Cloudflare开源企业AI工作台

Cloudflare OS 今天正式开源

Cloudflare 在 2026 年 8 月 5 日宣布开源 Cloudflare OS，一套面向 AI Agent、应用程序和企业工作流的协作平台。项目代码已经发布到 GitHub，采用 Apache 2.0 许可证，企业和开发者可以查看、修改、部署并基于它构建自己的内部 AI 工作环境。

Cloudflare OS 不是 Windows、macOS 或 Linux 那样管理 CPU、内存和硬件设备的传统操作系统。**Cloudflare OS 是一个管理 AI 上下文、工具权限、代码执行环境和持续工作流的企业级 AI 平台。**它使用“OS”这个名字，是因为 Cloudflare 想管理的对象已经从传统计算资源变成了 Agent、企业数据、应用和任务生命周期。

这一区别很重要：Cloudflare 并不是突然进入桌面操作系统市场，而是在给企业 AI 增加一层统一工作界面。用户从浏览器里的对话开始，但对话不必停留在“一问一答”；它可以进一步生成文档、创建应用，或者变成持续运行的自动化流程。

它解决的不是聊天问题，而是工作交付问题

Cloudflare OS 的核心目标是让 AI 从回答问题走向完成任务。普通企业聊天助手通常在输出一段文字后结束，而真正的企业工作还包括读取内部资料、调用业务系统、编写和执行代码、更新记录、等待外部事件，以及在数小时或数天后继续处理同一项任务。

**企业上下文是组织授权给 AI 使用的知识、数据、工具和工作环境集合。**在 Cloudflare OS 中，每次对话都可以建立在企业自行整理的上下文和技能之上，而不是只依赖通用模型的训练知识。这意味着同一句“生成本周运营报告”，在不同公司里会读取不同的数据源、套用不同模板，并遵守不同审批规则。

**Agent 是能够围绕目标自主规划步骤、调用工具并执行动作的 AI 软件实体。**它与聊天机器人的关键差异不在于回答更长，而在于是否能够对外部系统产生实际影响。例如，客服 Agent 不只起草回复，还可能查询订单、判断退款条件、更新工单并把高风险案例交给人工。

Cloudflare 给出的产品方向可以概括为一条链路：用户提出目标，平台装载组织上下文，Agent 选择技能和工具，在隔离环境中执行任务，最后把结果保存为文档、应用或持续工作流。聊天只是入口，不是最终产品。

| 阶段 | Cloudflare OS 管理的对象 | 典型输出 | 企业需要控制的风险 | |---|---|---|---| | 提出目标 | 对话、工作空间、任务要求 | 可执行的任务描述 | 指令歧义、敏感信息输入 | | 装载上下文 | 企业知识、数据和技能 | 与组织相关的判断依据 | 越权检索、数据泄露 | | 执行任务 | Agent、工具、隔离代码环境 | 查询结果、代码、系统操作 | 恶意代码、提示词注入、误操作 | | 形成成果 | 文档、应用程序 | 可共享的工作产物 | 错误传播、版本混乱 | | 持续运行 | 触发器、状态和工作流 | 周期性报告、自动更新 | 权限长期化、无人监督执行 |

三部分架构把“能做”与“敢用”放在一起

Cloudflare OS 当前公开的产品结构由三个部分组成：Agent 工作空间、安全与治理框架，以及可修改的应用平台。这个组合并不新奇，但把三者放在同一个开源项目中，反映了企业 Agent 的竞争重点已经从模型能力转向执行、治理和交付。

1. Agent 工作空间：让上下文和执行环境跟着任务走

Agent 工作空间是围绕企业自定义上下文、技能和目标组织任务的协作环境。用户可以在这里与 AI 对话，但平台需要保留的不只是聊天记录，还包括任务状态、可调用工具、所需知识和执行过程中产生的文件。

隔离运行环境是 Cloudflare OS 与普通聊天产品之间最实质的差别之一。Agent 可以编写并执行代码，但代码不应直接运行在员工电脑或核心生产服务器上；把执行过程放进受限环境，类似于给每个 Agent 分配一间有门禁、可随时清理的临时办公室。

隔离环境并不等于绝对安全。即使代码运行在沙箱里，Agent 仍可能通过获准的网络连接、文件挂载或业务工具接触敏感数据，因此企业还需要限制出站访问、凭据有效期、可调用服务和执行时长，并记录每一次高风险动作。

