구글, Gemini 에이전트의 툴 호출 차단 허용

구글은 Gemini API의 관리 에이전트에 제어 계층을 추가하여 개발자가 에이전트가 클라우드 샌드박스 내에서 툴 호출을 하기 전에 및 이후에 자신의 코드를 실행할 수 있도록 하였으며, 호출을 취소할 수 있도록 하였다. 동일한 업데이트는 Gemini 3.6 Flash를 에이전트 뒤의 기본 모델로 만들며, 단일 실행에서 소비할 수 있는 토큰 수를 제한하며, 이 기능을 청구가 없는 프로젝트에开放한다.

관리 에이전트는 에이전트 루프의 호스트 버전으로, 현재 작업을 수행하기 위한 보조를 연결하기 위해 설계된 것과 동일한 패턴이다. 하나의 API 호출은 리눅스 샌드박스를 프로비저닝하며, 모델은 작업이 완료될 때까지 계획을 수립하고, 코드를 실행하고, 패키지를 설치하고, 파일을 읽고 쓰며, 웹 페이지를 가져온다. 이 아키텍처는 새로운 기능이 필요한 이유이다: 샌드박스는 개발자가 작업을 보낼 수 있는 곳이지만 내부에서 감시할 수 없었다.

환경 훅은 이를 변경한다. 샌드박스에 마운트된 hooks.json 파일은 루프의 두 시점에 대한 핸들러를 등록한다: 툴이 실행되기 전에 및 툴이 완료된 후에. 각 규칙은 정규 표현식을 사용하여 툴 이름을 일치시킴으로써 코드 실행 및 파일 쓰기와 같은 여러 작업을 함께 다루거나 모든 호출을 가로챌 수 있다. 전처리 핸들러가 거부를 반환하면 런타임은 툴 호출을 건너뛰고 모델의 컨텍스트에 지정된 이유를 전달하며, 에이전트는 다른 경로를 선택하거나 사용자에게 동일한 턴 내에서 차단을 설명할 수 있다.

훅이 도달하는 범위

훅은 컨테이너 내에서 구글이 실행하는 툴에서 발생한다: 코드 실행 및 파일시스템 작업이 파일을 읽고, 쓰고, 목록을 만들고, 삭제한다. 개발자가 클라이언트 측에서 실행하는 사용자 정의 함수 및 원격 모델 컨텍스트 프로토콜 서버는 컨테이너 외부에서 실행되므로 훅이 이러한 함수를 가로채지 않는다.

실패는 허가로 해결된다. 훅 스크립트가 오류와 함께 종료되거나, 시간 초과되거나, 서버 오류를 반환하거나, 런타임이 인식하지 못하는 JSON을 내보내면 툴 호출이 계속된다. 구글의 문서는 이유를 제공한다: 고장난 린터 또는 도달할 수 없는 테레메트리 서버는 절대 프로덕션 애플리케이션을 데드락으로 만들어서는 안 된다.

두 번째 핸들러 유형은 샌드박스 네트워크 내에서 외부 엔드포인트에 이벤트를 직접 게시한다. 이는 감사 로깅이 작동하는 방식이다. 이러한 요청은 구글의 이그레스 프록시를 통해 전송되므로 대상은 환경의 허용 목록에 있어야 하며, 인증 토큰은 네트워크 구성에 저장되며, 프록시는 실제 헤더를 삽입한다. 구글은 또한 에이전트가 쉘 또는 쓰기 액세스 권한을 보유하고 있으면 편집 가능한 워크스페이스에서 훅 파일을 편집할 수 있으며, 변조 방지를 필요로 하는 개발자를 읽기 전용 저장소에서 구성 마운트로 안내한다.

에이전트가 수행할 수 있는 작업을 통제하는 것은 자체적으로 벤처 자금을 आकर들고 있다. 구글은 자체 런타임 내에서 체크를 넣고 있다.

