CloudflareがAIエージェントのセキュリティとガバナンスを強化する新プラットフォーム「Cloudflare OS」をオープンソース化

AIエージェントの活動を監視・制御するCloudflare OS

Cloudflareが2026年8月にオープンソース化した「Cloudflare OS」は、AIエージェントのセキュリティ、ガバナンス、コラボレーションをエンタープライズ環境で改善するために設計されたプラットフォームです（出典）。このプラットフォームの最も重要な機能は、AIエージェントが読み取るすべてのリソースを永続的に記録し、その記録をエージェントの出力に関連付ける点にあります。これにより、別のユーザーが出力にアクセスする前に、関連する基盤データへの閲覧権限が検証され、機密情報の不正共有が阻止されます。

Cloudflare OSは、AIエージェントがアクセスした全リソースの記録と出力を紐付け、権限管理によって不正な情報共有を防止します。

既存のツール連携プロトコルがエージェントによる外部リソースへのアクセス方法のみを記述するのに対し、Cloudflare OSはどのデータにアクセスしたかのログも記録します。この観測ログはワークフロー全体を通じてエージェントに追従し、組織がエージェントのデータアクセス履歴に基づいてポリシーを適用できるようになります。

例えば、機密データにアクセスしたエージェントは、結果を外部に送信したり、禁止された宛先と通信したりすることが制限されます。自分の個人プロダクトでも、AIエージェントにどこまでアクセスさせるかという問題は常に悩みの種なので、こういう監査ログの仕組みは非常にありがたいと感じます。

ゼロトラストとGatekeeperによる堅牢なセキュリティモデル

Cloudflare OSは、クレデンシャル管理においてゼロトラストのアプローチを採用しています。AIエージェントが認証情報や認証トークンに直接アクセスすることは決してありません。この役割を担うのが「Gatekeeper」と呼ばれるサービスで、認証、クレデンシャルストレージ、アクセスポリシーの適用、許可されたすべての操作のロギングを処理します（出典）。

エージェントは、管理者がリポジトリアクセス、データマスキング、承認、レート制限などの詳細な権限を設定できる管理インターフェースとしか通信しません。この仕組みにより、仮にエージェントが侵害されたとしても、システム全体への影響を最小限に抑えることができます。

このような厳格なセキュリティモデルは、企業がAIエージェントを安心して導入・運用する上で不可欠だと感じます。特に、クラウド環境で機密データを扱う際には、AIエージェントが「何を」「どこから」「どのように」扱ったかを明確に把握できることは、コンプライアンスの観点からも非常に重要です。GCPのIAMや監査ログの仕組みにも似ていますが、AIエージェントに特化している点がユニークですね。

開発者向けのフレームワークと今後の展開

Cloudflare OSは、クライアントとサーバーコンポーネントが別々の環境で実行されるアプリケーション構築を可能にするワークスペースを提供します。開発者はCloudflareのリモートプロシージャコール（RPC）フレームワークを使用して、ユーザーだけでなくAIエージェントもアクセスできるツールを作成できます。これにより、アプリケーションデータ、クレデンシャル、環境が互いに分離された状態を保つことができます（出典）。

現状では、このプロジェクトはGitHub上でオープンソースプロジェクトとして利用可能です。将来的には、管理されたデプロイメント、開発コンテナ、コラボレーションワークスペースがリリースされる予定です（出典）。Pythonバインディングがあれば、自分のスクリプトにも簡単に組み込めそうな予感がします。

Claude Codeにこのドキュメントを投げたら、すぐにでも動くサンプルコードを生成してくれそうですね。個人的には、ローカル環境でのLLMと連携させる方法にも興味があります。

参考記事には、AWSのDogwoodというランタイム検証フレームワークも紹介されています。こちらはAIエージェントの行動をリアルタイムで監視し、事前に定義されたルールに準拠しているかをチェックすることで、信頼性、安全性、運用の正確性を向上させるものです（出典）。Cloudflare OSがアクセス権限と監査に重きを置くのに対し、Dogwoodは行動規範の遵守に焦点を当てている点で補完的な関係にあると感じました。