Google Laat Ontwikkelaars Toolaanroepen van Gemini-agents Blokkeren

Google heeft een controlelaag toegevoegd aan de beheerde agents in zijn Gemini API, waardoor ontwikkelaars hun eigen code kunnen uitvoeren voordat en na elke toolaanroep die een agent maakt binnen zijn cloud-sandbox, en de aanroep rechtstreeks kunnen annuleren. Dezelfde update maakt Gemini 3.6 Flash de standaardmodel achter de agent, plafonneert het aantal tokens dat een enkele run kan verbruiken en opent de functie voor projecten zonder facturering.

Beheerde agents zijn Google’s gehoste versie van de agentlus, hetzelfde patroon achter de assistenten die nu worden aangesloten om acties uit te voeren in plaats van vragen te beantwoorden. Één API-aanroep richt een Linux-sandbox in, en het model plant vervolgens code uit, installeert pakketten, leest en schrijft bestanden en haalt webpagina’s op totdat de taak is voltooid. Die architectuur is wat de nieuwe functie noodzakelijk maakte: de sandbox was een plek waar ontwikkelaars werk naar konden sturen, maar die ze van binnenuit niet konden controleren.

Omgevingshaken veranderen dat. Een hooks.json-bestand dat in de sandbox is gemount, registreert handlers tegen twee momenten in de lus, voordat een tool wordt uitgevoerd en nadat deze is voltooid. Elke regel komt overeen met toolnamen op basis van reguliere expressies, zodat één entry code-uitvoering en bestandsbewerkingen samen kan dekken of elke aanroep kan onderscheppen. Wanneer een pre-uitvoeringshandler een weigering retourneert, slaat de runtime de toolaanroep over en geeft de opgegeven reden terug naar de context van het model, waar de agent een andere route kan kiezen of de blokkering aan de gebruiker kan uitleggen in dezelfde beurt.

Wat de haken bereiken

Haken worden geactiveerd op de tools die Google uitvoert in de container: code-uitvoering, plus bestandsbewerkingen die bestanden lezen, schrijven, lijsten en verwijderen. Aangepaste functies die de ontwikkelaar client-side en externe Model Context Protocol-servers uitvoert, worden buiten de container uitgevoerd, dus haken onderscheppen deze niet.

Fouten worden opgelost naar toestemming. Als een haakscript met een fout afsluit, time-out, een serverfout retourneert of JSON uitvoert die de runtime niet herkent, gaat de toolaanroep door. Google’s documentatie geeft de reden: een kapotte linter of een onbereikbare telemetrieserver zou nooit in staat moeten zijn om een productie-toepassing te blokkeren.

Het tweede type handler stuurt het evenement rechtstreeks naar een extern eindpunt vanuit het sandbox-netwerk, wat de manier is waarop auditlogging werkt. Deze aanvragen gaan via Google’s egress-proxy, dus het doel moet op de allowlist van de omgeving staan, en authenticatietokens leven in de netwerkconfiguratie in plaats van in het haakbestand, met de proxy die echte headers op de draad injecteert. Google merkt ook op dat een agent met shell- of schrijftoegang een haakbestand in een beschrijfbaar werkgebied kan bewerken, en ontwikkelaars die tamperweerstand nodig hebben, naar het monteren van die configuratie vanuit een alleen-lezen repository verwijst.

Het controleren van wat een agent mag doen, trekt venture-geld aan. Google plaatst de controle binnen zijn eigen runtime.

Verificatiepijplijnen zijn de eerste toepassing die het een klantnaam geeft. Alston Lin, oprichter en chief technology officer van de AI-native investeringsbank OffDeal, zei dat een post-uitvoeringshaak nu zijn bedrijfs image-checkingpijplijn uitvoert op het moment dat zijn analistagent een bedrijfslijst schrijft, en pixelniveau-kwaliteitsregels afdwingt op de tientallen logo’s die een bankierklare presentatie nodig heeft. “Voordat agenthaken beschikbaar waren, konden we dit niet doen op Gemini’s beheerde agents: de sandbox is extern, dus onze validatiecode had nergens om te draaien”, zei hij.

Gemini 3.6 Flash wordt de standaard

De beheerde agent voert Gemini 3.6 Flash uit zonder enige codewijziging, en pakt deze op bij de volgende interactie. Ontwikkelaars kunnen een ander model vastmaken door het door te geven in de configuratie van de agent, waarbij ze Gemini 3.5 Flash kiezen voor continuïteit of 3.5 Flash-Lite voor lagere kosten en latentie. Voor agents die zijn opgeslagen als persistente resources, is het model vastgelegd bij het creëren en kan het niet worden overschreven per aanroep, wat Google zegt om gedrag, foutopsporing en beveiligingsgrenzen voorspelbaar te houden.

Google bracht 3.6 Flash uit op 21 juli 2026, samen met 3.5 Flash-Lite en een beveiligingsgerichte 3.5 Flash Cyber, de lancering waarin zijn vertraagde 3.5 Pro-vlaggenschip opnieuw werd uitgesteld. Het wordt geprijsd op $1,50 per miljoen invoertokens en $7,50 per miljoen uitvoertokens, tegen $9,00 uitvoer voor 3.5 Flash, en het bedrijf meldt dat het 17% minder uitvoertokens verbruikt op de Artificial Analysis Index, terwijl het 49% scoort op de DeepSWE-codingbenchmark versus 37% voor zijn voorganger. Het goedkopere tokenprofiel is het deel dat ertoe doet binnen een agentlus, waar één taak honderden stappen kan uitvoeren.

Uitgavenlimieten en geplande runs

Kosten zijn het andere ding dat deze release rechtstreeks aanpakt. Een tokencap die wordt doorgegeven met het verzoek, plafonneert invoer-, uitvoer- en denktokens over de hele interactie; cached tokens worden uitgesloten, en de limiet is een beste-inspanning in plaats van exact. Wanneer een agent deze bereikt, retourneert de run als onvolledig met de sandboxstatus intact, en een follow-upaanroep hervat het werk met een verse toewijzing. Google’s eigen schattingen plaatsen een zware dataprocessorstaken op $0,70 tot $3,25, met complexe workflows die drie tot vijf miljoen tokens en ongeveer $5 in één interactie accumuleren. Sandbox-computing wordt niet gefactureerd tijdens de preview.

Twee toevoegingen veranderen de agent in staande infrastructuur in plaats van een per-aanvraagaanroep:

• Geplande triggers binden een agent, een prompt, een omgeving en een cron-expressie aan een persistente resource die op eigen kracht wordt geactiveerd, met een standaardonderbreking na vijf opeenvolgende fouten. Elke run hergebruikt dezelfde sandbox, dus bestanden die door één uitvoering zijn geschreven, zijn zichtbaar voor de volgende.
• Een omgevingsinterface lijst, inspecteert en verwijdert sandbox-sessies vanuit code, wat een omgevings-ID herstelt na een verbroken verbinding en sandboxes wist wanneer een pijplijn is voltooid in plaats van te wachten tot hun zeven dagen zijn verstreken.

De functies bouwen voort op een uitgave van 7 juli 2026 die beheerde agents achtergronduitvoering, externe Model Context Protocol-verbindingen, aangepaste functie-uitvoering en mid-sessiecredentialrefresh gaf. Samen brengen ze een geplande, budget-gecapte agent met een afdwingbare beleagslaag binnen het bereik van een ontwikkelaar die werkt vanuit een gratis API-sleutel.