Cloudflare OS：面向智能体、应用与工作的开放平台

仅仅控制初始读取是不够的。举例来说，如果一个智能体读取了数据仓库中的敏感数据表，并用它生成了一个实时仪表盘，那么共享这个仪表盘绝不能成为向无法直接访问该数据表的人共享数据表的方式。

一套全新的安全与治理框架，用于安全访问内部数据和服务

与我们的合作伙伴共同交付

你将获得一个带有自己品牌标识的 Cloudflare OS，它连接到你的系统、运行在 Cloudflare 上，并围绕你团队的真实工作方式量身打造。

工作区可以将其调研结果转化为文档、演示文稿或电子表格，供你继续编辑。这些输出不必是静态文件。它们可以保持与实时数据的连接，在数据源变化时自动更新，并且仍然可以导出为熟悉的格式或服务，如 Google Drive。

让智能体访问你的整个 GitHub 账号可能过于宽泛。Gatekeeper 可以只给它访问单个仓库的权限，允许它读取 issue 但不能读取源代码，屏蔽特定字段，应用速率限制，并在合并 pull request 前要求审批。

智能体及其应用看到的是一套精简的 TypeScript API。Gatekeeper 负责处理 OAuth、持有凭证、执行策略、记录读取内容，并对任何具有外部可见副作用的行为进行中介。

调研并提问

策略跟随智能体所看到的内容

第一版主要围绕个人通过私有工作空间与智能体协作展开。应用是静态的，而非连接到内部系统的实时软件，且大多是确定性任务，仍然需要再次运行智能体技能并消耗更多模型 token。

为你的团队创建协作式、互联互通的应用程序

工作的形式多种多样，从代码，到文档和幻灯片，到人际关系，再到现实世界中的成果。

Cloudflare OS 还为每个人提供了一个由 Cloudflare 各团队构建的共享背景知识与技能库。它将我们的术语、流程和完成重复性工作的最佳实践，转化为智能体可以遵循的指令。当一个人找到了更好的做事方法，其他所有人都能使用它。

一个用于构建和共享个人化、可修改应用的平台

这些不是需要导出并部署到其他地方的“原型”。每一个都是全栈应用，包含客户端代码、服务器代码、API 和持久化状态。应用默认是私有的，但可以像文档一样进行共享。

因此，如果你能自己构建一个工具来完成某项工作，那么当你不在时，智能体就可以使用你的工具来完成这项工作。

它们预装了你的团队或公司积累的精选上下文和技能。再也不必为每项任务重复造轮子——如果你的团队中有人找到了做某件事的最佳方法，所有人都能从中受益。人们不再需要在每次开始任务时，都向模型重新解释同样的流程、术语和最佳实践。

Cloudflare OS 的设计初衷是让你能够自定义界面、添加内部 Gatekeeper，并构建组织专属功能，而无需改动核心产品。

并非每项任务都需要最昂贵的模型。你可能不想每天早晨都用最昂贵的前沿模型来总结未读邮件。AI Gateway 为你提供了所需的控制能力，确保昂贵的模型只用于最困难的工作。

我们从第一个版本中学到的东西

Cloudflare OS 从浏览器中的对话开始，就像许多其他 AI 工具一样。它的不同之处在于，每次对话都基于你的组织精心整理的上下文和技能。给你的工作空间设定一个目标，它就能利用这些知识，并配合你的组织已经在使用的工具和数据来实现该目标。

工作空间结合了智能体会话、持久状态、输出和文件、资源访问，以及一个智能体可以在其中编写和运行代码的隔离运行时。

当人们开始在办公中尝试使用 AI 时，他们的首要请求之一往往是获取公司系统的 API 密钥。这很合理：如果 AI 无法访问人们用来完成工作的系统，那么它在工作中就没什么用处。

服务器按需作为 Dynamic Worker 加载，并实例化为 Durable Object Facet（这两项都是我们为此项目构建的功能）。该 Facet 为应用提供了自己的 SQLite 数据库，与管理它的 Cloudflare OS 运行时相分离。Dynamic Workers 使用轻量级的 V8 isolates，因此每个应用都可以拥有自己独立的运行时，而无需专用的服务器或容器常驻。

同一份观察日志也用于制定策略，以决定智能体何时可以发起外部请求。读取敏感数据可以阻止智能体向某些数据源写入数据、邀请新的协作者、将工作移交给另一个智能体，或发起出站请求。

