Google 如何在 Gemini Agent Platform 上构建受治理的自进化 AI 智能体

Google 跟踪代码管理器（noscript）结束 Google 跟踪代码管理器（noscript） HTML 在 Gemini Agent Platform 上构建受治理、自进化的 AI 智能体 2026 年 10 月 22 日 Anant Nawalgaria 集团产品经理兼 AI 工程师

自进化 AI 的兴起

随着企业云平台扩展到服务数百万并发用户，紧耦合的微服务会引入级联故障模式，任何静态运行手册或阈值告警都无法预见。在黑色星期五闪购等高流量事件期间，站点可靠性工程师（SRE）面临一个严酷的现实：必须在数秒内诊断嘈杂的分布式遥测数据，否则就要承受每分钟损失数百万美元的级联中断。

尽管生成式 AI 副驾驶加速了代码编写和日志摘要， AI 智能体仍难以可靠地修复线上生产故障. 一位正在与连接池耗尽作斗争的待命工程师，不需要 AI 智能体提供故障排查建议或可能无法解决根本原因的未经核实的拉取请求；他们需要的是一个受治理的、 自进化 AI 系统 ，它能够：

诊断跨缓存和数据库层的分布式根本原因，实时进行，
自我修补 通过即时合成、验证并将可执行的缓解工具挂载到线上服务器中间件中，
自我批判 通过计算每个动作的边际贡献，将有效的修复与有害的反射性动作区分开来，
记忆通过将经过加密签名的运维不变量提炼到语义记忆中，降低相同故障再次发生的概率，以及
重新架构 通过在有人员签核的情况下，在内存中动态重新连接其自身的多智能体层级结构，以吸收未来的流量激增。

这一范式就是 自进化 AI。

在这个代号为 Project Chrysalis的 Google Cloud 研究参考架构中，我们展示了三项基础性研究突破如何结合成一个统一的、生产级架构，该架构可在 Gemini 平台和智能体开发套件（ADK）上运行。在模拟的黑色星期五缓存踩踏故障中，这一受治理的架构将首次缓解时间从 15 至 45 分钟缩短至 1.8 秒，将 HTTP 5xx 错误率从 72.7% 至 80.0% 降至 0.0%，将 P99 延迟从 519.8 毫秒降至 18.2 毫秒，并在 BigQuery 中于约 0.5 毫秒内评估了 400 条反事实流量策略。

至关重要的是，这一自进化架构并非作为不受约束的“黑箱”运行。为确保智能体保持安全、可靠、对齐并受到约束以防越轨行为，每一个自主操作都受到 Google Cloud 纵深防御安全栈的加密边界限制： Model Armor 用于清洗传入遥测数据，防范提示注入和数据泄露； Google Cloud 密钥管理服务（Cloud KMS）和 Binary Authorization 中间件用于对合成的补丁进行加密签名，并阻止未经验证的代码挂载；Open Policy Agent（OPA）策略控制器用于执行严格的 SLA 护栏，防止自伤式中断；以及双人复核的人在回路（HITL）治理，要求在对智能体层级结构做出任何永久性更改之前获得明确的 SRE 签核。

1. 事件：黑色星期五缓存踩踏，以及为什么智能体必须自进化

要理解为什么静态剧本和咨询式副驾驶在压力下会失效，请考虑一个经典的分布式故障级联：

入口激增： 一场闪购促销导致针对冷库存键的并发结账请求突然爆发。
缓存驱逐： Google Cloud Memorystore （Redis）在严格的最久未使用（LRU）内存限制下驱逐冷键，使缓存命中率骤降至零。
连接池耗尽： 未缓存的流量直接级联到 Google Cloud SQL. 一旦 PostgreSQL 连接池饱和，传入查询就会排队超过超时阈值，服务开始以广泛的 HTTP 500 错误失败。
致命的“凌晨 3 点恐慌反射”： 在运维压力下，人类响应者和幼稚的 LLM 都本能地试图 重启数据库连接池. 在实时踩踏中，断开连接会锁住数据库内核，使尾部延迟飙升近十倍，并将错误率推向全面中断。

自进化智能体如何随时间适应

传统 AI 智能体在部署时就被冻结，具有固定的系统提示和预注册的工具。当新的基础设施瓶颈来袭时，自进化 AI 架构通过在运行时合成针对具体情况的缓解工具、对每次干预的遥测影响进行评分，并将经验证的护栏编纂成文以供未来事件使用，从而扩展这些基线能力。

为了实现真正的自主韧性， 智能体本身必须基于哪些有效、哪些失败的实证证据进行进化:

