Cloudflare近日正式开源其AI代理平台Cloudflare OS，这一举措标志着企业级AI代理基础设施进入可自部署的新阶段。该平台最初为Cloudflare内部使用而构建，今年5月已向数千名员工开放，如今重构后的版本将允许任何组织部署并连接至内部系统。
Cloudflare在公告中强调，安全必须内嵌于平台本身，而非依赖每个应用开发者或代理用户去正确实现。这一定位成为该产品的真正卖点。Cloudflare OS由三大部分组成：一是代理工作空间，将每次对话锚定在公司专属的上下文与技能库中，并提供隔离运行时供代理编写和运行代码；二是全新的安全与治理框架，位于代理与企业核心系统之间；三是个人可修改应用层，支持将聊天转化为文档、工作流或小型全栈应用。
针对代理场景下的安全设计，Cloudflare CIO Sam Rhea详细阐述了其思路：直接将API密钥交给人员或代理既危险又难以扩展，因为密钥通常提供宽泛且长期有效的访问权限，难以约束和审计。因此，Cloudflare OS中的代理默认没有任何访问权限。当代理需要访问特定资源时，必须通过名为Gatekeeper的Cloudflare Worker进行中介授权。凭证永远不会直接暴露给代理或其代码，这比单独使用模型上下文协议（MCP）更安全。MCP只告诉代理能调用哪些工具，但无法控制代理实际能看到哪些底层资源。
Cloudflare OS会记录每一次观察行为，并在用户打开工作空间或查看代理产出前校验其访问权限。代理构建的每个应用都是真实的Cloudflare Worker，运行在为此项目专门构建的Dynamic Workers和Durable Object Facets之上，并通过开源的Cap'n Web对象能力RPC系统与客户端通信。Cloudflare在博文中指出，如果你能自己构建一个工具来完成某件事，那么代理就能在你不在场时使用你的工具完成同样的工作。
尽管这一愿景颇具雄心，但仍有一些用户持怀疑态度。作为Cloudflare的产品，Cloudflare OS中的代理、应用和治理功能均运行在Cloudflare的边缘网络上。所谓“开源”仅指代码开放，运行时环境依然由中心化实体所控制。