谷歌允许开发者阻止Gemini代理工具调用

谷歌在其Gemini API的托管代理中添加了一个控制层，允许开发者在代理在其云沙盒中进行每个工具调用之前和之后运行自己的代码，并可以取消调用。同一更新使Gemini 3.6 Flash成为代理后面的默认模型，限制了单次运行可以消耗的令牌数量，并将该功能开放给没有附加账单的项目。

托管代理是谷歌托管的代理循环版本，同样的模式也用于现在被连接起来执行操作而不是回答问题的助手。一个API调用设置了一个Linux沙盒，然后模型计划、执行代码、安装包、读写文件和获取网页，直到任务完成。这种架构使得新的功能成为必要：沙盒是一个开发者可以发送工作的场所，但他们无法从内部控制它。

环境钩子改变了这一点。一个挂载到沙盒中的hooks.json文件注册了两个处理程序，分别在工具运行之前和之后。每个规则使用正则表达式匹配工具名称，因此一个条目可以同时涵盖代码执行和文件写入，或者拦截每个调用。当预执行处理程序返回拒绝时，运行时跳过工具调用并将拒绝理由传回模型的上下文中，代理可以在同一回合中选择不同的路线或向用户解释阻塞。

钩子可以达到的范围

钩子在谷歌在容器中运行的工具上触发：代码执行，以及读取、写入、列出和删除文件的文件系统操作。开发者在客户端执行的自定义函数和远程模型上下文协议服务器在容器外运行，因此钩子不会拦截它们。

错误会被解析为权限。如果钩子脚本以错误退出、超时、返回服务器错误或发出运行时无法识别的JSON，工具调用将继续。谷歌的文档给出了原因：一个破损的linter或一个无法访问的遥测服务器永远不应该能够使生产应用程序死锁。

第二种处理程序类型直接从沙盒网络内部将事件发布到外部端点，这就是审计日志的工作方式。这些请求通过谷歌的出口代理传递，因此目标必须位于环境的允许列表中，身份验证令牌存储在网络配置中，而不是在钩子文件中，代理在线路上注入实际标头。谷歌还指出，具有shell或写入访问权限的代理可以在可写的工作空间中编辑钩子文件，并指引需要防篡改保护的开发者挂载该配置从只读存储库中。

控制代理可以执行的操作正在吸引风险投资。谷歌正在将检查放入自己的运行时中。

验证管道是第一个将客户名称附加的用例。AI本地投资银行OffDeal的创始人兼首席技术官Alston Lin表示，一个后执行钩子现在在其分析师代理写出公司列表的那一刻运行其公司的图像检查管道，强制执行公司准备的几十个标志的像素级质量规则。“在代理钩子之前，我们无法在Gemini的托管代理上执行此操作：沙盒是远程的，因此我们的验证代码没有地方运行，”他说。

Gemini 3.6 Flash成为默认模型

托管代理在没有任何代码更改的情况下运行Gemini 3.6 Flash，并在下一次交互时选择它。开发者可以通过在代理配置中传递它来固定不同的模型，选择Gemini 3.5 Flash以保持连续性，或选择3.5 Flash-Lite以降低成本和延迟。对于保存为持久资源的代理，模型在创建时固定并且无法在每次调用时覆盖，谷歌表示这保持了工具调用行为、调试和安全边界的可预测性。

谷歌于2026年7月21日发布了3.6 Flash，伴随着3.5 Flash-Lite和安全优化的3.5 Flash Cyber，这是其推迟的3.5 Pro旗舰版再次被推迟的发布。它的价格为每百万个输入令牌1.50美元和每百万个输出令牌7.50美元，相比3.5 Flash的9.00美元输出，公司报告称它在人工分析指数上消耗17%较少的输出令牌，并在DeepSWE编码基准测试中获得49%的成绩，相比其前身的37%。在代理循环中令牌配置文件更便宜的地方是重要的，因为一个任务可以运行数百个步骤。

支出限制和计划运行

成本是此版本直接解决的另一个问题。传递请求的令牌上限限制了整个交互过程中输入、输出和思考令牌；缓存令牌除外，限制是尽力而为的，而不是确切的。当代理达到上限时，运行返回为不完整的，沙盒状态保持完整，后续调用恢复工作，具有新的配额。谷歌自己的估计将重数据处理任务定价为0.70美元至3.25美元，复杂工作流可能会积累300万至500万个令牌，并且单次交互大约花费5美元。沙盒计算在预览期间不计费。

两个附加功能将代理转变为基础设施，而不是每次请求的调用：

计划触发器将代理、提示、环境和cron表达式绑定到一个持久资源中，根据需要触发，五次连续失败后默认暂停。每次运行重用相同的沙盒，因此一个执行写入的文件对下一次执行可见。
环境接口列出、检查和从代码中删除沙盒会话，这样在连接断开后可以恢复环境ID，并在管道完成时清除沙盒，而不是等待七天的过期时间。

这些功能建立在2026年7月7日的发布基础上，该发布为托管代理提供了后台执行、远程模型上下文协议连接、自定义函数调用和会话中间凭证刷新。它们共同使具有强制执行策略层的预算上限代理在使用免费API密钥的开发者的掌控之中，ild on a 2026年7月7日 release that gave managed agents background execution, remote Model Context Protocol connections, custom function calling and mid-session credential refresh. Together they put a scheduled, budget-capped agent with an enforceable policy layer within reach of a developer working from a free API key。