営業担当者が「AIでアプリを作ったので、基幹システム十数個の本番アクセス権をください」とCIOのもとへ相談に来る。Cloudflare OSは、この相談に断るとも許すとも答えずに済ませる方法として設計されました。8月5日、その仕組みがオープンソースとして公開されています。
Cloudflareは2026年8月5日、社内で開発したAIエージェント向け作業環境「Cloudflare OS」を、Apache-2.0ライセンスのオープンソースとして公開した。公開されたのはv1を全面的に書き直したv2で、同社はearly access版と位置づけている。
利用者はブラウザ上の対話から文書やスライド、アプリ、定型ワークフローを作成でき、各アプリは隔離して実行される。エージェントとアプリは初期状態でどこにもアクセスできず、外部サービスへの接続はGatekeeperと呼ぶサービス固有のWorkerが仲介する。
推論はすべてAI Gatewayを経由し、利用可能なモデルと費用を一元管理できる。同社は2026年5月に社内へv1を展開し、毎週数千人が利用しているとしている。
From: 
Cloudflare OS: an open platform for agents, apps, and work
【編集部解説】
始まりは「APIキーをください」だった
Cloudflare OSの設計思想を理解する近道は、製品の機能一覧ではなく、半年前に同社のCIOのもとへ持ち込まれた一件の相談を見ることです。
営業部門の担当者が、AIを使って社内向けの「スーパーアプリ」を作ったと報告に来ました。動かすために必要なのは、十数個の基幹システムへの本番アクセス権と、デプロイパイプラインの管理者権限。悪意はなく、むしろ善意と熱意の産物です。
この相談に「はい」と答えるのも「いいえ」と答えるのも、どちらも間違っています。断れば、社内でいちばん動く人の手を縛ることになる。許せば、権限の境界がひとつ崩れる。この二択を二択でなくすことが、Cloudflare OSの出発点です。
日本でも同じ問いは立っています。8月3日に取り上げたGMOペパボの「ロリポップ！ゼロトラストリンク」も、AIエージェントを社内環境へどう安全に接続するかという課題への回答でした。問いは共通で、答えの出し方が違う。両者を並べて読むと、この領域で何が争点になっているかが見えてきます。
MCPでは足りなかったもの
Cloudflareは2026年5月、社内向けにv1を配布しています。このときすでにMCPサーバーポータル経由でデータ接続を行い、利用者の権限が既存の設定を超えないよう制御していました。技術的には十分に真っ当な設計です。
それでも足りなかったものがある、というのが今回の発表のいちばん重要な部分です。
MCPは、呼び出せるツールの一覧だけを扱う仕組みではありません。リソースの受け渡しも規定されていますし、ツールを実行すればその結果も返ってきます。それでもMCP仕様には、エージェントが実際に観測した元のリソースを記録し続け、その履歴を成果物や共有先の認可判断まで運ぶ仕組みが、標準機能として定められていません。権限の確認と、観測の記録。ふたつは似ていますが、共有が始まった瞬間に決定的に分かれます。
たとえばエージェントが人事データベースの機微なテーブルを読み、そこから見やすいダッシュボードを組み立てたとします。ダッシュボード自体は無害な成果物に見える。ところがそれを同僚に共有した瞬間、その同僚は本来アクセスできないテーブルの中身を、加工された形で受け取ってしまう。ツール単位の権限管理では、この経路を塞げません。
Cloudflare OS v2は、エージェントが観測したリソースをすべて記録し、その記録を成果物に付いて回らせることでこれに対処しています。誰かがワークスペースを開く、エージェントと対話する、生成物を見る——そのたびにGatekeeperがその人の権限を検証する。同じ記録は、機微データを読んだ後にエージェントが外部へ書き込めるか、他のエージェントへ仕事を渡せるか、という判断にも使われます。
「権限は入口で一度確認すれば済む」という前提が、エージェントの登場で崩れた。その崩れ方に対する具体的な設計が示された点に、この発表の技術的な価値があります。
承認待ちで止まらない人間参加型
もうひとつ、実務に効きそうな工夫があります。
AIエージェントに危険な操作をさせないため、人が承認するという設計は広く使われています。ただしこれは同期的です。エージェントは承認を待って停止する。仕事を任せて席を立ち、コーヒーを持って戻ってきたら、最初の一手で止まったまま何も進んでいない。これが繰り返されると、人は自動承認や権限チェックの省略に流れる——とリポジトリは指摘します。安全のための仕組みが、安全でない運用を生むという構図です。