自主自我修补（工具合成）： 当智能体诊断出数据库耗尽是由未限流的入口激增驱动，并意识到它缺少内置的流量整形工具时，它会 即时编写自己的中间件补丁 （一个内存中的令牌桶速率限制器），验证其抽象语法树（AST），用 Cloud KMS 对其进行签名，并将其直接热挂载到 API 网关中。
因果自我批判（评估哪些有效、哪些失败）： 在稳定故障后，智能体评估事件期间所采取每个动作的遥测增量。它从数学上惩罚数据库重启反射，因为它恶化了延迟，同时奖励其合成的速率限制器消除了服务器错误。
认知记忆与组织自我重连： 为降低重复故障的可能性，智能体将一条经过签名的运维原则写入向量记忆，在缓存踩踏期间阻止数据库重启。然后它修改 其在 RAM 中的自身多智能体拓扑, 在监督智能体下设立一个永久的 流量整形专家智能体 ，以便未来的流量激增在到达数据库之前就被整形。

2. 自进化 AI 的三大研究支柱

自进化云智能体是一个活跃的应用研究领域，专注于解决 SRE 三难困境 （平衡探索安全性、结构适应性与多步信用分配），通过在 Google Cloud 上统一三大研究支柱：

1. 无服务器反事实模拟（Dream-RSI):
挑战： 在生产环境中测试未经审核的限流参数，可能导致合法收入被限流或再次触发故障。
机制： 生产请求追踪数据导出至 Google BigQuery, 引擎在此以亚毫秒级向量化内存扫描重放数百种候选令牌桶配置，从而离线识别帕累托最优策略。

2. 三层协同进化（APEX):
挑战： 单层提示调优只能提供脆弱的权宜之计，而无约束的代码自我修改则存在系统不稳定性风险。
机制： 智能体进化被划分为三个受治理的时间尺度：

第 1 层（临时热补丁）： 合成并挂载内存中间件工具，在数秒内中止正在发生的故障。
第 2 层（原则蒸馏）： 将经 Cloud KMS签名的经验教训编码至 Agent Platform Vector Search ，以便在未来告警时阻止禁忌操作。
第 3 层（拓扑重连）： 将永久性专家子智能体编入活跃的多智能体有向无环图（DAG）。

3. 步骤级 Shapley 归因（AgentEvolver):
挑战： 在混乱的事件中，多个干预措施会依次发生；粗粒度的结果奖励无法区分哪一步治愈了服务、哪一步造成了附带损害。
机制： AgentEvolver 利用干预前后的遥测增量（P99 延迟、HTTP 5xx 率和数据库连接池饱和度），计算每个执行跨度上的边际 Shapley 信用，从而将有益的补丁与错误的补丁区分开来。

3. 四阶段参考演练：自我进化的实际运作

我们将此架构实现为 Gemini 平台上的交互式应用。上图展示了跨越 生产目标服务, Agent Development Kit (ADK) 多智能体平面, 自我进化引擎, 以及 纵深防御治理流水线.

的闭环工作流。交互式演示的每个阶段都展示了智能体自我进化的不同阶段：

阶段 1：入口故障与 SRE 基线

发生情况： 在 5 个请求的预热基线之后，50 个请求的并发闪购激增冲击了 15 个冷库存键。
系统影响： Memorystore 命中率从 100% 降至 0.0%, Cloud SQL 连接池达到 100% 饱和 （2/2 个活跃连接被锁定），P99 延迟飙升至 312.8 至 519.8 毫秒, HTTP 500 错误跃升至 72.7% 至 80.0% （40 次结账失败）。

Phase 2: ADK Fast-Loop Triage & Governed APEX Layer 1 Hotpatch

What Happens: Telemetry alerts wake the Agent Development Kit (ADK) Supervisor Router Agent powered by Gemini 4 Argon, after Model Armor inspects the incoming alert payload to block prompt injections.
Autonomous Self-Patching: Diagnosing pool exhaustion, the APEX Layer 1 Hotpatch Synthesizer generates an in-memory token-bucket rate limiter (10-token capacity, 40.0 req/s replenishment). Before mounting into the API Gateway middleware, the patch passes three automated governance gates:
1. AST Sandbox Visitor verifies that forbidden system modules and dynamic execution sinks are absent.
2. OPA Policy Controller confirms the replenishment rate meets the enterprise minimum SLA (>= 10.0 req/s).
3. Cloud KMS & Binary Authorization signs the artifact digest (EC_SIGN_P256_SHA256) and verifies key provenance at the middleware boundary.

