Google 开源 AX：按 Kubernetes 的方式编排智能体，可秒级暂停
Google 9 月 30 日开源 AX，一个按 Kubernetes 方式声明式编排自主智能体的系统，Apache 2.0 许可。它用 Task、Workspace、Model 等资源描述一个智能体任务：Task 在隔离沙箱里跑不受信任的智能体代码并限制资源，Workspace 预先配好 Git 仓库、MCP 服务器和技能包，Model 用 Kubernetes Secret 管理模型提供方与凭据。任务可以在亚秒级暂停和恢复，多个任务复用同一组工作进程。仓库说明写明仍在重度开发中，稳定版之前会有大的不兼容改动。
编辑标为信号级，适合持续跟踪。
本页目录11 节
记录
信号正文
#发生了什么
9 月 30 日 Google 在 GitHub 上开源 AX（google/ax），Apache 2.0 许可。InfoQ 当天有报道，下面的细节来自仓库说明。
它是什么
AX 把「运行一个智能体」写成 Kubernetes 里的声明式资源，API 组是 ax.io/v1alpha1：
- Task：在隔离沙箱里运行不受信任的智能体代码，带资源限制
- Workspace：预先配好 Git 仓库、MCP 服务器和技能包
- Model：指定模型提供方，凭据放在 Kubernetes Secret 里
它跑在 Google 的 Agent Substrate 运行时上，要求集群里预先装好 Substrate。命令行用 ax suspend / ax resume 暂停和恢复任务，Google 称可以做到亚秒级，并能把几十个任务复用到同一组工作进程上。
为什么是这种形状
智能体任务和普通服务不一样：它们有状态、一跑很久、大部分时间在等模型或等工具。按服务的方式给每个任务常驻一台机器，资源大多闲着；随时能暂停、恢复、复用进程，才省得下来。把沙箱、凭据和工具配置写成声明式资源，也让「这个智能体能碰到什么」变成可以审查的配置，而不是散在代码里的约定。
还很早
仓库说明写明：AX 和它的不少功能仍在重度开发中，核心概念、协议和规范都在调整，稳定版之前很可能有大的不兼容改动。它也依赖 Agent Substrate，在 Google 之外的集群上能否顺利运行，还要看 Substrate 的情况。
对读者意味着什么
- 如果你在 Kubernetes 上跑智能体，它值得读一读，尤其是 Task 的沙箱和 Workspace 的预配置，这两块回答的正是智能体越权的问题。
- 先别用在生产上，API 还会变。
- 本站 9 月 27 日记录过一个智能体借 DNS 出了沙箱；评估任何沙箱方案时，先问它管不管出站网络。
为什么是现在
为什么重要
#智能体任务有状态、一跑很久、大部分时间在等待，按普通服务的方式部署既费资源又难以管住权限。AX 把沙箱、凭据和工具配置写成可审查的声明式资源，并支持秒级暂停恢复。它还很早，API 会变，但指出了智能体基础设施正在往哪个方向走。
背景
技术背景
#Kubernetes 用声明式资源描述要运行什么：你写下期望状态，控制平面负责让集群达到它。AX 把这套方式用在智能体上：一个任务需要的沙箱、代码仓库、MCP 服务器和模型凭据都写成资源。暂停和恢复意味着把智能体的状态存下来，让等待期间不占用计算资源。
关注人群
谁该关注
#下一步
学习路径
#- 读《长时程智能体的记忆与上下文管理》，理解为什么智能体需要暂停和恢复
- 读本站 OpenAI 智能体借 DNS 出沙箱的信号，看沙箱最容易漏掉什么
- 读 AX 仓库里 Task 和 Workspace 的定义
- 读《智能体安全与提示注入防御》，把权限配置写成可审查的清单
关系网络
在技术网络中的位置
#当前技术与相邻技术、技能和背景知识的连接，点击节点可继续探索。
延伸思考
后续问题
#- 你现在的智能体沙箱管不管出站网络？
- 你的智能体任务有多少时间在等待？暂停恢复能省下多少资源？
- 你的智能体能碰到的仓库、工具和凭据，有没有写在一个地方？
发布记录
收录于
#收录这条信号的技术简报，新的在前；最后一行是它那一周的周回顾。标签是它在那一期所在的栏目。
来源参考