검증 파이프라인은 고객 이름을 부여한 첫 번째 사용 사례이다. AI 네이티브 투자 은행 OffDeal의 창립자이자 최고 기술 책임자 인 Alston Lin은 후처리 훅이 현재 분석가 에이전트가 회사 목록을 작성하는 순간 그의 회사 이미지 확인 파이프라인을 실행하여, 은행가 준비 데크에 필요한 로고에 대한 픽셀 수준의 품질 규칙을 적용한다고 말했다. “에이전트 훅 이전에는 Gemini의 관리 에이전트에서 이를 수행할 수 없었다: 샌드박스는 원격이므로 우리의 유효성 검사 코드는 실행할 곳이 없었다”고 말했다.

Gemini 3.6 Flash가 기본값으로 채택

관리 에이전트는 코드 변경 없이 Gemini 3.6 Flash를 실행하며, 다음 상호 작용에서 이를 사용한다. 개발자는 에이전트의 구성에서 모델을 전달하여 연속성을 위해 Gemini 3.5 Flash 또는 낮은 비용 및 지연 시간을 위해 3.5 Flash-Lite를 고정할 수 있다. 영속적 리소스로 저장된 에이전트의 경우 모델은 생성 시에 고정되어 호출당시에는 재정의할 수 없다. 구글은 이를 통해 툴 호출 동작, 디버깅 및 보안 경계가 예측 가능하다고 말한다.

구글은 2026년 7월 21일 3.6 Flash를 3.5 Flash-Lite 및 보안 튜닝된 3.5 Flash Cyber와 함께 출시했으며, 이는 지연된 3.5 Pro 플래그십이 다시 연기된 출시이다. 이는 입력 토큰당 1.50달러, 출력 토큰당 7.50달러의 가격으로 제공되며, 3.5 Flash의 경우 출력 토큰당 9.00달러이다. 회사는 인공 분석 지수에서 17% 少ない 출력 토큰을 소비하며, DeepSWE 코딩 벤치마크에서 49%를 달성한다고 보고한다. 이는 전임 모델의 37%보다 높다. 에이전트 루프 내에서 중요한 것은 더 저렴한 토큰 프로파일이다. 여기서 하나의 작업은 수백 단계로 실행될 수 있다.

지출 한도 및 예약 실행

비용은 이 릴리스에서 직접 해결하는 또 다른 사항이다. 요청과 함께 전달된 토큰 천장은 입력, 출력 및思考 토큰을 전체 상호 작용에 걸쳐 제한한다. 캐시된 토큰은 제외되며, 제한은 엄격한 것이 아닌 최선의 노력이다. 에이전트가 이를 충족하면 실행은 완료되지 않은 상태로 반환되며, 샌드박스 상태는 유지된다. 후속 호출은 새 허용량과 함께 작업을 재개한다. 구글의 kendi 추정에 따르면, 데이터 처리 작업은 0.70달러에서 3.25달러 사이이며, 복잡한 워크플로는 3~5백만 토큰을 축적하며, 단일 상호 작용에서 약 5달러이다. 샌드박스 컴퓨팅은 미리 보기 동안 청구되지 않는다.

두 가지 추가 사항이 에이전트를 요청당 호출에서 지속적인 인프라로 만든다:

• 예약 트리거는 에이전트, 프롬프트, 환경 및 크론 표현식을 지속적인 리소스로 결합하여 5회 연속 실패 후에 기본적으로 일시 중단한다. 각 실행은 동일한 샌드박스를 재사용하므로 이전 실행에서 작성된 파일은 다음 실행에서 볼 수 있다.
• 환경 인터페이스는 코드에서 샌드박스 세션을 나열하고, 검사하고, 삭제한다. 이는 끊긴 연결 후에 환경 ID를 복구하고, 파이프라인이 완료되면 7일간의 만료를 기다리지 않고 샌드박스를 지운다.

이 기능은 2026년 7월 7일 릴리스에서 관리 에이전트에 배경 실행, 원격 모델 컨텍스트 프로토콜 연결, 사용자 정의 함수 호출 및 중간 세션 자격 증명 새로 고침을 제공한 릴리스에 기반한다. 함께 이러한 기능은 개발자가 무료 API 키에서 작업하여 예산이 제한되고 정책 계층이 적용된 예약 에이전트를 사용할 수 있도록 한다.