System Impact: Across a second 50-request surge, HTTP 500 errors drop to 0.0%, Cloud SQL pool saturation drops from 100% to 0%, P99 latency recovers to 18.2 ms, and excess burst traffic is cleanly shed via HTTP 429 (40 requests throttled, 10 served from warm cache).

Phase 3: AgentEvolver Attribution & Tier-2 HITL In-Memory Topology Rewiring

What Happens: The AgentEvolver Credit Attribution Engine audits the incident execution spans, penalizing the database restart reflex ( after spiking latency to 3,800 ms) and rewarding the token-bucket middleware patch (+0.97 credit).
Principle Distillation: The APEX Layer 2 Principle Distiller signs and indexes an immutable operational rule into Gemini Platform Vector Search: "Cache eviction stampede: database restart contraindicated; apply token-bucket load shedding."
Tier-2 Dual-Custody Approval: Rather than relying on temporary hotpatches, the system proposes a Tier-2 structural update: commissioning a permanent Traffic Shaping Specialist Agent. Execution pauses in the UI and presents a Dual-Custody SRE Approval Modal requiring explicit sign-off from the on-call SRE.
In-Memory ADK Graph Rewiring:
In production cloud runtimes (Google Kubernetes Engine, Cloud Run), container images are immutable; rewriting source files on disk during a live outage violates container integrity and requires disruptive restarts. Instead, once issued a cryptographic human-approval token, the APEX Layer 3 Cloud Topology Adapter executes an in-memory Directed Acyclic Graph (DAG) update:

Instantiates the Traffic Shaping Specialist Agent in RAM with dedicated rate-limiting, queue-depth inspection, and token-replenishment tools.
Appends the specialist agent directly to the Supervisor Router Agent's active sub-agent graph as a parallel peer alongside the Diagnostic Agent (leaving the diagnostic node unmodified).
Updates the supervisor's routing instructions and re-binds the live Google ADK Runner in memory with zero downtime and zero container restarts.

Phase 4: Google BigQuery Counterfactual Replay & Curiosity Chaos Verification

What Happens: Incident request traces flow into Google BigQuery, where the BigQuery Counterfactual Replay Engine executes 400 counterfactual policy simulations across token capacities and replenishment rates.
Sub-Millisecond Discovery & Chaos Proof: Vectorized in-memory trace replay completes all 400 sweeps in ~0.5 milliseconds, identifying the Pareto-optimal policy (5-token capacity, 5.0 req/s rate, zero 5xx errors). Finally, the Curiosity Chaos Red-Team Agent stress-tests the evolved system in an isolated shadow sandbox by purging 100% of the cache and firing 200 concurrent requests. The newly wired Traffic Shaping Specialist Agent absorbs the surge with 0 HTTP 500 errors and 13% max DB load, certifying the architecture as resilient.

4. Enterprise Cloud Governance: Defense-in-Depth

^{The Governing Principle:} ^{An AI agent may autonomously evolve its operational tactics to defend system health, but its authority to execute is cryptographically bounded by immutable enterprise policies, hardware key provenance, and explicit human custody.}

To deploy self-evolving agents safely in production, our architecture enforces an unbroken four-gate defense-in-depth chain of custody. Every synthesized patch, distilled memory, and topology update must clear four sequential verification boundaries:

Ingress & AST Sandbox Sanitization: Before any telemetry alert enters the agent reasoning loop, Model Armor screens payloads for adversarial prompt injections and redacts sensitive data. When the agent synthesizes mitigation code, an AST Sandbox Visitor parses the syntax tree before compilation to block unauthorized system calls and arbitrary execution sinks.
Cryptographic Provenance & Binary Authorization: Validated code artifacts and distilled principles are signed using Google Cloud KMS asymmetric keys. API Gateway middleware enforces a strict Binary Authorization check, refusing to mount any in-memory rate limiter unless its cryptographic signature verifies against the enterprise key ring.
Policy-as-Code & Dual-Custody HITL Escalation: An Open Policy Agent (OPA) Policy Controller enforces rigid SLA guardrails (such as requiring replenishment rates >= 10.0 req/s so an agent cannot accidentally self-inflict a denial of service). Higher-risk Tier-2 structural updates, such as rewiring the ADK agent graph, trigger a Dual-Custody Human-in-the-Loop Gate, pausing execution until an authorized SRE approves the change with a cryptographic token.
Tamper-Evident Auditability: Every alert sanitization, AST check, KMS signature, policy verdict, and HITL approval emits structured records to Google Cloud Logging, guaranteeing end-to-end compliance and forensic traceability.

5. Empirical Results in the demo simulation

Across automated evaluations of Black Friday cache-stampede workloads, the self-evolving architecture delivered decisive operational gains over both manual triage and static advisory copilots: