Cloudflare 发布开源项目 Cloudflare OS迟到十年的答案让 AI agent 安全接入企业系统Cloudflare 发布了一个开源项目 Cloudflare OS。乍一看官方博客你或许会觉得这不过又是一个“AI 知识库 聊天机器人”毕竟每个大厂都在做似乎没什么新鲜的。但 Kenton Varda 在 Twitter 上把事情说清楚了“今天我们发布了 Cloudflare OS一个带连接器的聊天机器人跟其他所有科技公司做的一样。只不过实际上它不一样。这是 Sandstorm.io 的重制版我十年前的那个创业公司。不同的是这次它构建在 Cloudflare Workers 上——我花了九年时间搭建的平台——并且深度集成了 AI。这基本上是我十年秘密计划的顶峰。”十年前Kenton Varda 是 Google 的 Protocol Buffers 作者后来创立了 Sandstorm一个让普通用户也能一键部署 Web 应用的个人服务器平台。Sandstorm 的精髓是 Capn Proto 的安全沙箱模型——每个应用在隔离环境里运行应用之间只能通过精确的权限传递来通信。技术上很漂亮但 Sandstorm 最终没能成为主流产品。现在这个沙箱模型回来了而且更彻底。Sandstorm 的基因Workers 的基建Cloudflare OS 的三个核心组件直接继承了 Sandstorm 的设计哲学Agent 工作区每个用户有一个浏览器里的 agent 对话界面但这个 agent 不是孤立的。它加载了公司级别的上下文和技能库——你的团队定义的术语、流程、最佳实践agent 都能直接调用。工作区里还有一个隔离的代码运行时agent 可以自己写代码、跑代码来处理数据不需要把所有数据都塞进模型的上下文窗口。Gatekeeper 安全框架这是最具 Sandstorm 特色的部分。agent 启动时没有任何权限什么都不可以访问。它要访问 GitHub 上的某个仓库必须通过 Gatekeeper——一个服务特定的 Worker它知道目标 API 的资源结构可以精确到“只读某个仓库的 issue不能读源码合并 PR 前需要人工审批”。agent 拿到的不是 API key而是一个类型化的 capability bindingconst issues await env.PROJECT.listIssues({teamId: ENG,state: open,});所有的凭证完全隔离agent 和生成的代码永远接触不到原始凭据。Server 代码运行在 Dynamic Worker 里全局出站网络被禁用客户端代码在浏览器沙箱 iframe 里。两者都不能访问互联网除非你显式授予 capability。App 平台这是最特别的部分。在 Cloudflare OS 里每个“文件”可以是一个完整的应用——有前端 UI、后端逻辑、API 和持久化状态。agent 可以直接帮你写一个应用出来这个应用是一个 Dynamic Worker用 Durable Object Facet 承载自己的 SQLite 数据库。应用可以分享给其他人协同编辑也可以分享“蓝图”——别人拿到蓝图后agent 能照着蓝图创建自己的实例独立的代码、独立的数据、独立的权限。不再是“提 feature request 给你”而是“我自己改”。实际价值在哪里Cloudflare OS 的技术架构有几个值得关注的点Capability 安全模型不是 RBAC不是 OAuth scope而是精确到“你可以读这个仓库的 issue但只读 ENG team 的且状态为 open”。权限跟随数据流转——agent 读了敏感数据后分享 agent 产出的 dashboard 时Gatekeeper 会验证观看者的权限。Dynamic Worker Durable Object Facet每个 app 是独立的轻量 V8 isolate不是容器不需要预留服务器。按需加载有自己的 SQLite 数据库。Cap n Web RPCCloudflare 开源的对象能力 RPC 系统前端可以像调用普通 JS 函数一样调用后端方法。agent 也能调同样的方法——你给自己做的工具agent 也能用。完全开源自部署两个仓库——核心和示例部署。核心仓库不修改示例仓库负责配置、定制 UI、内部集成和部署流水线。Cloudflare 已在内部使用 Cloudflare OS数千名员工包括大量非工程人员每天用它创建文档、幻灯片、自动化重复任务、搭建小型数据可视化应用。这可能是 Cloudflare 在 Agent 时代最大的一张牌——不是又一个大模型而是一个让 agent 安全地接入企业系统的平台。Kenton Varda 等了十年。Sandstorm 当时太早了但现在每个公司都在问同一个问题怎么让 AI agent 安全地访问内部系统Cloudflare OS 是那个迟到十年的答案。