Gatekeeperは、承認が必要な操作の結果をシミュレートしてエージェントを先へ進ませます。エージェントには「完了した」と伝え、読み戻しにも模擬結果を返す。人は作業が終わったあと、都合のよいときにまとめて承認または却下します。
リポジトリはこれを「技術水準の大きな前進」と自称していますが、自称の当否より、「安全機構が現場で外される理由」を設計課題として扱った姿勢のほうに注目したいところです。
SaaSの前提をひとつ外している
Gadgetという概念には、もう少し射程の長い話が含まれています。
Cloudflare OSでスライドを作ると、クラウド上の共有ソフトを呼び出すのではなく、自分専用のスライドソフトのインスタンスが生成されます。ファイルがそれぞれ独立したアプリケーションであり、独自のデータベースを持つ。機能が足りなければ、要望を出すのではなく、自分のAIに頼んで足す。同じアプリを設計図（Blueprint）として渡せば、受け取った側もコードだけを引き継いだ自分のコピーを持ち、そこから自由に改造できます。
これは過去25年のクラウドソフトウェアの前提——中央で1本のソフトを動かし、全員がそこへ接続する——を外す発想です。個人が自分の道具を維持できるようになった以上、中央集権的な提供形態は必然ではない、という主張が背後にあります。
そしてGadgetのサーバーメソッドは、人からも、エージェントからも同じように呼べます。自分の仕事のための道具を作れば、それは同時にエージェントが自分の代わりに仕事をするための道具になる。「AIを道具として使う」から「AIのために道具を作る」への移行を、UIの階層で実現しようとしている点は、他の企業向けAIワークスペースにあまり見られない設計です。
ただし、留保すべき点は少なくありません
まず、公開された数値はすべてCloudflareが公表した社内実績です。集計方法や、第三者による検証の有無は公表されていません。
マージリクエスト、技術設計、インシデント報告をそれぞれ担う複数のレビュー用エージェントが、過去4か月で約25万件の潜在的な問題を指摘し、16,000件のマージをブロックしたこと。営業チームが直近1か月で1万時間超を削減したこと。30日間で4,000超のアプリやツールが作られたこと。1万時間については、同社自身が推計値であると明記しています。
4,000超という数を成果として読むかどうかは、慎重に見たほうがよさそうです。同じ記事のなかでCIOは、v1の前段で非エンジニアにもコード生成の得意な環境を渡した結果、「解くべき問題を探してさまよう大量のアプリ」が生まれたと振り返っています。この失敗と今回の4,000超という数字は時期が異なり、Cloudflareは後者を具体的な課題を解くための成果として提示しています。それでも、この種の基盤の効果を測る指標が定まっていないことは変わりません。
次に、技術的な成熟度です。リポジトリ自身が2026年8月時点の公開をearly accessと位置づけ、粗い部分が多く残ると明記しています。ローカル実行は試用向けで本番用途ではないとされ、自前サーバーへのworkerd経由の展開は「近日公開」の段階です。
そして、オープンソースであることと、特定基盤への依存がないことは別の話です。ライセンスはApache-2.0で、コードは誰でも読めて改変できます。リポジトリ自身も「Workers上に作られていることは、Cloudflare上でしか動かないことを意味しない」と明記しています。ただし通常の導入経路はCloudflare Workers系のサービスへの依存が強く、Dynamic WorkersやFacetsに至っては本プロジェクトのためにランタイムへ追加された機能です。workerdはオープンソースなので自前サーバーでの運用は設計上可能ですが、そのための手順とツールは「近日公開」の段階にあります。技術的な可搬性は用意されているものの、本番運用の導線はまだ整っていない、というのが2026年8月時点の状況です。
Cloudflare OS自体の固定料金や総額は、公式発表に示されていません。通常のCloudflareアカウントへ導入する場合はWorkersなどの料金体系が適用されます。AIを有効にする場合も、Workers AIを直接利用する構成や、AI Gateway経由で外部モデルを利用する構成などがあり、費用は選択した構成とモデルの利用量によって変わります。スターターではAI機能は初期状態で無効で、AI Gatewayなしでもデプロイできます。総費用は構成と利用量しだいで大きく変わる、というのが現時点で言えることです。