我们发布了两个代码仓库：Cloudflare OS 核心，以及一个基于 Cloudflare 内部实际运行方式构建的示例部署。部署仓库在不修改核心的前提下使用核心，为配置、自定义 UI、内部集成、分析和部署流水线提供了一个载体。

Gatekeeper 管控资源和操作

源代码只是起点。上下文、技能、工作流、内部系统和策略，才是让 Cloudflare OS 对你的组织更有价值的关键。

协作暴露了一个更根本的挑战。访问 MCP 服务器能告诉我们智能体可以调用哪些工具，但无法告诉我们智能体观察到了哪些底层资源。一旦人们开始共享工作空间、应用和输出，我们就需要确保协作不会暴露某人无权查看的信息。

Cloudflare OS 会记录智能体观察到的每一项资源。这些观察记录会一直附着在该智能体及其工作成果上。当其他人尝试打开工作区、与智能体交互或查看其产出时，Gatekeepers 会验证该人员对这些被观察资源的访问权限。

其中有些工作很直接：代码要么能运行，要么不能。过去几年里，智能体一直在利用这种反馈循环为开发者生成“能跑”的代码。但我们其他人呢？

• 一个基于你公司整理的上下文和技能的智能体工作空间，配备隔离运行时，智能体可以在其中编写和运行代码。
• 一套全新的安全与治理框架，用于安全访问内部数据和服务。
• 一个供个人使用、可修改应用的平台，人们可以构建、共享并持续修改这些应用。

这意味着当你与团队分享应用时，他们可以自己用 AI 修改应用，而无需提交功能请求并指派给你。

当文档或电子表格不够用时，智能体可以构建一个拥有自己的界面、逻辑和状态的应用程序。该应用可以使用互联的公司资源，并支持多人协同工作。

MCP 为智能体提供了一种使用这些系统的更好方式。MCP 服务器可以持有凭证，并暴露一组定义好的工具，而不是直接把密钥交给智能体。但控制智能体可以调用哪些工具只是第一步。仅靠 MCP 并不能告诉我们智能体观察到了哪些底层资源。智能体可以跨系统整合信息，将其发送到限制更宽松的地方，或通过应用和输出暴露给可能无权查看原始资源的人。授权必须考虑到数据下一步可能流向何处。

你可以做以下几件事：

当你在 Cloudflare OS 中构建应用时，有两种分享方式：

Cloudflare OS 可以与任何模型一起使用。每次推理调用都通过 Cloudflare AI Gateway 运行，让你的组织有一个统一的地方来决定哪些模型可用，以及哪个模型应处理哪项任务。

合作伙伴可以帮助你精选共享技能和机构上下文、构建自定义界面、通过 Gatekeeper 和 MCP Server Portal 连接内部系统，并配置安全、模型和成本控制。

浏览器客户端通过 Cap’n Web（Cloudflare 的开源对象能力远程过程调用（RPC）系统）与服务器通信。客户端可以像调用普通 JavaScript 函数一样调用服务器方法：

Cloudflare Access 控制谁能进入 Cloudflare OS。在内部，每个智能体和应用初始都无权访问任何内容。智能体可以请求访问某个特定资源，你可以批准或拒绝。生成的代码会以类型化绑定的形式获得该资源：

我们在新的基础上重建了 Cloudflare OS 以解决这些问题。安全必须成为平台的一部分，而不是每个构建应用或使用智能体的人都必须正确实现的东西。

Cloudflare OS 由三部分组成：

Cloudflare OS 今天已在 GitHub 上线。你可以浏览源代码、试用演示，或使用我们的入门仓库在几分钟内将其部署到你自己的 Cloudflare 账户中。

• 在浏览器中渲染应用 UI 的客户端代码
• 存储状态并实现应用行为的服务器代码

这就是我们创建 Cloudflare OS 的原因。它为每个人提供了一个围绕其公司构建的智能体和工作空间：公司如何运作、它知道什么、以及它依赖哪些系统。

并非每项任务都需要完整的智能体会话。许多任务是一系列已知步骤，其中只有一两处需要判断力。工作区可以将这些任务转化为基本确定性的工作流，用代码处理可预测的步骤，只在能增加价值的地方使用模型。工作流可以按需运行、按计划运行，或在互联系统中发生事件时触发运行。

隆重推出 Cloudflare OS

特别之处在于，智能体也可以调用同样的方法。

如果你有兴趣与我们的团队交流，我们很乐意聊聊。请使用此表单联系我们！

大多数办公套件都提供一套固定的应用：文档、电子表格和演示文稿。而在 Cloudflare OS 中，每个“文件”都可以是它自己的应用，由智能体为一个人、一个项目或一个团队编写。

