Agent Endpoint 将 Gemini Platform 治理功能扩展到在员工受管设备上运行的 AI 智能体。借助该服务，您可以在 Google Cloud 中一次性定义访问权限、安全、身份和可观测性政策，并为 Claude Code 和 Antigravity CLI 等本地编码智能体一致地强制执行这些政策。此过程使用与云端运行的代理相同的控制平面。
本地编码智能体和效率助理可以读取和写入本地文件系统、执行命令，以及调用企业和外部工具（例如 GitHub、Jira 和 Slack）。由于这些代理以登录用户的身份运行，因此它们会继承用户的权限、本地凭据和对专有数据的访问权限。这些智能体通常在您现有的安全和审核框架之外运行，因此安全和平台团队几乎无法了解智能体调用了哪些模型和工具、使用了什么身份，以及哪些数据离开了设备。
Agent Endpoint 弥补了这一差距，您无需更换端点安全、网络安全或移动设备管理 (MDM) 堆栈，也无需为每个代理供应商构建单独的治理模型。
概览
下图展示了 Agent Endpoint 如何将 Google Cloud 中 Gemini Enterprise Agent Platform 控制平面上的 Agent Runtime 连接到受管设备上的 Agent Runtime。
身份模型
Agent Endpoint 从您已在运行的系统中派生身份，而不是在设备上引入新的密钥。管理员在配置智能体的沙盒设置时，会以智能体系列的形式为舰队批准智能体，这些智能体系列是获批的智能体类型，例如 Claude Code 或 Antigravity CLI。
设备标识：您的移动设备管理(MDM)或公钥基础设施 (PKI) 已预配到设备操作系统密钥库或 TPM 中的企业 X.509 客户端证书。您必须先将企业 CA 注册为工作负载身份池中的信任锚。Agent Endpoint 运行时启动后，会通过 mTLS 向 Google Cloud 提供证书，以获取短期有效凭证。Agent Endpoint 不会颁发或推送新的设备证书。
开发者身份：首次启动智能体时开发者的登录信息。开发者必须在设备上登录其 Google Cloud 账号，并且开发者的身份通过与设备相同的身份验证方法进行验证。
智能体身份：开发者的身份，以及已获批准的智能体系列。在开发者的登录信息通过验证后，系统会建立代理身份。
您可以将 Identity and Access Management (IAM) 访问权限政策应用于管理范围内的所有代理实例或特定代理身份。由于凭据是在设备上从设备标识获取的，因此无需将服务账号密钥或其他静态 Google Cloud凭据存储在代理可以读取的位置。
相关治理控制措施
| 治理层 | 政策或机制 | 用途 |
|---|---|---|
| 访问权限控制 | IAM 访问权限政策 | 控制哪些代理身份有权连接到特定 MCP 服务器、工具和已注册的 API 端点，包括在设备上运行的代理。 |
| 内容安全 | Model Armor | 扫描本地智能体的提示词、回答和工具调用，以防范提示词注入、越狱和敏感数据泄露。 |
| 执行隔离 | 编程智能体自己的沙盒（Claude Code、Antigravity CLI），由 Agent Endpoint 配置 | Claude Code 和 Antigravity CLI 各自附带一个沙盒，该沙盒使用操作系统隔离原语（macOS Seatbelt、Linux bubblewrap 或命名空间）来限制文件系统、进程和本地网络访问。在预览版中，Agent Endpoint 可集中管理每个智能体系列的沙盒设置，并由智能体自己的沙盒（例如 Claude Code 或 Antigravity CLI 中包含的沙盒）原生执行，从而补充您已运行的操作系统和应用级控制。我们计划推出一个由 Google 管理的沙盒，该沙盒与 Agent Endpoint 打包在一起，可隔离整个智能体进程。 |
| 工具和端点目录 | 智能体注册表 | 定义本地智能体可以使用的已批准 MCP 服务器、API 端点和智能体系列。 |
| 设备管理 | 您的 MDM | 在受管设备上安装、引导、更新和维护 Agent Endpoint 运行时。 |
| 端点和网络安全 | 您的 EDR/XDR、安全 Web 网关和零信任网络访问 | 继续独立于 Agent Endpoint 保护设备和网络。 |
支持的平台、代理和政策
在预览版阶段，Agent Endpoint 支持以下平台、智能体和治理控制措施。
