Google pozwala deweloperom na blokowanie połączeń narzędziowych agentów Gemini

Google dodał warstwę kontrolną do zarządzanych agentów w swoim API Gemini, pozwalając deweloperom na uruchamianie własnego kodu przed i po każdym połączeniu narzędziowym agenta wewnątrz jego chmury piaskownicy oraz anulować połączenie. Ten sam update sprawia, że Gemini 3.6 Flash staje się domyślnym modelem za agentem, ogranicza liczbę tokenów, które pojedyncze uruchomienie może zużyć, oraz otwiera tę funkcję dla projektów bez przypisanej faktury.

Zarządzani agenci są wersją hostowaną przez Google pętli agenta, tego samego wzorca, który stoi za asystentami, które są teraz podłączane do wykonywania działań, a nie tylko do odpowiadania na pytania. Jeden wywołanie API przygotowuje piaskownicę Linux, a następnie model planuje, wykonuje kod, instaluje pakiety, odczytuje i zapisuje pliki oraz pobiera strony internetowe, aż do zakończenia zadania. Ta architektura jest tym, co uczyniło nową funkcję konieczną: piaskownica była miejscem, w którym deweloperzy mogli wysyłać pracę, ale nie mogli jej kontrolować od wewnątrz.

Hooki środowiskowe zmieniają to. Plik hooks.json zamontowany w piaskownicy rejestruje obsługujące dwa momenty w pętli, przed uruchomieniem narzędzia i po jego zakończeniu. Każda reguła dopasowuje nazwy narzędzi za pomocą wyrażeń regularnych, więc jeden wpis może objąć wykonywanie kodu i zapisywanie plików razem lub przechwytywać każde połączenie. Gdy obsługa przedwykonywania zwraca odmowę, środowisko wykonawcze pomija połączenie narzędziowe i przekazuje podaną przyczynę z powrotem do kontekstu modelu, gdzie agent może wybrać inną trasę lub wyjaśnić blokadę użytkownikowi w ramach tej samej tury.

Czego hooki dotykają

Hooki są wyzwalane na narzędziach, które Google uruchamia wewnątrz kontenera: wykonywanie kodu, a także operacje na plikach, które odczytują, zapisują, wyświetlają i usuwają pliki. Niestandardowe funkcje, które deweloper wykonuje po stronie klienta, oraz serwery protokołu Model Context Protocol działające na zewnątrz kontenera, więc hooki nie przechwytują ich.

Błędy rozwiązuje się w kierunku uprawnień. Jeśli skrypt hooka kończy się błędem, czasem wykonywania, zwraca błąd serwera lub emituje JSON, którego środowisko wykonawcze nie rozpoznaje, połączenie narzędziowe jest kontynuowane. Dokumentacja Google podaje powód: uszkodzony linter lub nieosiągalny serwer telemetryczny nigdy nie powinien być w stanie zablokować aplikacji produkcyjnej.

Drugi typ obsługi wysyła zdarzenie bezpośrednio do zewnętrznego punktu końcowego z poziomu sieci piaskownicy, co jest sposobem, w jaki działa rejestrowanie audytowe. Te żądania przesyłane są przez serwer proxy wychodzący Google, więc miejsce docelowe musi znajdować się na liście dozwolonych, a tokeny uwierzytelniania znajdują się w konfiguracji sieci, a nie w pliku hooka, z serwerem proxy wstrzykującym prawdziwe nagłówki w przesyłaniu. Google zauważa również, że agent posiadający dostęp do powłoki lub zapisu może edytować plik hooka w dostępnym obszarze roboczym i wskazuje deweloperom, którzy potrzebują odporności na manipulację, w kierunku montowania tej konfiguracji z repozytorium tylko do odczytu.

Kontrolowanie tego, co agent jest upoważniony do zrobienia, przyciąga pieniądze venture. Google umieszcza sprawdzian wewnątrz swojego własnego środowiska wykonawczego.

