Cloudflare OS 完全解説——「ゼロアクセス起動」のエージェント基盤と、Agents Week 3連発（OS / Wallets / Kitesurf）が示すエージェント・インフラ戦争

2026年8月5日、Cloudflareは社内で実際に運用してきたAIプラットフォームCloudflare OSをオープンソースとして公開した。APIキーを人やエージェントに配らず、全員ゼロアクセスから始めて、必要なリソースにだけ型付きで接続する——エージェントと生成コードを「能力（capability）」で隔離する設計だ。同日週にはエージェントに決済手段を与えるCloudflare Wallets / cloudflare.pay（8/4）、エージェント専用にゼロから作ったブラウザKitesurf（8/6）も発表され、Cloudflareは「Agents Week」でエージェント基盤の3層（実行・ガバナンス・決済・閲覧）を一気に揃えた。本稿では、セキュリティ設計を軸にCloudflare OSをコード例付きで解説し、エージェントプラットフォーム戦争におけるインフラ層の回答として位置づける。

1. Cloudflare OSとは——「社員全員にエージェントを持つ会社」を実現したプラットフォーム

Cloudflare OSは「エージェント・アプリ・仕事のためのオープンプラットフォーム」で、従来のカーネル型OSではなく、会社の知識・手順・内部システムへの安全な接続をエージェントに与えるワークスペースだ。Cloudflare自身が2026年5月から社内で運用し、エンジニア以外も含む数千人が毎日、文書作成・スライド作成・定型タスク自動化・データ可視化アプリの作成に使ってきた。社内の知見では、25万件のIssueをAIがフラグし、約1.6万件のバグマージをコードレビューエージェントがブロックした実績がある。

3つのコンポーネントで構成される。

ブラウザベースで動作し、ターミナルや開発者スキルは不要。会話から文書、アプリ、ワークフローへと「続き」が生まれる設計だ。

2. セキュリティ設計の本質——「ゼロアクセス起動」と型付きバインディング

Cloudflare OSが最初のバージョンから学んだ最大の教訓は、MCPサーバーのアクセス制御では「エージェントが何を観測したか」を追跡できないことだ。MCPは「どのツールを呼べるか」を教えるが、「そのツール経由でエージェントが見たリソース」を把握しない。ワークスペースやアプリを共有したとき、見る資格のない情報まで漏れるリスクがあった。

そこでCloudflare OSは、セキュリティをアプリごとに実装させるのではなく、プラットフォーム自体に組み込む方針に再設計した。その核心が以下の4点だ。

2.1 エージェントはゼロアクセスから始まる

Cloudflare Accessで入場を検証したあと、すべてのエージェント・アプリはゼロアクセスで起動する。エージェントは特定リソースへのアクセスを「要求」し、リソースごとに許可・拒否が判定される。

2.2 型付きバインディング = 能力としての env.PROJECT

生成されたコードには、リソースが**型付きバインディング（typed bindings）**として渡される。

// Cloudflare OS の生成コード例（TypeScript）
const issues = await env.PROJECT.listIssues({
  teamId: "ENG",
  state: "open",
});

env.PROJECT は「特定のリソースを特定のポリシー下で使う許可」という能力（capability）であり、認証情報そのものはエージェントや生成コードから完全に隔離される。サーバーコードは外向きネットワークが無効化されたDynamic Worker、クライアントコードはサンドボックス化されたブラウザフレームで実行され、明示的に与えられた能力以外ではインターネットに到達できない。

2.3 Gatekeeper——サービスごとのリソースガバナンス

GatekeeperはCloudflare OSと外部サービスの間に立つ、サービス固有のWorkerだ。GitHubアカウント全体を与える代わりに、以下のような細かい制御ができる。

GatekeeperがOAuthを保持し、ポリシーを執行し、読んだ内容を記録し、外部に見える副作用を仲介する。エージェントが見えるのは小さなTypeScript APIだけだ。