| 组件 | 支持的选项 |
|---|---|
| 操作系统 | - macOS - Linux |
| 本地智能体 | - Claude Code - Antigravity CLI |
| 沙盒 | - 编码智能体自己的沙盒（例如，Claude Code 的沙盒，它使用 macOS Seatbelt 或 Linux bubblewrap）。Agent Endpoint 在预览版中不提供自己的沙盒，而是集中配置和强制执行智能体的沙盒设置 |
| 设备部署 | - 通过企业 MDM 分发 Agent Endpoint 运行时和引导配置 - 来自现有 MDM 或企业 PKI 的设备证书 |
| 身份 | - 用户使用 Google Workspace 或 Cloud Identity 账号登录 - 设备标识来自设备操作系统密钥库或 TPM 中的企业 X.509 证书，通过 X.509 工作负载身份联合进行信任 - 每个设备上每个已批准代理系列的代理标识 (SPIFFE ID)，由 Google 管理的代理标识池颁发 |
| 受管控的流量 | - 经 Model Armor 检查的、流向 Vertex AI 上的 Gemini 模型和外部模型提供商的模型流量 - 在 Agent Registry 中注册的远程 MCP 服务器（可流式传输的 HTTP）和 API 端点 |
| 政策 | - MCP 服务器、工具和已注册 API 端点上的 IAM 访问权限政策 - 提示、回答和工具调用上的 Model Armor |
| 可观测性 | - 智能体活动跟踪记录和使用情况遥测数据导出到 Google Cloud Observability |
请求强制执行流程
当受管控的智能体调用模型或远程 MCP 工具时，Agent Endpoint 会按以下阶段处理请求：
代理启动（设备）：
- 开发者通过 Agent Endpoint 客户端启动智能体。
- 客户端会让开发者登录，或重复使用开发者已存储的登录信息，并使用该信息向智能体注册表验证开发者是否有权运行请求的智能体系列，以及在该系列下注册开发者的智能体。
- 首次启动该代理系列时，客户端会使用其企业证书对设备进行身份验证，并获取该系列的代理身份：在后续启动时重复使用的证书和 SPIFFE ID。
- 客户端会在智能体自己的沙盒中启动智能体，并应用为其智能体系列定义的沙盒设置，以及 IT 管理员分发到设备的文件系统访问规则（只读、读写和拒绝路径），其网络出站流量配置为使用本地 Agent Gateway。
请求路径（设备和 Google Cloud）：
- 智能体发送模型或工具请求。本地 Agent Gateway 会将 Agent Identity 附加到请求；代理本身绝不会处理凭证。
- 对于远程 MCP 调用，网关会根据 Agent Registry 目录解析目标，因此只有已注册的服务器和工具可访问。
- 系统会根据附加到管理项目的 IAM 访问权限政策（范围限定为代理系列或项目中的所有代理）以及您的 Model Armor 模板来评估请求。对于 Google Cloud 目标，目标服务还会检查授予代理身份的 IAM 角色。被政策拒绝或被 Model Armor 标记的请求会在到达目的地之前被屏蔽。
响应路径和遥测：
- Model Armor 会根据您的模板检查模型回答和工具结果，并将其返回给智能体。
- 本地遥测收集器会将互动的跟踪记录和使用情况属性（包括代理身份、代理系列、设备和用户）导出到 Google Cloud Observability。
Deployment 生命周期
Agent Endpoint 将管理员设置与开发者的日常使用分开：
- 部署前：
- 创建管理项目。
- 向工作负载身份池注册企业 CA，以便受管设备可以使用其现有证书进行身份验证。
- 在 Agent Registry 中注册已获批准的 MCP 服务器和 API 端点。
- 定义代理系列。
- 附加 IAM 访问权限政策和 Model Armor 模板。
- 设备部署：
- 通过 MDM 将 Agent Endpoint 运行时和引导配置分发到受管设备。
- 使用现有的 MDM 和操作系统控制功能，将 Agent Endpoint 设为受管控智能体的已批准启动路径。
- 部署后：
- 开发者发布智能体。
- 智能体在自己的沙盒中运行，并使用 Agent Endpoint 提供的设置。
- 智能体的模型和远程工具流量通过本地 Agent Gateway 进行路由。开发者无需选择沙盒或政策。