Pipeline weryfikacyjne są pierwszym przypadkiem użycia, który nadał nazwę klienta. Alston Lin, założyciel i dyrektor techniczny banku inwestycyjnego AI-native OffDeal, powiedział, że hooka post-wykonania teraz uruchamia pipeline sprawdzania obrazu jego firmy w momencie, gdy agent analityczny zapisuje listę firm, egzekwując reguły jakości na poziomie pikseli dla dziesiątek logo, których potrzebuje gotowy deck bankowy. “Przed hookami agenta nie mogliśmy tego zrobić na zarządzanych agentach Gemini: piaskownica jest zdalna, więc nasz kod walidacyjny nie miał gdzie się wykonać”, powiedział.

Gemini 3.6 Flash staje się domyślnym

Zarządzany agent uruchamia Gemini 3.6 Flash bez jakichkolwiek zmian w kodzie, podnosząc go podczas następnej interakcji. Deweloperzy mogą przypiąć inny model, przekazując go w konfiguracji agenta, wybierając Gemini 3.5 Flash w celu zapewnienia ciągłości lub 3.5 Flash-Lite w celu obniżenia kosztów i opóźnień. Dla agentów zapisanych jako zasoby trwałe model jest ustalony podczas tworzenia i nie może być zastąpiony na poziomie wywołania, co Google twierdzi, utrzymuje przewidywalne zachowanie wywoływania narzędzi, debugowania i granice bezpieczeństwa.

Google wydał 3.6 Flash 21 lipca 2026 roku wraz z 3.5 Flash-Lite i zabezpieczonym 3.5 Flash Cyber, w którym opóźniony flagowy model 3.5 Pro został ponownie przesunięty. Jego cena wynosi 1,50 USD za milion tokenów wejściowych i 7,50 USD za milion tokenów wyjściowych, w porównaniu z 9,00 USD za tokeny wyjściowe w modelu 3.5 Flash, a firma zgłasza, że zużywa 17% mniej tokenów wyjściowych w Artificial Analysis Index, uzyskując 49% w teście kodowania DeepSWE w porównaniu z 37% dla jego poprzednika. Tańszy profil tokenów jest tym, co się liczy wewnątrz pętli agenta, gdzie jedno zadanie może być wykonywane setki razy.

Limity wydatków i zaplanowane uruchomienia

Koszt jest kolejną rzeczą, którą ten wydanie adresuje bezpośrednio. Sufit tokenów przekazany z żądaniem ogranicza tokeny wejściowe, wyjściowe i myślowe w całej interakcji; pamiętane tokeny są wykluczone, a limit jest najlepszym wysiłkiem, a nie dokładnym. Gdy agent osiąga go, uruchomienie zwraca się jako niekompletne ze stanem piaskownicy nietkniętym, a następne wywołanie wznowienia pracy z nowym przydziałem. Własne szacunki Google szacują, że zadanie intensywnie przetwarzające dane może kosztować od 0,70 do 3,25 USD, a złożone przepływy pracy mogą gromadzić od trzech do pięciu milionów tokenów i około 5 USD w jednej interakcji. Obliczenia piaskownicy nie są rozliczane podczas podglądu.

Dwa dodatki zmieniają agenta w infrastrukturę stacjonarną, a nie w wywołanie na żądanie:

• Wyzwalacze zaplanowane wiążą agenta, promt, środowisko i wyrażenie cron w zasób trwały, który wyzwala się samodzielnie, wstrzymując się domyślnie po pięciu kolejnych awariach. Każde uruchomienie ponownie wykorzystuje tę samą piaskownicę, więc pliki zapisane przez jedną egzekucję są widoczne dla następnej.
• Interfejs środowisk wyświetla, inspekcjonuje i kasuje sesje piaskownicy z kodu, co odzyskuje identyfikator środowiska po przerwanej połączeniu i czyści piaskownice, gdy potok kończy się, zamiast czekać na ich wygaśnięcie po siedmiu dniach.

Te funkcje opierają się na wydaniu z 7 lipca 2026 roku, które dało zarządzanym agentom wykonywanie w tle, połączenia zdalne z Modelem Context Protocol, niestandardowe wywoływanie funkcji i odświeżanie poświadczeń w trakcie sesji. Wszystkie te elementy umieszczają agenta zaplanowanego, ograniczonego budżetem z warstwą polityki egzekwowalną w zasięgu dewelopera pracującego z bezpłatnym kluczem API.