事件经过
2026年6月27日，Google Cloud宣布了三项针对智能体AI工作负载的新VPC服务控制功能：（1）智能体身份（基于SPIFFE、经过加密认证）现在可以直接作为第一类IAM主体添加到入站/出站周边规则——单个或整个舰队，如果遭到危害可立即撤销；（2）基于MCP属性的条件周边规则（mcp.toolName、mcp.method、mcp.tool.isReadOnly）启用工具级别的策略执行（例如，允许读取但阻止电子邮件发送）；（3）与Gemini企业智能体平台的本地集成，当智能体平台在VPC-SC周边内时自动阻止所有公网访问。
影响分析
VPC服务控制是Google Cloud已建立的数据外泄防止层，被数百个企业使用。将其扩展以将AI智能体视为网络周边主体——具有MCP级别的工具粒度——是一个重大的架构转变，直接缓解了提示注入外泄（OWASP ASI01）和过度权限智能体风险，而无需新产品。
适用范围
部署智能体AI工作负载的Google Cloud平台和安全团队应立即实施智能体身份周边规则；对于有权访问Cloud Storage、BigQuery或Workspace数据的工作负载尤为紧迫。