Gemini Managed Agents通过一次Interactions API调用创建远程Linux环境，让Antigravity Agent在沙箱中规划、运行代码、管理文件和访问网页。托管环境减少了自建Agent运行时的工作，但默认外网访问、工具权限和高Token消耗仍需开发者治理。沙箱隔离保护宿主系统，不代表其中的代理天然安全。
一、环境生命周期要理解清楚
新环境可能有冷启动，长时间不活动会休眠，连续七天未使用可能被永久删除。应用应保存环境ID并处理404，重要产物及时下载到自己的存储。不要把远程沙箱当永久硬盘，也不要依赖未提交的文件作为业务唯一记录。
二、默认网络权限过宽
官方说明环境默认可访问外网，生产任务应通过网络白名单限制到必要域名。通配符越少越好，下载地址和回调域名分别管理。对未知网页内容视为不可信输入，防止提示注入诱导Agent上传文件或调用敏感接口。
三、凭证使用托管注入
密钥不应写入提示、代码文件或环境变量明文。使用托管凭证ID，由出口代理在请求时注入，Agent本身看不到真实值。凭证采用最小权限、短期令牌和定期轮换。要假设Agent会使用它获得的全部权限，因此不能提供“以后可能用到”的账号。
四、工具与文件范围
环境适合文本和图片文件，仓库与云存储来源存在容量限制，二进制支持也可能受限。上传前只选择任务需要的子目录，排除密钥、构建产物和客户数据。使用AGENTS与Skill配置行为时同样进行代码审查，因为这些文件会影响Agent执行方式。
五、Token和工具成本
一次托管Agent交互可能经过多轮推理并消耗大量Token，复杂任务可能达到很高规模。设置最大任务范围、超时、工具调用次数和费用告警。先用只读小任务估算，再扩大到写文件或研究。环境计算预览期不计费，也不代表模型与工具免费。
六、输出不能直接部署
生成代码、数据转换和配置变更必须经过差异审查与自动测试。生产密钥、数据库和部署系统不应直接连接预览Agent。可以让沙箱生成补丁或报告，再由受控CI验证和发布。把执行与部署分开，能显著降低错误影响。
七、推荐接入流程
先在AI Studio模板中验证任务，转到API后配置网络白名单与最小凭证；固定Agent和提示版本；记录输入、工具和产物；设置费用与超时；最后由人工审批结果。托管Agent降低的是基础设施门槛，不会替代安全设计和业务责任。
八、建立环境销毁清单
任务结束后下载需要保留的成果，删除临时数据，撤销短期凭证并关闭不再使用的环境。即使平台会按期限自动清理，企业也不应把删除责任完全交给默认TTL。定期盘点闲置Agent、环境和网络规则，能减少遗留权限与意外费用。
