背景介绍
2026年8月5日，Cloudflare 宣布开源 Cloudflare OS——一个面向 Agent、应用与工作的开放平台。今年5月，Cloudflare 已让全公司数千名员工（很多是非工程岗）用上了第一版：创建文档和幻灯片、自动化重复任务、构建数据可视化小应用。今天，任何组织都可以部署这套平台，接入内部系统，定制成自己的版本。该消息在 Hacker News 获得 446 分、226 条评论，跻身当日热榜前三。
核心观点
Cloudflare OS 的定位是：”给每个人一个围绕公司运转方式构建的 Agent 和工作空间——公司如何运作、知道什么、依赖哪些系统。”过去两年，AI Agent 通过”代码能跑/不能跑”的反馈循环帮到了开发者，但组织里其他岗位的人没有得到同等杠杆。Cloudflare OS 想解决这个问题。
它由三部分组成：
1. Agent 工作空间：基于公司沉淀的上下文与技能（skills），配有隔离运行环境，Agent 可以在其中写代码、跑代码。浏览器即可使用，不需要会命令行。
2. 全新的安全治理框架：Agent 初始零权限，通过 Gatekeeper（网关守卫）按能力（capability）授权访问内部系统；系统记录 Agent 观察过的所有资源，权限随数据流动——看过的敏感数据会限制后续分享与外发行为。
3. 可构建、可分享的个人应用平台：每个”文件”都可以是一个应用——带客户端、服务端、API 和持久状态的完整全栈应用，默认私有，可像文档一样分享，还能分享”蓝图”让同事复制一份自己改。
技术分析
Cloudflare OS 的安全设计是其最大亮点。第一版暴露的问题很典型：MCP 服务器只告诉 Agent 能调用哪些工具，却无法追踪 Agent 实际观察了哪些资源——一旦工作空间被分享，敏感信息可能随输出泄露。为此团队推倒重建：
能力绑定（Capability Binding）：生成的代码通过类型化绑定拿到资源引用（如 env.PROJECT），凭证与 Agent 及生成代码完全隔离；服务端代码运行在禁外网的 Dynamic Worker 中，客户端代码运行在浏览器沙箱 iframe 中，除显式授权的能力外无法触网。
Gatekeeper：介于平台与外部服务之间的专用 Worker，理解服务 API 与资源结构。授权可以精细到”只读某个仓库的 issues、不能看源码、合并 PR 前需人工审批”。
观察日志（Observation Log）：记录 Agent 见过的每个资源，其他人打开工作空间或查看产出时，Gatekeeper 会验证其对已观察资源的权限。读了一条敏感数据，Agent 就不能把数据写去某些地方、邀请协作者或发起外发请求。
基础设施层面，每个应用都是一个 Worker：客户端渲染 UI，服务端用 Durable Object Facet 获得独立 SQLite 数据库，浏览器与服务端之间用 Cloudflare 开源的 object-capability RPC 系统 Cap’n Web 通信。模型方面不锁定任何厂商——所有推理调用走 AI Gateway，组织可统一决定哪些模型可用、哪个任务用哪个价位的模型。
社区反响
Kenton Varda（Sandstorm.io 创始人，现 Cloudflare 员工）的评论引发热议：他直言”Cloudflare OS 其实是我创业公司 Sandstorm 的重制版”——Sandstorm 正是 2014 年提出”能力安全 + 个人应用”理念的先驱项目，如今在 AI 时代以新形态回归。也有评论吐槽”为什么每家科技公司都爱在产品名里加 OS”，有人担心供应商锁定（”看着很酷但怕被绑定”），还有人把它看作 Codex / Claude App 的直接竞争者，认为 Cloudflare 借此拉动核心基础设施业务是步好棋。