Cloudflare OSとは何か
Cloudflare OSとは、Cloudflareが社内向けに作ったAIエージェントの作業環境です。2026年5月に第1版を全社員へ配り、その知見をもとに作り直したものが今回の公開分。
入口はブラウザ上の会話で、他のAIツールと変わりません。違うのは、その先が「文章を返して終わり」でないところ。
Cloudflare OS の3つの構成要素
第1版の課題も公式が挙げます。アプリが社内システムとつながらず静的だったこと、決まった手順の処理まで毎回エージェントを走らせ直してトークンを食っていたこと。
In May of this year, we gave every person at Cloudflare access to the first version of Cloudflare OS. ／ Today, we are open sourcing a new version of Cloudflare OS . ／ Introducing Cloudflare OS ／ Cloudflare OS starts with a conversation in your browser, like many other AI tools. ／ Cloudflare OS combines three parts: An agent workspace grounded in context and skills your company curates, with an isolated runtime where agents can write and run code. ／ A platform for personal, modifiable apps that people can build, share, and continue changing. ／ A new security and governance framework for safe access to internal data and services. ／ In Cloudflare OS, each “file” can be its own application, written by an agent for one person, one project, or one team. ／ Apps were static rather than live software connected to internal systems, and mostly deterministic jobs still required running an agent skill again and consuming more model tokens. — 第1版の社内配布時期、今回のオープンソース化、利用の入口、3つの構成要素、および第1版で判明した課題に関する記述より
エージェントに鍵を渡さないGatekeeperの仕組み
実務でいちばん効くのはここ。社内でAIを試すと、最初の要望はたいてい「APIキーがほしい」になる。鍵は広く長く効いてしまい、範囲を絞るのも共有するのも監査するのも難しい。
Cloudflare OSはこの経路を断ちます。エージェントは初期状態でアクセス権を持ちません。入室可否はCloudflare Access（接続を許可制にする同社のアクセス制御サービス）が、個別のリソースとアクションはGatekeeperが受け持ちます。
Gatekeeperは外部サービスとの間に立つ専用のWorker（Cloudflare上で動く小さなプログラム）です。認証情報を持つのはエージェントではなくGatekeeperで、OAuth（パスワードを渡さず利用許可だけを受け渡す認証方式）の処理・方針の適用・読み取り記録・副作用の仲介を担います。
粒度は細かい。公式が挙げる例は、特定の1リポジトリだけに通す、ソースコードは読ませずissue（課題管理の投稿）だけ読ませる、項目を伏せる、レート制限、プルリクエスト（コード変更の取り込み依頼）のマージ前に承認を求める、など。
権限を渡した先で何が起きうるかは評価中に実在企業へ侵入したインシデントやWord文書経由で広がるAIワームが示すとおり。鍵を配らずに済ませる設計は、その裏返しの答えです。
A new security and governance framework for safe access to internal data and services ／ As people begin experimenting with AI at work, one of their first requests is often for API keys to company systems. ／ Keys often provide broad, long-lived access that is difficult to constrain, share safely, and audit. ／ Agents start with no access ／ Cloudflare Access controls who can enter Cloudflare OS. ／ Gatekeepers govern resources and actions ／ A Gatekeeper is a service-specific Worker that sits between Cloudflare OS and an external service. ／ A Gatekeeper can give it access to a single repository, allow it to read issues but not source code, mask particular fields, apply rate limits, and require approval before merging a pull request. ／ The Gatekeeper handles OAuth , holds the credential, enforces policy, records what was read, and mediates anything with an externally visible side effect. — API キー要求の問題、エージェントの初期権限、Gatekeeper の定義と制御粒度、および認証情報の保持者に関する記述より
自社に持ち込むときに押さえる点
公開は2リポジトリです。本体（コア）と、社内で動かしている構成にもとづくデプロイ例。デプロイ側はコアにパッチを当てずに使う形で、設定・独自UI・社内連携・分析・デプロイ経路はそちらに置きます。本体を書き換えずに自社仕様へ寄せられる分け方です。公式も社内デプロイは自社の用語や方針を映したものだと断っており、画面・独自のGatekeeper・組織固有の機能を足す前提で設計されています。
モデルは固定されません。公式は「どのモデルでも使え、かかる費用を制御できる」と示しており、モデル選択とコストを運用側で握れます。Gatekeeperを自作するとJSON形式の設定やAPI応答を扱うので、整形して確認しながら進めると確実です。
無料ツールJSON整形・検証JSONデータを見やすく整形＆構文エラーを検証。開発やAPI連携に必須。今すぐ使ってみる →
Open source, so you can make it yours ／ Cloudflare OS is available today and is open source. ／ We are releasing two repositories: the Cloudflare OS core and an example deployment based on how we run it internally at Cloudflare. ／ The deployment repository consumes the core without patching it, providing a place for configuration, custom UI, internal integrations, analytics, and deployment pipelines. ／ Our internal deployment reflects Cloudflare’s systems, terminology, policies, and ways of working. ／ Cloudflare OS is designed so you can customize the interface, add internal Gatekeepers, and build organization-specific features without changing the core product. ／ Use any model, and control what it costs ／ Cloudflare OS can be used with any model. — オープンソース化、公開リポジトリの構成と役割分担、社内デプロイの位置づけ、カスタマイズの想定、およびモデル選択に関する記述より
まとめ：Cloudflare OSをどう見るか
Cloudflare OSの中心はAIの賢さではなく権限の設計です。「どこまで触らせるか」をGatekeeperに集約したのが骨格。評価するなら、自社で鍵を配ってしまっている連携を数えるところから。