2. 安全与治理：权限比模型智商更重要

安全与治理框架决定 Agent 可以看到什么、调用什么，以及哪些动作必须经过人工确认。对于只能总结文档的助手，回答错误通常只是效率问题；对于能够修改 CRM、更新数据库或发布内容的 Agent，同样的错误可能直接成为生产事故。

**Agent 治理是对 AI 身份、权限、数据访问、工具调用和执行记录进行统一控制的机制。**理想状态下，每个 Agent 都应拥有可识别身份和最小权限，关键动作能够审批，失败后可以回滚，安全团队则能追溯“哪个 Agent 在什么时间、基于什么指令、调用了哪个系统”。

Cloudflare 的优势在于它原本就处在企业网络、安全和应用访问链路上。与只提供聊天界面的 AI 厂商相比，Cloudflare 更容易把身份验证、访问控制、边缘执行和应用防护接到 Agent 的行动路径中；但截至 8 月 5 日，企业仍需根据开源仓库和后续文档，逐项核验审计粒度、数据驻留、审批机制及故障恢复能力，不能仅凭“安全”定位直接进入高权限生产环境。

3. 应用平台：把一次对话沉淀成可复用工具

Cloudflare OS 的应用平台允许用户创建、共享并持续修改 AI 生成的应用。它试图解决企业内部常见的“对话一次性”问题：员工在聊天窗口中完成了一次分析，但下周其他人仍要重新描述需求、上传文件和检查输出。

**AI 生成应用是由自然语言需求驱动、能够被重复使用和继续修改的软件成果。**例如，销售团队可以先让 Agent 分析某一区域的客户流失情况，再把分析过程固化成一个内部仪表盘；运营人员也可以把每日手动生成的报表改成按固定周期运行的工作流。

从对话到应用的路径降低了原型制作成本，但不会消除软件工程。企业仍要处理版本控制、测试、依赖更新、权限继承、异常告警和维护责任，否则所谓“人人都能创建应用”很容易变成“组织里多出一批无人维护的小程序”。

Cloudflare OS 与 Agent Cloud 不是同一个产品

Cloudflare OS 更接近面向员工和业务团队的 AI 工作层，而 Agent Cloud 是承载、运行和扩展 Agent 的基础设施平台。前者关注用户如何组织知识、发起任务、生成应用和管理工作流，后者更关注模型推理、状态、执行环境以及全球部署。

Cloudflare 在 2026 年 4 月扩大了 Agent Cloud 对 OpenAI 前沿模型的支持范围，其中包括 GPT-5.4，并宣布 Codex harness 已可在 Cloudflare Sandboxes 中使用。Cloudflare OS 在此时开源，意味着其产品版图正在从“让开发者部署 Agent”向“让企业员工使用 Agent 完成工作”延伸。

两者可以用办公楼来类比：Agent Cloud 提供电力、网络、电梯和安保等基础设施，Cloudflare OS 则提供办公室、工位、门禁规则和协作流程。企业可以只使用其中一层，但 Cloudflare 显然希望把从推理到工作入口的更多环节留在自己的平台上。

| 产品或平台类型 | 核心定位 | 主要使用者 | 代码执行 | 企业治理 | 开放程度 | 费用形态 | |---|---|---|---|---|---|---| | Cloudflare OS | Agent、应用与工作流的统一工作环境 | 企业员工、开发者、平台团队 | 提供隔离运行环境 | 属于三大核心组成之一 | GitHub 开源，Apache 2.0 | 软件许可免费，部署、模型、存储和运维成本另计 | | Cloudflare Agent Cloud | Agent 的运行与部署基础设施 | AI 开发者、平台工程团队 | 可结合 Sandboxes | 依赖 Cloudflare 安全与平台能力 | 以 Cloudflare 平台服务为主 | 按所使用的云服务与资源计费 | | 企业聊天助手 | 围绕问答、检索和内容生成提升个人效率 | 普通员工 | 通常受限或不可见 | 多采用管理员策略和席位管理 | 多数为闭源 SaaS | 常见为按席位或企业合同计费 | | 低代码 Agent 平台 | 用可视化流程连接模型、知识库和工具 | 业务开发者、自动化团队 | 视平台而定 | 通常提供权限和发布管理 | 开源与闭源方案并存 | 按席位、调用量或部署资源计费 | | Agent 编排框架 | 提供状态、节点、工具调用和流程控制 | 专业开发者 | 由开发者自行配置 | 需要企业自行集成 | 通常更开放 | 软件成本较低，工程维护成本更高 |