2.4 ポリシーは「エージェントが見たもの」に追随する

最大の特徴は、観測記録がポリシーに追随する点だ。エージェントがアクセスしたリソースの共有を他人に許可するとき、プラットフォームはそのリソースへのアクセス権を共有時点で再検証する。これにより「読んだものは何でも共有できる」という情報漏洩経路を構造的に塞ぐ。これはMicrosoft Project Perceptionが「エージェントの行動を観測・介入する」防御を取るのに対し、「そもそも見せない」ことをプラットフォームの構造で保証するアプローチで、対照的だ。

3. MCP Server Portals——既存のMCP資産をそのまま接続

エージェントツールの標準であるMCPとも互換だ。組織がすでに運用しているMCPサーバーは「MCP Server Portals」経由で接続でき、Gatekeeperがその背後でアクセスを統制する。MCPのエコシステムを捨てずに、観測記録とポリシー追随というCloudflare OSのガバナンス層をかぶせられる設計は、7/15 のエージェントプロトコル戦争以降の標準収束（Linux Foundation AAIFへの集約）とも整合する。

デプロイは自社のCloudflareアカウントにOSSリポジトリを展開する形で、Accessポリシー・AI Gateway設定・データ・統合をすべて自社仕様にできる。Apache License 2.0で公開され、ベンダーロックインなしに「自社のOS」として育てられるのが売りだ。

3.1 実行層は @cloudflare/computer——コンテナではなく「コンピューター」

Cloudflare OSの直前にプレビュー公開された @cloudflare/computer は、このプラットフォームの実行層にあたるオープンソースのエージェントランタイムライブラリだ。エージェントコードをアイソレート・コンテナサンドボックス・ブラウザのどこで実行するかを「コンテナをツールとして扱い、家としては扱わない」という抽象化で統一的にオーケストレーションする。永続的なファイルシステムをDurable Object上に持ち、Gitリポジトリやストレージバケットと組み合わせて使う。すべての操作はゲート制御・監査・監視され、エージェントが実行した変更の監査ログも確認できる。npm install @cloudflare/computer で始められるこの実行層の上に、Cloudflare OSのワークスペースとガバナンス層が載る構造だ。

この「実行環境を選ばせる」設計は、エージェントの実行基盤を一社のVMやコンテナ基盤に固定しない点で、7/15 のエージェントプロトコル戦争が描いた「標準化された接続層」の思想と通じる。実行は分散され、接続は標準化され、ガバナンスはプラットフォームが握る——Cloudflare OSはその三層を一つのOSSにまとめた形だ。

4. ENRICHMENT ① Cloudflare Wallets / cloudflare.pay——エージェントに「財布」と「身分」を与える

8月4日に発表されたCloudflare Walletsは、エージェントに決済手段とアイデンティティを与える。7月1日に発表されたMonetization Gateway（売り手側：API・データセット・MCPツールにx402で課金）の買い手側を補完する。

• Account Wallet：実際の資金を保持し、利用ルールを設定
• Virtual Wallet：APIキー経由でAccount Walletのルール内で支出する
• cloudflare.pay：Web Bot Authに基づく、人間が読めるエージェントの身分
• x402：HTTP 402ステータスコードを決済に再利用するオープン標準で、ステーブルコイン（主にUSDC）で決済。Linux Foundationがホストし、Cloudflare・Stripe・Visa・Mastercard・Google・AWS・Circleなど40メンバーが参加

x402はこれまでに7チェーンで1億6,060万件・約4,120万ドル、平均約26セント/件を決済した実績がある（Agent Economy調べ）。エージェントが「アドバイザー」から「実行主体」になる——API・データ・コンテンツを購入しながらタスクを完遂する——ための土台であり、エージェント経済の売り手・買い手両面をCloudflareのネットワーク（337都市、世界のWebサイトの約5分の1）で揃えたことになる。

5. ENRICHMENT ② Kitesurf——Chromiumを捨てたエージェント専用ブラウザ

8月6日発表のKitesurfは、**「人間用に作られたChromiumはエージェントには過剰仕様」**という問題意識から、12週間でゼロから作られたエージェント専用ブラウザだ。Workers上のV8アイソレートで完全に動作し、ブラウザエンジンのC++を1行も実行しない。21.5万件以上のWeb Platform Testsに合格している。