外部からの本格的なコード寄稿を募集していない、という方針も明記しておく価値があります。問題を修正する小規模で検証の容易なプルリクエストは受理される一方、誤字修正のような低価値のものや、おおむね十数行を超えるものは受け付けないとされています。理由は「AIでコードを書くのは簡単になったが、難しいのはレビューと品質・一貫性の維持であり、外部からのコードは簡単な部分の寄付になる」というものです。この判断の是非は分かれるでしょうが、オープンソースという言葉から一般に想起される共同開発の姿とは異なります。
日本の組織にとって
そのまま導入できる組織は、現時点では限られます。Cloudflareを既に使っており、Zero Trust製品を運用していて、社内に手を動かせるエンジニアがいる——この3条件が揃わないと、early accessの粗さを吸収できません。
それでも読む価値があるのは、この発表が「エージェント時代の権限管理はどうあるべきか」という問いに対する、実装を伴った具体案だからです。観測したものを記録して成果物に追随させる、承認を非同期化する、初期状態を「何も見えない」に置く。この3つは、Cloudflare OSを使わない組織でも、自社のAI利用ルールを設計する際の参照点になります。
4月に取り上げたDynamic Workers、5月のSkipperと合わせて見ると、Cloudflareが一貫して「自社の課題を自社製品で解き、その解を製品として出す」という型を繰り返していることが分かります。今回はその対象が、開発者ではなく、開発者ではない従業員に向いた。そこが、これまでとの違いです。
【関連記事】
Cloudflare、AIエージェントインフラを刷新—Dynamic Workers・Artifacts・Sandboxesを一挙発表
Cloudflare OSが動作するDynamic Workersを発表時に扱った記事。今回の技術基盤にあたる部分の前提を確認できる。
Cloudflare、社内AIエージェント「Skipper」公開｜自然言語でデータを問い合わせ、SQL変換・監査を自動化
自社製品だけで社内基盤を組み、その設計を外へ示すという同じ型を扱った記事。今回の発表の前史にあたる内容になっている記事。
GMOペパボ「ロリポップ！ゼロトラストリンク」Linux対応｜AIエージェントを社内環境へ安全接続
AIエージェントを社内環境へ安全に接続するという同じ課題に、国内から出された別解。設計思想の違いを対比しながら読める記事。
Microsoft、「Copilot」をスーパーアプリ化へ｜Cowork・Autopilots・Codeを統合
競合が進める社内AIワークスペース戦略を扱った記事。機能統合の方向性の違いが、今回の発表と比較しながら読める内容である。
【編集部後記】
リポジトリの末尾には、依存する外部プロジェクトへの謝辞が並んでいます。そのひとつがPiというプロジェクトで、ひとつのAPIであらゆるLLMプロバイダーへの対応を容易にした、と書かれています。
モデルを自由に選べるという特徴は、Cloudflareが自前で積み上げたものではなく、小さなオープンソースの上に乗っている。自社製品だけで社内基盤を組んだと語る同社が、この一点は外に預けています。この選択がどこまで意図的だったのか、聞いてみたいところです。
【用語解説】
MCP（Model Context Protocol）
AIツールと社内の基幹システムをつなぐための標準的な作法。呼び出せるツールに加え、リソースの受け渡しやツールの実行結果も扱う。ただし、エージェントが観測した元のリソースを記録し続け、その履歴を成果物や共有先の認可判断へ運ぶ仕組みは、標準機能として定めていない。
Gatekeeper（ゲートキーパー）
Cloudflare OSと外部サービスのあいだに立つ、サービス固有のプログラム。認証情報を保持し、アクセス範囲を絞り、読み取り内容を記録し、外部へ影響する操作については人の承認を求める。同梱されているのはGitHub、Google、Slack、Notion、Confluence、Supabase、Cloudflare、Email Workers、Home Assistant、Spotify、ZoomInfoの11種。
Gadget（ガジェット）
Cloudflare OS上で作られるアプリの単位。利用者ごとに専用のインスタンスが立ち、独自のデータベースを持つ。文書やスライドもこの形式で扱われるため、「ファイルがそれぞれ独立したアプリである」状態になる。
Blueprint（ブループリント）
Gadgetの設計図。共有すると、受け取った側はコードだけを引き継いだ自分のコピーを作る。データ、会話履歴、認証情報、接続リソースは引き継がれない。
Dynamic Workers
V8アイソレートを基盤とする軽量な実行環境。コンテナのようにサーバーを常駐させずに、アプリごとの隔離実行を実現する。Cloudflare OSのために追加された機能である。
Facets（Durable Object Facet）
