编排的安全架构：通过 Apigee 集成 Gemini Enterprise Agent Runtime

太长不看 (TL;DR) 将 Gemini Enterprise Agent Runtime 与传统系统集成远不止简单的 API 调用。初步的文档和开发者论坛的讨论表明，建议采用封闭的拓扑结构，利用 Apigee 和 Private Service Connect (PSC) 充当双重网关（AI 与 MCP），尽管 Google 尚未公布该架构的所有官方规范。

**编排的安全架构 (Arquitetura segura orquestracao conectar)** 是一种基础设施设计模式，它允许将自主的人工智能代理（Agents）以隔离、私密且受严格治理的方式集成到企业内部系统中，确保工具 (tools) 的执行不会将敏感数据暴露在公共互联网中。

企业级代理工程的美好愿景面临着一个根本性的障碍：网络安全。从本质上讲，AI 代理是一个可以在多个阶段规划并执行操作的动态系统。与具有确定性流程的传统应用不同，像 Gemini Enterprise Agent Runtime 这样的模型可能决定同时调用数十个工具。对于首席信息安全官 (CISO) 和云架构师而言，如果没有大规模的深度包检测和控制层，允许公共 SaaS 基础设施访问本地数据库或传统微服务是绝对不可接受的。

今日（2026年9月26日）在 Google Cloud latest news and announcements 博客中提到的新架构参考指南，重点强调了安全集成这一主题，尽管关于价格和限制的详细规范尚未正式公布。

尽管 Google 的整体公告印证了这种集成的战略方向，但截至本分析发布时，包含解决方案细节的官方技术 URL 尚未被公开收录。因此，本文中详细说明的拓扑规范、配额限制和网络流量路径主要基于 Google Developer Forums 中活跃的技术讨论。Google 尚未公开确认这些细粒度的功能，但所探讨的架构模式反映了 AI 治理中无可争议的最佳实践。

语言模型的连接性挑战

将 LLM 连接到企业后端并不仅仅是一个 HTTP 路由问题。它涉及降低数据外泄 (Data Loss Prevention - DLP) 风险、防范可能导致意外 API 调用的提示词注入 (Server-Side Request Forgery - SSRF)，以及避免因 Token 过度消耗而导致预算耗尽。如果没有专用的网关来协调这种通信，企业最终会将关键系统直接暴露在代理的流量之下，对 Token 成本和请求审计一无所知，如同盲人摸象。

❌ 没有安全架构

• 工具流量通过公共互联网路由。
• 无法基于 Token 实施速率限制。
• 直接暴露传统 API，缺乏对 JSON-RPC payload 的验证。
• 在将敏感数据发送给模型之前，没有对其进行脱敏。

✅ 拥有专用网关 (Apigee)

• 完全内部化的路由 (Private Service Connect)。
• 按客户端应用实施严格的预算配额控制。
• 将代理意图安全地转码为 REST 调用。
• 集中式 DLP 检查和 Model Armor 策略（视可用性而定）。

传统架构通常需要创建定制的中间件来进行这种中介处理。正如我们之前在关于将传统 REST API 转换为 MCP 工具的文章中所探讨的那样，维护中间层的 Node.js 或 Python 服务器会增加延迟、计算成本，并为大规模运维带来不可持续的复杂性。

通过 Private Service Connect 实现内部路由拓扑

根据 Google Developer Forums 中非官方讨论的反馈，这种架构的巨大创新在于将流量 100% 保持在私有云骨干网内部，而永远不会通过互联网传输。据推测，Gemini Enterprise Agent Runtime 通过 Private Service Connect (PSC) 连接到 Apigee X。

PSC 允许流量在不同的 VPC (Virtual Private Cloud) 网络之间隐形流动。在开发者社区讨论的拓扑结构中，工具调用的流程遵循严格受控的路径，以确保在与数据库进行任何交互之前验证证书、身份和加密。

意图生成 (Agent Runtime)

基于 Gemini 的代理决定需要查询 ERP 系统来响应用户的请求，并制定了一个 JSON-RPC 请求。

在负载均衡器处进行 TLS 终止

假定一个内部的区域级应用负载均衡器接收此请求，执行 TLS 协议终止并验证初始身份。

通过网络端点组 (NEG) 转发

讨论表明，流量随后被转发到 Apigee PSC 的一个网络端点组（在社区中被称为 neg-apigee-psc），从而隔离企业网关。

检查与传统路由

Apigee 检查有效负载，并将 JSON-RPC 请求转码为针对目标企业系统的 REST 或 SOAP 调用，同步返回响应。

这种方法将彻底消除基于外部拦截的攻击媒介。如果得到官方证实，将内部区域级负载均衡器与专门用于 Apigee 的 NEG 结合使用，将为高关键性的人工智能代理创建一个理想的零信任 (Zero Trust) 边界。

双重网关范式：LLM AI Gateway 与 Enterprise MCP Gateway

非官方技术论坛中广泛讨论的另一个焦点是 Apigee 在“双重网关”模式下运行的能力。这解决了 AI 集成中看似矛盾的需求问题：同一平台既需要管理与基础模型（云生态系统原生）的交互，又要管理与企业 API（传统架构原生）的交互。

该概念提出，同一 Apigee X 基础设施在代理执行期间承担两个截然不同的角色。这种双重性对于支持强大的架构至关重要，例如我们在高级设置中观察到的编排（阅读更多关于使用 Gemini 3.5 Flash 的企业级代理的信息）。

