信頼できないコードを安全に実行するための実行環境を提供する。一方のAgent Substrateは、KubernetesのAPIサーバーを介さずに動作する独自のスケジューリング層を追加する仕組みだ。背景には、APIサーバーがもともとエージェント型のワークロードを前提に設計されていないことがあるという。

AIエージェントは、多くの時間をアイドル状態で過ごし、必要なタイミングで短時間だけアクティブになってコードを実行した後、再び待機状態に戻る。こうした性質から、同氏はエージェントを「状態を持つセッション」と捉えるべきだと説明する。

さらに、エージェントが実行するコードはAIが都度生成するため、ホスト側では原則として危険なものとして扱う必要があるとしている。

同氏によると、Kubernetesは固定数の長期稼働レプリカを持つサービスの管理を前提に設計されている。このため、細かなスケジューリングイベントが継続的に発生するエージェントとの相性はよくないという。

AWS、Microsoft、Googleはいずれも、セッションが新たなコンピューティング単位になるという点では認識が一致している。ただ、隔離の実装方法については各社で見解が分かれている。

GKE Agent Sandboxは、gVisorベースのカーネル分離を標準で備え、デフォルト拒否のネットワークポリシーを適用する。さらに、より強固な隔離が必要な場合に備え、Kata Containersへ置き換え可能なプラグイン型インタフェースも用意した。

Agent Substrateは、Sandboxのセキュアランタイムやスナップショット機能を再利用しつつ、Kubernetesクラスタとは別に、エージェント専用の小規模な制御システムを配置して運用する方式だという。

同氏は、Agent SubstrateとKubernetesは競合ではなく補完関係にあるとみている。信頼できないコードの実行にはSandbox、大量のアイドルセッション処理にはSubstrate、機器のプロビジョニングにはKubernetesが適しており、実運用では3つを組み合わせるケースが多くなるとの見方だ。

今後の焦点は、エージェント時代の制御層で主導権を握るのは誰かという点にある。同氏は、かつてコンテナオーケストレーションがKubernetesへ収斂したように、単一のオープンソースプロジェクトへ集約されるのか、それともハイパースケーラー各社が独自の方式を打ち出して再び断片化が進むのかが注目点になると指摘した。