Dynamic Workerで動くアプリに、それぞれ独立したSQLiteデータベースを与える仕組み。これもCloudflare OSのために追加された。
workerd
Cloudflare Workersのオープンソースなランタイム。これを使って自前サーバーでCloudflare OSを動かす設計になっているが、そのためのドキュメントとツールは整備中である。
AI Gateway
推論リクエストを経由させて管理する層。利用可能なモデルの決定、仕事ごとの振り分け、利用者・チーム・ワークスペース単位の費用把握、予算とレート制限の設定を担う。Cloudflare OSでの利用は任意である。
Cloudflare Access
ゼロトラストの考え方に基づく認証・認可の製品。Cloudflare OSでは、誰が環境に入れるかを制御する入口として使われる。
Apache-2.0ライセンス
商用利用、改変、再配布を認めるオープンソースライセンスのひとつ。特許に関する条項を含む。
early access（アーリーアクセス）
正式版の前段階として、開発途上であることを承知のうえで利用してもらう公開形態。Cloudflare OSのリポジトリは、2026年8月時点の公開をこれに当たると明記している。
【参考リンク】
Cloudflare（外部）
CDN、DDoS対策、Workersなどを提供するコネクティビティクラウドの企業。ニューヨーク証券取引所に上場している。
Cloudflare OS（外部）
Cloudflare OSの製品サイト。デモの試用、自社Cloudflareアカウントへのデプロイ、パートナー経由の導入相談を案内する。
cloudflare/cloudflare-os（GitHub）（外部）
Cloudflare OS本体のリポジトリ。設計思想とGatekeeperの一覧、ローカル実行の手順をREADMEが詳述する。
cloudflare/cloudflare-os-starter（GitHub）（外部）
Cloudflare社内の運用を模した導入例のリポジトリ。本体にパッチを当てず、設定と独自UIと社内連携だけを置く構成を示す。
Cloudflare Workers ドキュメント（外部）
Cloudflare OSが動作する実行基盤の公式ドキュメント。Dynamic WorkersとDurable Objectsの仕様も辿れる
MCPサーバーポータル（外部）
複数のMCPサーバーへの認証とアクセスをCloudflare Access経由で一元管理する機能の公式解説。設定手順まで載る。
【参考記事】
How we’re rethinking work at Cloudflare with Cloudflare OS（外部）
CIOによる社内導入記。5つの原則、複数のレビュー用エージェントの実績、営業チームの削減時間の推計値がここに集約されている。
Cloudflare OS、企業の実際の働き方に基づいて構築された初のAIワークスペース（外部）
日本語版も併せて公開された公式発表。CEOのコメントと、導入を支援する戦略パートナー2社の位置づけが、ここで明示されている。
Cloudflare OS goes open source with a record of everything its agents read（外部）
観測ログ方式の効果を具体例で整理したセキュリティ専門媒体の分析。機微データから作った成果物を共有した際の挙動を解説する。
Cloudflare OS Open-Sources AI Workspace That Never Hands Keys to Agents（外部）
エージェントが受け取るのは生の認証情報ではなく、権限を表す型付きオブジェクトであるという設計上の前提を詳しく述べている。
Cloudflare launches Cloudflare OS: an open-source AI agentic workspace for the enterprise（外部）
CEOのマシュー・プリンス氏の発言を伝える記事。自社アカウントで動かすことによる成果物の所有権についての議論も扱われる。
Cloudflare Announces Open-Source Cloudflare OS As AI “Operating System”（外部）
オープンソース専門媒体による速報。「OS」という語の使い方に対する開発者コミュニティ側の反応が、コメント欄から読み取れる。
Cloudflare OS: Here’s What’s Inside the Open-Source AI Agent Platform（外部）
発表内容を3つの要素に整理した、簡潔な解説記事。エッジ上のエージェント基盤への賭けとして、今回の公開を位置づけている記事。
