2026年10月22日到24日，QCon全球软件开发大会上海站要聊的是“AI原生时代的工程实践”。上汽集团云计算中心的架构师方宇晨，会在现场分享企业级Agent基础设施的架构实践，重点讲沙箱隔离、身份治理和安全访问这几件关键的事。
大会看点：AI原生时代，工程实践正在改变
今年10月的上海，QCon把主题定为“AI原生时代的工程实践”。议程里频繁出现AI Native架构、Agent Runtime、AI Infra这些词，能明显感觉到，开发者关心的已经不是“模型能做什么”，而是“基于模型的产品怎么稳定地跑起来”。Agent不再是demo里的玩具，而是要抗住真实业务流量的系统组件。
方宇晨：企业级Agent基础设施的实战分享
上汽集团云计算中心架构师方宇晨，会在“Agent as a Service”专题下讲《企业级Agent基础设施架构实践》。他长期搞云计算基础设施，对大规模系统的稳定性和安全边界有很深的体感。这场分享最值得听的，不是某个单一工具，而是一整套“Agent怎么在企业里安全干活”的架构思路。
企业级Agent基础设施，难点在四个地方
方宇晨把问题拆成了四点，每一点都很扎心：
- 运行时隔离要求高。Agent要执行代码、调工具，跑在共享环境里，隔离做不好的话，一个异常Agent能把“邻居”拖下水。
- 网络环境复杂。企业内部有多个租户、多个集群，还有大量存量系统，Agent要访问的资源东一个西一个。
- 权限控制严格。不是所有Agent都能碰所有服务，不同部门、不同业务线的权限边界必须清清楚楚。
- 凭证容易泄漏。API Key、Token散落在代码、配置、环境变量里，泄漏了还不好追踪，这是企业最头疼的安全隐患。
用Kubernetes沙箱和gvisor/Kata把运行时隔离做扎实
第一步，是让每个Agent跑在Kubernetes Agent Sandbox里。这个沙箱是可信执行环境，底层再用gvisor或Kata这类运行时技术包一层。gvisor的好处是用户态内核隔离，性能开销相对可控；Kata则用轻量虚拟机把边界拉得更硬。选哪个看业务对隔离强度和性能的要求，但核心思路不变：把Agent当成不可信代码来对待。
网络层：OVN-Kubernetes给每个租户一张独立的网
网络层面，用OVN-Kubernetes构建多租户独立网络。每个租户都有自己的逻辑网络、地址空间和路由域，租户之间默认隔离，谁也看不见谁。多集群互通也一并支持，Agent在不同环境之间调度时，网络策略不会碎成一地。比如某制造企业的质检Agent，要同时访问产线数据库和供应商系统，跨集群调用如果不做租户级隔离，权限审计会变成一团乱麻。
服务访问：Istio和Egress Gateway把出口管住
服务访问层面，用Istio加Envoy Sidecar做L7控制。mTLS加密服务间通信，强制路由代理保证流量都经过检查，遥测数据让运维能看到每一次调用的链路。每个租户的出口流量由独立的Egress Gateway负责，策略在这里执行，审计也在这里做。这样一来，Agent想往外面连什么，不是自己说了算，而是由网关统一放行。
身份治理：Keycloak+短期JWT，让Agent每次访问都带着“临时通行证”
身份治理方面，Keycloak统一管理Agent身份。每个Agent绑定一个独立的Kubernetes ServiceAccount，想访问某个服务时，先从Keycloak拿一个短期JWT令牌，再结合Istio AuthorizationPolicy决定放行不放行。短期令牌的好处很明显：就算凭证被偷，几分钟后自己就失效了，攻击者拿到的是一张过期门票。
落地反思和下一步
这套架构已经在真实环境里跑出了价值，但方宇晨也指出几个还要继续磨的地方：
- OVN-Kubernetes的网络构建流程还是偏复杂，配置链路长，对运维团队要求高。
- Token管理逻辑应该对Agent透明。Agent不需要感知自己在换令牌，更不应该自己处理认证细节。
- 外部API Key要从Agent里彻底移除，统一放到Egress Gateway处做替换。这样Agent手里没有长期密钥，泄漏面一下子就小了。
对企业来说，这些技术改造不是一蹴而就的。很多团队刚开始做AI原生应用，连基础资源都还没理顺。与其一步到位，不如先把核心场景搬上云，用云服务器ECS做沙箱环境，再慢慢加网络治理和身份体系。预算有限的话，直接找阿里云代理商聊聊，比如易枫顺 - 阿里云官方旗舰级代理商，顺便看看阿里云优惠和阿里云代金券，能省下初期成本。企业上云的关键不是机器数量，而是把安全边界和运维流程一起设计进去。
FAQ
Q: 2026年QCon上海站举办时间和主题是什么？
A: 2026年10月22日至24日，QCon全球软件开发大会上海站聚焦“AI原生时代的工程实践”，覆盖AI Native架构、Agent Runtime、AI Infra等技术方向。上汽集团架构师方宇晨会在“Agent as a Service”专题分享企业级Agent基础设施架构实践。
Q: 为什么Agent沙箱要选择gvisor或Kata运行时？
A: 企业级Agent要执行不可信代码，运行时隔离要求高。gvisor用用户态内核做隔离，轻量但防护扎实；Kata通过轻量虚拟机提供更强的边界。选型要看业务对隔离强度和性能损耗的平衡。
Q: Agent身份和凭证安全怎么解决？
A: 用Keycloak统一管理Agent身份，每个Agent对应独立ServiceAccount，通过短期JWT令牌访问服务，再由Istio AuthorizationPolicy控制权限。外部API Key要从Agent里移除，统一收口到Egress Gateway做替换，降低泄漏风险。
关于易枫顺
深圳市易枫顺网络科技有限公司是阿里云官方旗舰级代理商。提供云服务器ECS、云数据库RDS、对象存储OSS等阿里云全系产品官方特惠折扣与代金券申请，以及多云成本优化、企业上云一站式服务。客服热线：19520841949 - 易枫顺
来源：InfoQ