面向公司全体成员的智能体工作空间

Cloudflare 的战略合作伙伴 Presidio 和 Happy Cog 将与你协作，围绕你所在组织的运作方式定制 Cloudflare OS，并在你的全体员工中推广落地。

使用任何模型，并控制其成本

智能体工作空间专为组织中的所有人设计。你在浏览器中与之交互，因此你不必是开发人员，也不必知道如何使用终端。

每个应用都是一个 Worker

创建文档、幻灯片和电子表格

Gatekeeper 是一个特定于服务的 Worker，位于 Cloudflare OS 与外部服务之间。它理解该服务的 API、其资源以及可对这些资源执行的操作。

今年 5 月，我们让 Cloudflare 的每位员工都能使用 Cloudflare OS 的第一个版本。来自各个职能部门的数千人——其中许多人并非工程背景——每天都在使用它来创建文档和幻灯片、自动化重复性任务，以及构建小型应用来可视化数据并辅助工作。

智能体初始没有任何访问权限

我们才刚刚起步。我们正在努力将 Cloudflare OS 作为完全托管的產品引入 Cloudflare 控制台，为开发工作流添加容器支持，并将工作区引入 Slack 和其他聊天工具。

每个组织都有自己的使命，即其存在的理由。组织将这一使命——连同其术语、流程、系统、标准和工作方式——传递给其成员。而成员则将这些背景信息与自身经验相结合，朝着使命努力。

使用智能体或构建应用的人不必担心犯下这些错误。现在，这个平台就可以用来处理这些问题。

从蓝图实例化的应用包含原始应用的代码，但不包含其 SQLite 数据、对话历史、凭据或已连接资源。每个新应用都从独立的状态和资源开始。

最终成果是一个专属于运行它的公司的平台。你可以自定义界面、连接你的工具，并添加能够反映你所在组织运作方式的技能和上下文。

Cloudflare OS 现已推出，并且是开源的。请查看 cloudflare-os GitHub 仓库。你可以将其部署到自己的 Cloudflare 账户中，并使用你自己的 Access 策略、AI Gateway 配置、数据和集成。

我们今天开源的 Cloudflare OS，是基于我们在内部运行第一个版本时积累的经验教训而打造的。我们的 CIO Sam Rhea 在他的博客文章中详细介绍了这段历程。

我们的内部部署反映了 Cloudflare 的系统、术语、策略和工作方式。你的部署应该反映你所在组织的实际情况。

开源，让你可以打造属于自己的版本

将同样的杠杆效应带给组织中的其他成员，是一个更难的问题。智能体需要理解公司的背景信息，并且能够触达人们工作中使用的系统。它们需要将这些背景信息和访问权限转化为推动组织朝着使命前进的实际工作。

当你要求你的工作区构建一个应用时，智能体会编写两个部分：

今天，我们开源了 Cloudflare OS 的一个新版本。任何组织都可以部署它，将其连接到内部系统，并使其成为自己的专属工具。

每个请求都会归属于发起它的个人、团队或工作空间。管理员可以查看推理支出的去向、设置预算和速率限制，并决定达到限制时会发生什么。

但把 API 密钥交给用户和智能体既危险又难以扩展。密钥通常提供宽泛、长期有效的访问权限，难以约束、难以安全共享，也难以审计。

运行确定性工作流

让工作区利用公司上下文和你为其提供的资源来调研某个主题。智能体可以编写代码来搜索、筛选、关联和分析信息，而不是把整个数据集拉入模型的上下文窗口。

服务器代码运行在全局出站网络被禁用的 Dynamic Worker 中。客户端代码运行在浏览器内的沙箱化 frame 中。两者都无法访问互联网，除非通过你明确提供的能力。

分享应用，或分享它的构建方式

从对话开始的东西，可以变成一份文档、一个应用或一个持续执行工作的流程。

• 分享应用本身，可以让其他人使用相同的状态进行实时协作。
• 分享应用的蓝图，可以让其他人创建他们自己的应用副本。

env.PROJECT 是一种能力，代表在特定策略下使用特定资源的权限。凭证与智能体及任何生成的代码完全隔离。

Cloudflare OS 通过 Gatekeepers（更多内容见下文安全部分）为智能体和应用提供对记录系统的受治理访问权限。它还通过 MCP Server Portals 支持你的组织已在使用的现有模型上下文协议（MCP）服务器。