Google umožňuje vývojářům blokovat nástrojové volání agentů Gemini

Google přidala kontrolní vrstvu do spravovaných agentů ve svém Gemini API, která umožňuje vývojářům spouštět svůj kód před a po každém nástrojovém volání, které agent provede uvnitř svého cloudového sandboxu, a zrušit volání úplně. Stejná aktualizace zavedla Gemini 3.6 Flash jako výchozí model za agentem, omezila počet tokenů, které může jeden běh spotřebovat, a zpřístupnila tuto funkci projektům bez fakturace.

Spravované agenty jsou Googleovými hostovanými verzemi agentní smyčky, stejným vzorem, který stojí za asistenty, kteří jsou nyní propojeni, aby provedli akce místo odpovědí na otázky. Jedno volání API zřídí Linux sandbox, a model pak plánuje, spouští kód, instaluje balíčky, čte a zapisuje soubory a načítá webové stránky, dokud není úkol dokončen. Tato architektura je to, co učinila novou funkci nezbytnou: sandbox byl místem, kam mohli vývojáři poslat práci, ale nemohli ho z vnitřku kontrolovat.

Prostředí hooků mění to. Soubor hooks.json připojený do sandboxu registruje obslužné rutiny proti dvěma okamžikům ve smyčce, před spuštěním nástroje a po jeho dokončení. Každá pravidla odpovídají názvům nástrojů pomocí regulárních výrazů, takže jedna položka může pokrýt současně spuštění kódu a zápis souborů nebo zachytit každé volání. Když před-spouštěcí obslužná rutina vrátí zamítnutí, běh přeskočí volání nástroje a vrátí uvedený důvod zpět do kontextu modelu, kde může agent zvolit jinou cestu nebo vysvětlit blokaci uživateli ve stejném kroku.

Co hooky dosahují

Hooky se aktivují u nástrojů, které Google spouští uvnitř kontejneru: spuštění kódu, plus operace se soubory, které čtou, zapisují, seznamují a odstraňují soubory. Vlastní funkce, které vývojář spouští na klientovi, a vzdálené servery Model Context Protocol běží mimo kontejner, takže hooky je nezachytí.

Neúspěchy se řeší směrem k oprávnění. Pokud hook skript ukončí s chybou, vyprší čas, vrátí serverovou chybu nebo vydá JSON, který běh neuznává, volání nástroje pokračuje. Googleova dokumentace uvádí důvod: rozbitý linter nebo nedosažitelný server telemetrie by nikdy neměl být schopen zablokovat produkční aplikaci.

Druhý typ obslužné rutiny pošle událost přímo na externí koncový bod z uvnitř sandboxové sítě, což je způsob, jak funguje auditní protokolování. Tyto požadavky procházejí přes Googleův egress proxy, takže cílová adresa musí být v allowlistu prostředí, a autentizační tokeny žijí v síťové konfiguraci spíše než v souboru hooku, s proxy, které vkládá skutečné hlavičky do drátu. Google také uvádí, že agent, který drží shell nebo přístup pro zápis, může upravit soubor hooku v zapisovatelném pracovním prostoru, a upozorňuje vývojáře, kteří potřebují odolnost proti zneužití, aby připojili tuto konfiguraci z pouze čitelného repozitáře.

Řízení toho, co je agentovi povoleno dělat, přitahuje peníze z venture kapitálu. Google vkládá kontrolu do svého vlastního běhu.

Verifikační potrubí jsou prvním použitím, které přiřadilo zákaznického jména. Alston Lin, zakladatel a technologický ředitel AI-rodné investiční banky OffDeal, řekl, že post-spouštěcí hook nyní běží image-checking potrubí jeho firmy okamžitě, jakmile jeho analytický agent zapíše seznam firem, vynucuje pravidla kvality na pixelové úrovni pro desítky log, které potřebuje bankovní ready deck. “Před agentními hooky jsme nemohli udělat toto na spravovaných agentech Gemini: sandbox je vzdálený, takže náš validační kód neměl kam běžet,” řekl.

Gemini 3.6 Flash se stává výchozím

Spravovaný agent běží Gemini 3.6 Flash bez jakýchkoli změn kódu, přebírá jej při příštím interakci. Vývojáři mohou uvíznout jiný model, předáním jej v konfiguraci agenta, zvolením Gemini 3.5 Flash pro kontinuitu nebo 3.5 Flash-Lite pro nižší náklady a latenci. Pro agenty uložené jako trvalé zdroje je model stanoven při vytvoření a nelze jej přepsat pro jednotlivá volání, což Google říká, aby se chovalo předvolatelné, laditelné a zabezpečené.

Google vydal 3.6 Flash 21. července 2026 spolu s 3.5 Flash-Lite a bezpečnostně laděným 3.5 Flash Cyber, spuštěním, ve kterém odložil své zpožděné 3.5 Pro vlajkové lodě. Cena je 1,50 USD za milion vstupních tokenů a 7,50 USD za milion výstupních tokenů, proti 9,00 USD za výstup pro 3.5 Flash, a společnost uvádí, že spotřebuje o 17 % méně výstupních tokenů na Artificial Analysis Index, zatímco dosahuje 49 % na DeepSWE kódovacím benchmarku ve srovnání s 37 % pro jeho předchůdce. Levnější tokenový profil je to, co záleží uvnitř agentní smyčky, kde jedna úloha může běžet po stovky kroků.

Omezení výdajů a naplánované běhy

Náklady jsou druhou věcí, kterou tato verze řeší přímo. Strop tokenů předaný s požadavkem omezuje vstupní, výstupní a myšlení tokeny napříč celou interakcí; cache tokeny jsou vyloučeny a limit je nejlepší úsilí spíše než přesný. Když agent dosáhne limitu, běh se vrátí jako neúplný se sandboxovým stavem neporušeným a následné volání obnoví práci s novým limitem. Googleovy odhady umístí náročnou úlohu zpracování dat na 0,70 až 3,25 USD, s komplexními pracovními postupy, které kumulují tři až pět milionů tokenů a přibližně 5 USD v jediné interakci. Sandboxový výpočet není fakturován během náhledu.

Dvě novinky proměňují agenta na stojící infrastrukturu spíše než na volání na vyžádání:

• Naplánované spouštěče váží agenta, prompt, prostředí a cron výraz do trvalého zdroje, který se spouští sám, pausuje se po pěti po sobě jdoucích neúspěších. Každý běh znovu využívá stejný sandbox, takže soubory napsané jedním provedením jsou viditelné pro další.
• Prostředí rozhraní seznamuje, prohlíží a odstraňuje sandboxové relace z kódu, což obnoví ID prostředí po přerušeném připojení a vyčistí sandboxy, když je dokončena potrubí, místo aby čekalo sedm dní na jejich vypršení.

Funkce staví na verzi z 7. července 2026, která poskytla spravovaným agentům běh na pozadí, vzdálené připojení Model Context Protocol, volání vlastních funkcí a obnovení pověření uprostřed relace. Společně umisťují naplánovaného, rozpočtově omezeného agenta s vynutitelnou vrstvou zásad do dosahu vývojáře, který pracuje s bezplatným API klíčem.