GKE 网络如何支撑高密度并发 AI Agent

报道讲了什么

• Google Cloud 发文说明 GKE 网络如何应对高密度并发 AI Agent 工作负载。
• 原文指出高基数动态标签会导致逐 Pod 身份分配变慢，并可能触及 65,536 个网络身份上限。
• 原文称有客户使用 Agent Substrate on GKE 在单集群处理超过 30,000 个沙箱的峰值。

可以做什么

• 将不参与服务选择器匹配的字段从 Pod 标签迁移到注解，避免逐 Pod 生成网络身份。
• 通过 Cilium 标签排除过滤忽略动态标签，使同类 Agent 共享同一 Cilium Pod 身份。
• 原文称该方案实现每秒 300 个沙箱、亚秒级延迟的完全隔离 Agent。

怎么使用

1. 把不参与服务选择器匹配或核心资源分组的字段从 Pod 标签移到注解。
2. 在 kube-system 的 cilium-config-emergency-override ConfigMap 中配置标签排除规则。
3. 配置如 !agents.x-k8s.io/sandbox-name-hash 或 !timestamp 的排除规则，让数据面在计算安全身份时忽略这些动态标签。

结果与限制

• 原文说明串行身份分配会短暂暂停 Pod 创建，导致初始化慢于预期。
• Agent Substrate 的 500 次每秒激活与低于 500 ms 延迟来自 20 万 Agent 的基准验证，原文未说明测试硬件与完整条件。
• 原文称 Agent Substrate 绕过 Kubernetes 调度限制，但未给出该机制的具体实现细节。

使用入口与依据