角色 1

🤖 LLM AI Gateway

专注于模型请求。据推测，在这一层，Apigee 将不仅基于请求数量，而是基于消耗的 Token 数量实施速率限制，此外还可能调用 Model Armor 实例来检测提示词注入并过滤有害内容。

角色 2

🔧 Enterprise MCP Gateway

专注于工具执行。社区文档表明，网关将通过 JSON-RPC 格式化的模型上下文协议 (MCP) 意图转换为标准的 HTTP/REST 调用，管理传统的 OAuth 2.0 令牌以访问 CRM、ERP 和数据库。

从站点可靠性工程 (SRE) 的角度来看，这种职责分离非常出色。“AI Gateway”关注向模型提问的成本和安全性，而“MCP Gateway”则致力于确保模型不会在生产数据库中执行 DROP TABLE 操作。不过，必须强调的是，诸如这些功能如何影响平台计费（具体价格以及针对 Token/每秒请求速率的特定限制）等商业规范，尚未在 Google 的官方渠道中公开披露。

数据保护、合规性与 Model Armor

当代理获准自由搜索信息时（例如，查询外部集成，正如我们在讨论连接Airtable 和 Linear 等关联应用时提到的那样），泄露个人身份信息 (PII) 的风险会急剧上升。这就是 Model Armor 和 Apigee 内部 DLP 策略在理论上发挥作用的地方。

社区指出，通过 Apigee 将 Model Armor 集成到 Gemini 的编排流水线中，可以在响应交付给用户，或者更糟的情况（发送给第三方系统）之前，拦截代理的传出流量。如果数据库返回包含 CPF（巴西身份证号）或信用卡号的原始上下文，Apigee 中的 DLP 层将通过确定性的方式对这些数据进行脱敏处理。

安全层	缓解的风险	预期机制（基于论坛）
Network Security	互联网暴露 / 中间人攻击	Private Service Connect & 终止 TLS 的内部 ALB
Budget Security	经济拒绝服务攻击 (Denial of Wallet)	AI Gateway：基于 Token 的速率限制
Data Security	PII 或财务数据外泄	Apigee 代理中的 DLP 脱敏
Threat Security	越狱 (Jailbreaks) 与提示词注入	Model Armor 验证输入/输出

⚠️ 架构注意当架构师计划大量使用与 Apigee 结合的 Model Armor 工具时，至关重要的是密切关注 Google Cloud 的官方公告，以确认这些组件的正式可用性 (GA)，及其每个区域的配额限制和与基于 Token 的深度包检测 (DPI) 相关的处理成本。

Model Context Protocol (MCP) 在现代化中的作用

模型上下文协议 (Model Context Protocol, MCP) 的兴起改变了模型与物理世界互动的方式。从历史上看，迫使 LLM 使用 API 需要编写复杂的代码，将模糊的意图转化为受限的 HTTP 动词。关于 Apigee 本地支持通过 JSON-RPC 进行 MCP 调用的猜测，预示着软件工程生产力将实现量子级别的飞跃。

在这种场景下，企业系统开发者只需暴露旧版 OpenAPI (Swagger) 规范，Apigee 就会充当通用翻译器。Gemini Agent Runtime 将发出由 MCP 协议进行全局标准化的 JSON-RPC 指令。Apigee 将通过 neg-apigee-psc 接收此指令，将语义结构映射到相应的 REST 端点，使用必要的 mTLS 凭据对请求进行签名，并返回格式化为 LLM 能完美理解的结构化文本响应。这是生成式人工智能时代与面向服务的架构 (SOA) 时代之间最终的桥梁。

常见问题解答 (FAQ)

Private Service Connect 如何增强代理编排的安全性？

Private Service Connect (PSC) 确保 Gemini Enterprise Agent Runtime 在调用企业工具时产生的流量，完全在云内部网络中流动，从而消除了数据包在公共互联网上的暴露，并防止外部拦截。

在 Apigee 的语境下，AI Gateway 和 MCP Gateway 有什么区别？

相关讨论表明，AI Gateway 负责模型层面的控制，应用 Token 配额限制并通过 Model Armor 防护提示词注入；而 MCP Gateway 则处理对企业传统 REST 或 SOAP API 的 JSON-RPC 调用的翻译与安全执行。

Google 是否公开披露了通过 Apigee 路由 Gemini 的确切价格和限制？

截至目前，Google 尚未在其官方文档中公开确认与此联合架构确切挂钩的价格、API 可用性状态或严格的 Token 限制；这里探讨的架构模式主要来源于开发者社区和技术参考指南。

战略性结论

在关键业务数据上自主运行的代理，其实现所需的不仅仅是云访问权限，还需要精确的边界控制。如果社区讨论中提到的功能在接下来的 Google Cloud 全局更新中得到巩固，那么通过私有 PSC 路由将 Gemini Enterprise Agent Runtime 与 Apigee 结合使用，将成为安全编排架构的黄金标准。未能准备好其 API 网关以同时充当 Token 验证器 (AI Gateway) 和上下文翻译器 (MCP) 的企业，将在人工智能的征程中面临严重的合规风险。

治理实践

您的 API 基础设施为自主代理准备好了吗？

不要将您的传统系统暴露在不必要的风险之中。构建一个坚不可摧且受 100% 治理的企业工具网格。

联系专家 → 了解代理工厂

官方来源

日常公告博客中的指南发布参考：Google Cloud latest news and announcements（2026年9月26日）。
注：有关 PSC、NEG 和双重网关拓扑的具体细节，来源于 2026 年 9 月 Google Developer Forums 中活跃讨论的未确认报告和理论工程架构。