Cloudflare、能力ベースモデルのオープンソース AI プラットフォーム「OS」を公開

Cloudflare は近日、GitHub 上で Cloudflare OS のオープンソース化を発表しました。Cloudflare OS を利用すれば、企業チームは自社のナレッジやノウハウ、設定済みのコネクタに基づいて業務成果物を生成できます。また、必要な場面でのみ AI を活用することでトークンコストを最適化し、反復的なワークフローの自動化も可能です。さらに、特定の複雑なユースケースに対応した、個人利用・共有・カスタマイズが可能な業務用ソフトウェアを、安全に隔離されたサンドボックス環境内で構築することもできます。この基盤となる能力ベースモデルは、企業ポリシーの適用にも活用できます。

主要アーキテクトの Kenton Varda は、この大規模で多角的なリリースについて、簡潔な投稿 で解説しています。

本日、Cloudflare OS をリリースします。これはチャットボットにコネクタを備えたものであり、他のテック企業が皆行っているようなものです。しかし、実は異なります。これは本格的な個人向けアプリ開発プラットフォームであり、サンドボックスのセキュリティが極めて高いため、企業のセキュリティチームも非技術ユーザーに対して「バイブコーディング」の権限を与えても安心できるほどです。

なぜそれが可能なのか？例えば、ドキュメントエディタアプリがある場合、各ドキュメントは別々のインスタンスとして実行され、それぞれ独立したサンドボックス（1 つの「Gadget」）で動作します。これには 2 つの重要な意味があります。

1 つ目は、プラットフォームがすべてのアクセス制御を管理できる点です。誰が Gadget にアクセスできるかを制御することで、Gadget が攻撃者に漏洩する可能性はゼロです。たとえ同じアプリに基づく他の Gadget へのアクセス権を持つ攻撃者であっても同様です（※注：設定ミスによる Gatekeeper の能力付与など、他のリスクベクトルも存在します）。

2 つ目は、すべてのユーザーが自分自身のコードのコピーを実行しているため、誰でも自由にそのコピーを修正できる点です。この 2 つ目をもう少し考えてみてください。使っているソフトウェアに新機能が必要になったとき、エージェントに指示するだけで追加できるような世界が実現しませんか？これはクラウドの SaaS モデルでは不可能でした。なぜなら、ユーザーはアプリのコピーを実行していないからです。

しかし、AI がそれを可能にしました。今や、単にエージェントに問いかけるだけです。そして、それは非常に楽しい体験です。

このプロジェクトは、Cloudflare 内部の運用スケーリングにおける課題から直接生まれました。CIO のサム・リア氏は以前、従業員が検証されていない生成 AI ワークフローを迅速に展開し、独自の「スーパーアプリ」を作成しようとしていると報告していました。

これらのスクリプトには、数十ある社内システムレコード全体にわたる elevated な管理権限や、本番環境の API トークンへの直接アクセスが必要でした。セキュリティ境界を損なうことなくこの需要に応えるため、Cloudflare は当初、運用上の摩擦点を記録するために人手で対応する「魔法の AI メール」エイリアスを運用していました。

このトリアージにより、市販のエージェントハーンチス（agent harnesses）は定型のソフトウェアエンジニアリングには優れているものの、従来の知識ワークフローには厳格な文脈管理、決定論的なタスク実行、そして動的な権限分離が必要であることが明らかになりました。

中央集権的でマルチテナント型の SaaS アプリケーションを運用するのではなく、Cloudflare OS は各ユーザーにアプリケーションのコピーを個別に提供します。ユーザーがシステムに対してドキュメント、ダッシュボード、またはデータビューの生成をプロンプトすると、ランタイムは Cloudflare のオープンソースな workerd ランタイムと Dynamic Workers によって管理される、きめ細かな V8 イソレート内で専用の孤立したアプリインスタンスを起動します。

各ユーザーは、テナント間のデータ漏洩のリスクや共有環境への脆弱性導入を恐れずに、生成 AI を活用して自身のインスタンスのソースコードをその場で変更できます。

リソースへの安全なアクセスは、Cloudflare が「ゲートキーパー」と呼ぶ能力ベースのセキュリティモデルによって管理されています。実装がシステムやリソースに対して広範な環境権限を提供しがちな標準的な Model Context Protocol (MCP) 接続とは異なり、ゲートキーパーは指定されたリソースへのアクセスを厳格に制限し、機密データベースのカラムをマスクし、ロールベースのレート制限を適用し、破壊的な副作用を実行する前に人間の承認を必須とします。エージェントは、環境権限を持たないゼロトラスト状態から開始されます。

Kenton は Hacker News でさらに詳しく説明しています：

Gadget を共有する際、Cloudflare OS では、共有相手がその Gadget が接続している各リソースに直接アクセスする権限を持っていることを確認します（ゲートキーパーシステム経由）。したがって、Gadget 自体のセキュリティバグが原因で、ユーザーが本来持つべきでないリソースへのアクセスが誤って付与されることはありません。

リリース記事によると、Cloudflare の従業員は 2026 年 5 月以来 Cloudflare OS を使用しており、生産性の大幅な向上を報告しています。Rhea によれば、

非技術系のスタッフが30日以内に4,000以上のカスタム業務ツールを構築し、営業チームはテリトリー計画やパイプライン分析のための手動データ集約で推定1万時間を節約しました。

エンジニアリングチームは現在、「Cloudflare Engineering Codex」（機械可読のポリシーリポジトリ）を活用しています。自動レビューエージェントがプルリクエストとアーキテクチャ設計をCodexに照合し、約25万件の潜在的なバグを指摘し、1万6,000件の非準拠マージをブロック、実装前に約600件のアーキテクチャ欠陥を検出しました。

今回のリリースは開発者コミュニティ全体で技術的な議論を巻き起こしました。

Varda氏は、この製品をOSと呼ぶことについて擁護し（こちら）、非技術系のソフトウェア作者に対して計算リソースの割り当て、プロセスの分離、能力ベースのセキュリティ境界の強制を行う点で、プラットフォームがOSとして機能すると主張しています。

Jeremy Morrell氏はブログ記事（こちら）で、「内部企業プラットフォーム」という用語を用い（詳細はこちら）、企業が従業員向けに提供する社内開発者プラットフォームと同様に、エンタープライズグレードの安全なコラボレーションと生産性向上のためのAIツールの必要性を説いています。

コメント投稿者 masterj は能力ベースモデルを評価しつつも、既存の生産性スイートが提供するネイティブなエコシステム連携に対して、スタンドアロンのエージェントワークスペースがどの程度機能するかについて疑問を呈しました。

すべてのテック企業が、企業ユーザーが安全に独自の小規模アプリを構築できる安定した基盤となることを競っています。これは非常に優れたパターンですが、Cloudflare がデフォルトのプラットフォームになる世界を想像するのは難しいです。むしろ、Google や Microsoft が効果的な UI/UX パターンを採用し、エンタープライズデータと連携させる方が容易に想像できます。

Cloudflare OS は、公式の cloudflare-os リポジトリおよび GitHub 上のスタートアップデプロイメントテンプレート (GitHub) を通じて、Apache-2.0 ライセンスの下で利用可能です。

著者について

Bruno Couriol

通信工学修士（MSc）、数学学士（BSc）。