8月24日、Bruno Couriolが「Cloudflare OS: Cloudflare's Open-Source Corporate AI Platform Built on a Capability-Based Model」と題した記事を公開した。CloudflareがエンタープライズAI向けプラットフォーム「Cloudflare OS」をオープンソースとして公開したことを伝える内容だ。注目すべきは、ユーザーごとに完全隔離されたアプリインスタンスを生成するという独自アーキテクチャと、ゼロ権限からスタートするケイパビリティベースのセキュリティモデルにある。

「野良GenAIスクリプト問題」という現場の痛み

このプロジェクトはCloudflare自身の内部課題から生まれた。CIOのSam Rheaによれば、社内では多数の本番APIトークンと管理者権限を要求する「野良GenAIスクリプト」が急増していた。ここで言う「野良GenAIスクリプト」とは、IT部門やセキュリティ審査を経ることなく現場の従業員が個人的に書いた生成AI連携スクリプトが、本番権限を持ったまま社内インフラに接続・稼働している状態を指す。エンタープライズ現場では2025年以降この問題が深刻化しており、権限管理の形骸化・データ漏洩リスク・ガバナンス不全といった形で経営課題に浮上しつつある。

Cloudflareはそのニーズを安全にさばくため、まず人間が対応する「magic AI email」エイリアスで業務上の摩擦点を収集・分類する運用を経て、Cloudflare OSの開発に至った。この背景を押さえておくと、以下に説明するアーキテクチャの設計思想がより腑に落ちる。

ユーザーごとに「自分専用のアプリ」が動く設計

Cloudflare OSの最大の特徴は、従来のマルチテナントSaaSとは根本的に異なるアーキテクチャにある。一般的なクラウドSaaSでは全ユーザーが同一のアプリインスタンスを共有するが、Cloudflare OSはユーザーごとに独立したアプリインスタンス（"Gadget"）を生成する。

ドキュメントの作成、ダッシュボードの生成、データビューの構築といった操作が発生するたびに、Cloudflareのオープンソースランタイムworkerd（Cloudflare WorkersのOSS実装で、JavaScriptとWebAssemblyをサーバーサイドで実行するためのランタイム）とDynamic Workersが管理するV8 Isolate上に、専用の隔離済みアプリインスタンスが立ち上がる。なお、V8 IsolateとはGoogle V8エンジンが提供するサンドボックス実行単位であり、プロセスを分けることなく異なるコードを強力に隔離できる軽量な仕組みだ。

この設計が生む恩恵は二つある。リードアーキテクトのKenton VardaはX（旧Twitter）でこう説明している。

一つ目：プラットフォームがアクセス制御を完全に管理できる。Gadget自体がアタッカーに情報を漏洩する手段がない。同じアプリベースの別のGadgetにアクセスできる攻撃者に対しても同様だ。

二つ目：全員が自分のコードのコピーを動かしているので、誰でも自分のコピーを自由に改変できる。

使っているソフトウェアに新機能が欲しくなったとき、エージェントにプロンプトで追加させられるとしたら？ SaaSモデルでは不可能だ。自分のアプリのコピーを動かしているわけではないから。AIがそれを変えた。

非技術系ユーザーがAIエージェントに指示するだけで自分のアプリのソースコードを改変でき、かつその変更が他ユーザーの環境に影響しない——この組み合わせが、冒頭で触れた「野良AI活用」問題への構造的な回答として設計されている。

「Gatekeeper」：MCPとは異なる権限管理

セキュリティの中核を担うのが、Cloudflareが「Gatekeeper」と呼ぶケイパビリティベースのアクセス制御機構だ。

ケイパビリティベースセキュリティとは、OSセキュリティ研究に端を発する考え方で、「あるリソースへのアクセス権は、そのリソースへの参照（ケイパビリティ）を持つ者だけが行使できる」という原則に基づく。従来のACL（アクセス制御リスト）やロールベースモデルが「誰が何にアクセスできるか」を静的なルール表で管理するのに対し、ケイパビリティモデルはアクセス権そのものをトークンとして扱い、明示的に渡された範囲でしか権限が行使できない点が異なる。エージェントが「デフォルトで何でも触れる」状態をアーキテクチャレベルで排除できるため、AIエージェント時代のセキュリティモデルとして近年再注目されている概念だ。

昨今注目されているMCP（Model Context Protocol）ベースの接続では、実装によってはシステムへのアンビエント（常時有効な広範）アクセスが付与されることが多い。Gatekeeperはこれとは異なり、エージェントはゼロ権限の状態からスタートする。アクセスは指定リソースのみに限定され、機密データベースカラムのマスキング、ロールベースのレート制限、破壊的な操作実行前の人間承認フローが強制される。

VardaはコミュニティサイトHacker Newsでさらに詳細を説明している。

Gadgetを共有する際、共有相手がGatekeeperシステムを通じてそのGadgetが接続している各リソースへの直接アクセス権を持っているかを検証する。そのため、Gadget自体にセキュリティバグがあったとしても、本来アクセス権を持たない相手へ誤ってアクセスを付与することはできない。

社内運用での実績

2026年5月から社内利用を開始し、30日以内に非技術系スタッフが4,000本以上のカスタムビジネスツールを構築した。営業チームでは、テリトリー計画やパイプライン分析における手動データ集計で約10,000時間を削減したという。

エンジニアリング側では「Cloudflare Engineering Codex」（機械可読なポリシーリポジトリ）を活用し、自動レビューエージェントがプルリクエストと設計をCodexと照合。約25万件の潜在的バグの検出、16,000件の非準拠マージのブロック、約600件のアーキテクチャ上の欠陥の事前検知を達成したと報告されている。

コミュニティの反応

プロジェクト名の「OS（オペレーティングシステム）」という命名については、リリース後から議論が起きている。Vardaはこれを「コンピュートワークロードの調停、プロセス分離、ケイパビリティベースのセキュリティ境界の強制という点でOSとして振る舞う」と説明し、命名を擁護した。

一方、HNコメンターのmasterjはケイパビリティモデル自体を評価しつつも、市場競争について懐疑的な見方を示している。

すべてのテック企業がエンタープライズ向けに小さなワンオフアプリを安全に作れる基盤になろうと躍起になっている。悪いパターンではないが、CloudflareがデフォルトになるよりもGoogleやMicrosoftが有効なUI/UXパターンを採用して企業データと連携する未来の方がずっとイメージしやすい。

また、開発者のJeremy MorrellはCloudflare OSのようなツールを「internal corporate platform（社内向け企業プラットフォーム）」と位置づけ、内部開発者プラットフォーム（IDP）が開発者を対象とするように、社内の全従業員を対象としたエンタープライズAI生産性ツールの類型として整理している。この整理は、Cloudflare OSが単なる「社内ツール」ではなく、エンタープライズAIのガバナンス基盤として設計されているという本プロジェクトの立ち位置を明確にする視点として参考になる。

Cloudflare OSはApache-2.0ライセンスで公開されており、cloudflare-osリポジトリとスターターテンプレートから利用できる。

詳細はCloudflare OS: Cloudflare's Open-Source Corporate AI Platform Built on a Capability-Based Modelを参照していただきたい。