Cloudflare OS делает ставку на безопасную инфраструктуру для AI-агентов

Коротко

Cloudflare OS состоит из рабочего пространства для агентов, фреймворка безопасности и управления, а также слоя для персональных модифицируемых приложений.
Агенты в Cloudflare OS изначально не получают доступа к ресурсам и запрашивают его через Gatekeeper — специализированный Cloudflare Worker для конкретного сервиса.
Учетные данные не передаются агенту или его коду, а Cloudflare OS ведет журнал наблюдений и проверяет доступ пользователя перед открытием рабочего пространства или результата работы агента.
Приложения, создаваемые агентами, работают как Cloudflare Worker и используют Dynamic Workers, Durable Object Facets и Cap'n Web.

Что произошло

Cloudflare OS описывается как платформа для разработки автономных приложений и рабочих процессов на edge-инфраструктуре Cloudflare. В анонсе компания подчеркнула, что безопасность должна быть частью самой платформы, а не задачей, которую каждый разработчик или пользователь агента обязан реализовать без ошибок.

Платформа включает рабочее пространство для агентов, где разговоры привязываются к отобранному контексту и навыкам компании. Внутри также есть изолированная среда выполнения, где агент может писать и запускать код.

Как устроена платформа

Помимо рабочего пространства, Cloudflare OS получила фреймворк безопасности и управления, который находится между агентами и системами учета компании. Еще один слой позволяет превращать чат в документ, рабочий процесс или небольшое full-stack-приложение.

CIO Cloudflare Sam Rhea объяснил подход компании к безопасности так: выдача API-ключей людям и агентам опасна и плохо масштабируется, потому что такие ключи дают широкий и долгоживущий доступ, который сложно ограничивать и проверять.

Как работает доступ

В модели Cloudflare OS агенты стартуют без доступа к ресурсам. Когда им нужен конкретный ресурс, запрос проходит через Gatekeeper — специализированный Cloudflare Worker для соответствующего сервиса.

Cloudflare утверждает, что учетные данные при этом не попадают ни к агенту, ни в его код. Платформа также фиксирует каждое наблюдение и проверяет доступ человека перед тем, как он сможет открыть рабочее пространство или посмотреть результат работы агента.

Чем это отличается от MCP

В источнике Cloudflare OS противопоставляется подходу Model Context Protocol: MCP сообщает агенту, какие инструменты он может вызывать, но не показывает, какие базовые ресурсы агент фактически видел.

Каждое приложение, созданное агентом, является Cloudflare Worker. Для проекта Cloudflare использует Dynamic Workers, Durable Object Facets и Cap'n Web — открытую RPC-систему на основе объектных возможностей.

Почему это важно

Cloudflare делает ставку на инфраструктуру для AI-агентов, где доступ к ресурсам контролируется на уровне платформы, а не через прямую передачу ключей агентам.

При этом у части пользователей могут остаться сомнения: Cloudflare OS остается продуктом Cloudflare, а агенты, приложения и механизмы управления работают на edge-инфраструктуре компании. Исходный код открыт, но среда выполнения контролируется централизованной сущностью.