Google consente agli sviluppatori di bloccare le chiamate degli strumenti degli agenti Gemini

Google ha aggiunto un livello di controllo agli agenti gestiti nel suo API Gemini, consentendo agli sviluppatori di eseguire il proprio codice prima e dopo ogni chiamata di uno strumento che un agente effettua all’interno del suo sandbox cloud, e di annullare la chiamata direttamente. La stessa aggiornamento rende Gemini 3.6 Flash il modello predefinito dietro l’agente, limita il numero di token che una singola esecuzione può consumare e apre la funzionalità ai progetti senza fatturazione associata.

Gli agenti gestiti sono la versione host di Google dell’agente loop, lo stesso pattern dietro gli assistenti che ora stanno essere cablati per eseguire azioni invece di rispondere a domande. Una singola chiamata API provvede a un sandbox Linux, e il modello pianifica, esegue codice, installa pacchetti, legge e scrive file e recupera pagine web fino a quando il compito non è completato. Quell’architettura è ciò che ha reso necessaria la nuova funzionalità: il sandbox era un luogo in cui gli sviluppatori potevano inviare lavoro ma non potevano controllare dall’interno.

I hook dell’ambiente cambiano questo. Un file hooks.json montato nel sandbox registra i gestori contro due momenti nel loop, prima che uno strumento venga eseguito e dopo che ha finito. Ogni regola corrisponde ai nomi degli strumenti tramite espressioni regolari, quindi un’unica voce può coprire l’esecuzione del codice e la scrittura del file insieme o intercettare ogni chiamata. Quando un gestore di pre-esecuzione restituisce un diniego, il runtime salta la chiamata dello strumento e passa il motivo dichiarato nel contesto del modello, dove l’agente può scegliere una rotta diversa o spiegare il blocco all’utente all’interno della stessa turno.

Cosa raggiungono gli hook

Gli hook vengono attivati sugli strumenti che Google esegue all’interno del contenitore: l’esecuzione del codice, più le operazioni del file system che leggono, scrivono, elencano e cancellano file. Le funzioni personalizzate che lo sviluppatore esegue sul lato client e i server del protocollo di contesto del modello remoto vengono eseguiti all’esterno del contenitore, quindi gli hook non li intercettano.

I fallimenti si risolvono verso il permesso. Se uno script di hook termina con un errore, si blocca, restituisce un errore del server o emette JSON che il runtime non riconosce, la chiamata dello strumento procede. La documentazione di Google fornisce il motivo: un linter rotto o un server di telemetria irraggiungibile non dovrebbe mai essere in grado di bloccare un’applicazione di produzione.

Il secondo tipo di gestore invia l’evento direttamente a un endpoint esterno all’interno della rete sandbox, che è il modo in cui funziona la registrazione degli eventi. Queste richieste viaggiano attraverso il proxy di uscita di Google, quindi la destinazione deve essere presente nell’elenco di controllo dell’ambiente, e i token di autenticazione vivono nella configurazione della rete invece che nel file di hook, con il proxy che inietta intestazioni reali nel filo. Google nota anche che un agente che detiene l’accesso shell o di scrittura può modificare un file di hook in un’area di lavoro scrivibile e indirizza gli sviluppatori che necessitano di resistenza ai tentativi di manomissione verso il montaggio di quella configurazione da un repository di sola lettura.

Controllare cosa un agente è autorizzato a fare sta attirando denaro di venture di suo. Google sta mettendo il controllo all’interno del proprio runtime.

I pipeline di verifica sono il primo uso a cui ha assegnato un nome di cliente. Alston Lin, fondatore e direttore tecnico della banca d’affari nativa AI OffDeal, ha detto che un hook post-esecuzione esegue ora la pipeline di controllo delle immagini della sua società il momento in cui il suo agente analista scrive la lista di una società, applicando regole di qualità a livello di pixel per le decine di loghi di cui un deck pronto per la banca ha bisogno. “Prima degli hook degli agenti, non potevamo fare questo con gli agenti gestiti di Gemini: il sandbox è remoto, quindi il nostro codice di convalida non aveva dove eseguirsi”, ha detto.

Gemini 3.6 Flash diventa il modello predefinito

L’agente gestito esegue Gemini 3.6 Flash senza alcun cambiamento di codice, acquisendolo alla prossima interazione. Gli sviluppatori possono fissare un modello diverso passandolo nella configurazione dell’agente, scegliendo Gemini 3.5 Flash per la continuità o 3.5 Flash-Lite per un costo e una latenza inferiori. Per gli agenti salvati come risorse persistenti, il modello è fisso alla creazione e non può essere sovrascritto per chiamata, il che, secondo Google, mantiene il comportamento della chiamata degli strumenti, il debug e i confini di sicurezza prevedibili.

Google ha rilasciato 3.6 Flash il 21 luglio 2026, insieme a 3.5 Flash-Lite e a un 3.5 Flash Cyber ottimizzato per la sicurezza, il lancio in cui il suo ritardato flagship 3.5 Pro è stato rinviato nuovamente. Il prezzo è di 1,50 dollari per milione di token di input e 7,50 dollari per milione di token di output, contro 9,00 dollari di output per 3.5 Flash, e la società riporta che consuma il 17% in meno di token di output sull’indice di analisi artificiale mentre ottiene il 49% sulla benchmark di codifica DeepSWE rispetto al 37% del suo predecessore. Il profilo di token più economico è la parte che conta all’interno di un loop di agenti, dove un compito può essere eseguito per centinaia di passaggi.

Limiti di spesa e esecuzioni pianificate

Il costo è l’altra cosa che questo rilascio affronta direttamente. Un soffitto di token passato con la richiesta limita i token di input, output e di pensiero in tutta l’interazione; i token in cache sono esclusi e il limite è il meglio sforzo piuttosto che esatto. Quando un agente raggiunge il limite, l’esecuzione restituisce come incompleta con lo stato del sandbox intatto, e una chiamata di follow-up riprende il lavoro con un nuovo limite. Le stime di Google stimano che un compito di elaborazione dei dati pesante possa costare tra 0,70 e 3,25 dollari, con flussi di lavoro complessi che accumulano tre o cinque milioni di token e circa 5 dollari in una singola interazione. Il calcolo del sandbox non è fatturato durante l’anteprima.

Due aggiunte trasformano l’agente in un’infrastruttura permanente invece di una chiamata per richiesta:

• Trigger pianificati legano un agente, un prompt, un ambiente e un’espressione cron in una risorsa persistente che si attiva da sola, sospendendosi dopo cinque fallimenti consecutivi per impostazione predefinita. Ogni esecuzione riutilizza lo stesso sandbox, quindi i file scritti da un’esecuzione sono visibili alla successiva.
• Un’interfaccia ambientale elenca, ispeziona ed elimina le sessioni del sandbox dal codice, che recupera un ID ambiente dopo una connessione persa e cancella i sandbox quando una pipeline finisce invece di aspettare la scadenza di sette giorni.

Le funzionalità si basano su un rilascio del 7 luglio 2026 che ha fornito agli agenti gestiti l’esecuzione in background, le connessioni del protocollo di contesto del modello remoto, la chiamata di funzioni personalizzate e l’aggiornamento delle credenziali a metà sessione. Insieme, queste funzionalità mettono un agente pianificato, con un tetto di budget e uno strato di politica applicabile, alla portata di uno sviluppatore che lavora con una chiave API gratuita.