主要な数字は以下の通り。

「メモリとCPUがエージェントワークロードのコストを決める」という割り切りで、ウォールタイムを犠牲にしても3〜7倍のコスト削減を選んだ。アーキテクチャは4コンポーネント（Engine / PageScript / PageRenderer / SandboxOutbound）で、ネットワークに触れるのはSandboxOutboundただ1つ。ポリシー違反は403で拒否され、Cookieはページごとに分離される。CDP互換なのでPuppeteer / Playwright / CDPクライアントはコード変更不要で、browser=kitesurf パラメータを追加するだけで利用できる。

# Browser Run で Kitesurf を試す（スクリーンショット取得）
curl -X POST 'https://browser-run.example.com/v1/quick-action' \
  -H 'Authorization: Bearer ***' \
  -H 'Content-Type: application/json' \
  -d '{
    "url": "https://example.com",
    "action": "screenshot",
    "browser": "kitesurf"
  }' --output "screenshot.png"

6. なぜ今か——エージェントプラットフォーム戦争のインフラ層

Cloudflare OSは、OpenAI / Anthropic / Microsoftが競うエージェントプラットフォーム戦争に対する、インフラ層からの回答だ。Project Perceptionがエージェントの監視・介入（防御編）、エージェント封じ込めドキュメンタリーの6事件（Anthropic 3社侵害・Erdősサンドボックス脱走・HF侵害など）が「プラットフォーム不在」を一因としていたのに対し、Cloudflare OSは「プラットフォームで防ぐ」宣言だ。英国AISIが実在標的への攻撃19件を政府初確認した先日の記事の直後に、ゼロアクセス起動の実装がOSSとして出たタイミングも象徴的だ。

またEU AI Act / SB 942の透明性執行やPacing Letterが求める「エージェント行動の記録・監査可能性」を、Cloudflare OSはGatekeeperの観測記録とAI Gatewayの支出明細で標準機能として提供する。モデルはAI Gateway経由で任意プロバイダーを利用でき、担当者・チーム・アプリ単位のコスト把握と予算・レート制限も備える——Claude Codeのコンテキストルールが教える「制約をプロンプトで伝える」のを、プラットフォームの構造で強制するのがCloudflare OSの立場だ。

7. 日本企業の実務——社内エージェント導入のガバナンス設計チェックリスト

Cloudflare OSの設計は、自社でエージェントを導入する企業がいきなり自作プラットフォームを買わずとも、ガバナンス設計のベンチマークとして使える。導入時に確認したい項目を整理する。

1. ゼロアクセス起動：エージェントはデフォルトで何も見られない状態から始まっているか
2. 型付きバインディング：アクセスは「権限文字列」ではなく、リソース固有の能力オブジェクトとして渡されているか
3. ネットワーク隔離：エージェントの実行環境から外向きネットワークが無効化できるか
4. 観測記録：「何を読んだか」が必ず記録され、共有時に再検証されるか
5. 人間の承認ゲート：マージ・送金・削除など副作用のある操作に承認が挟めるか
6. コスト制御：モデル・チーム・アプリ単位の支出明細と予算制限があるか

Perceptionの観測型防御とCloudflare OSの構造型防御は排他ではなく、外部への影響を監視しつつ、内部では見せないという二段構えが実務では最も堅牢だ。OSSとして公開されたことで、この設計を自社のCloudflareアカウントで動かし、Accessポリシー・Gatekeeper・MCP接続を自社仕様にカスタマイズする検証もすぐに始められる。

まとめ——エージェント基盤の「地ならし」が始まった

Cloudflare OS・Wallets・Kitesurfの3連発は、エージェントが仕事を「実行」するための基盤（実行・ガバナンス・決済・閲覧）を、一社が一週間で揃えたことを意味する。特にゼロアクセス起動とポリシー追随の設計は、APIキー配布型の限界（#151のAnthropic 3社侵害で露呈した認証情報管理の問題）への構造的回答だ。エージェントプラットフォーム戦争は、モデル性能だけでなく**「安全に実行できる基盤」**が競争軸になりつつある。次の観測点は、Cloudflare OSのマネージド提供開始とパートナー実装（Presidio・Happy Cog）の成果、そしてKitesurfのWPT適合率の向上だ。