Apache 2.0 很开放，但不代表没有平台绑定

Apache 2.0 是一种允许商业使用、修改、分发并提供专利授权条款的宽松开源许可证。对企业来说，这比只能在供应商云端使用的闭源工作台更容易审查，也允许内部团队基于项目进行二次开发。

开源降低了代码层面的锁定，却不会自动消除基础设施层面的依赖。Cloudflare OS 如果深度依赖 Cloudflare 的运行时、安全产品、存储或边缘网络，那么把代码迁移到其他环境仍可能需要重写身份、状态、沙箱和工具连接层；Apache 2.0 解决的是“能不能改”，不是“换平台要花多少成本”。

Cloudflare 目前也没有在此次发布信息中给出独立商业版价格、延迟数据、任务成功率或标准化 Agent 跑分。缺少这些数字意味着外界暂时无法判断它在复杂任务上的稳定性，也不能只凭开源标签推导出总拥有成本更低。

企业评估时至少要计算四类成本：模型推理成本、隔离执行资源、数据与日志存储，以及连接内部系统的工程维护。对于已有 Cloudflare 技术栈的团队，接入成本可能更低；对于身份、网络和数据平台全部运行在其他云环境中的公司，迁移收益则需要单独核算。

最适合先落地的是“可审计、可回退”的任务

Cloudflare OS 的首批合理场景不是全自动经营公司，而是步骤明确、数据边界清楚且结果能够人工复核的企业任务。下面几类工作更适合作为试点：

• **内部知识与报告生成：**读取授权资料，生成周报、竞品分析或项目摘要，并保留引用和处理记录。
• **客服辅助流程：**查询订单和历史工单，起草回复、更新状态，但将退款、赔付等高风险动作交给人工批准。
• **研发与运维协作：**汇总告警、检索运行手册、生成诊断脚本，在隔离环境验证后再由工程师执行生产操作。
• **轻量内部应用：**把重复使用的表格分析或信息收集过程封装成团队应用，避免每次从提示词重新开始。
• **周期性企业工作流：**按照日、周或事件触发生成报告、同步信息，并在异常时暂停流程和通知负责人。

高权限、不可逆和责任边界模糊的任务暂时不适合直接全自动化。自动付款、删除生产数据、修改核心权限和对外发布法律承诺等动作，都应设置明确审批节点，而不是因为 Agent 有隔离环境就默认放行。

真正的难点是把企业权限翻译给 AI

Cloudflare OS 的产品方向是对的，因为企业 Agent 的瓶颈早已不只是模型能否写出漂亮答案。模型能力越来越容易采购，困难的是如何把散落在文档、数据库和员工经验里的上下文整理出来，再把现有权限体系转换为 Agent 能理解且不能绕过的规则。

提示词注入仍会是这类平台的核心威胁。一个看似普通的网页、邮件或文档可能夹带恶意指令，诱导 Agent 忽略原任务、泄露数据或调用不该使用的工具；当 Agent 同时具备读取外部内容和操作内部系统的能力时，攻击面会比传统聊天机器人更大。

长期运行的工作流还会带来权限漂移。员工岗位、数据分类和业务规则发生变化后，几个月前创建的 Agent 可能继续沿用旧权限，因此平台不仅要在创建时审核，还要支持权限到期、定期复查、凭据轮换和异常行为告警。

Cloudflare 想抢的是企业 AI 的默认入口

Cloudflare OS 最值得关注的地方，不是又多了一个可以聊天的开源界面，而是 Cloudflare 正在把网络、安全、边缘计算、模型推理、隔离执行和最终用户工作台连成一条链。过去 Cloudflare 主要位于网站和应用的流量入口，现在它希望进一步成为企业 Agent 访问数据、调用工具和交付结果的入口。

这一步也让 Cloudflare 更直接地进入企业 AI 平台竞争。模型公司拥有基础模型和用户入口，办公软件厂商拥有文档、邮件与员工关系，自动化平台拥有大量业务连接器，而 Cloudflare 的筹码是全球网络、安全控制面和开发者基础设施。

Cloudflare OS 目前更像一个值得技术团队验证的开放底座，而不是已经证明能够全面替代现有办公套件的成熟产品。它的方向比“再做一个聊天机器人”更有价值，但最终竞争力取决于三件事：企业连接器是否足够丰富，治理能力是否经得住安全审计，以及从对话生成的应用和工作流能否长期稳定运行。

截至 2026 年 8 月 5 日，Cloudflare 尚未公布 Cloudflare OS 的独立价格、性能基准和生产可用性指标。对企业最稳妥的做法，是先选择低风险流程试点，测量任务成功率、人工接管率、单次执行成本和权限违规次数，再决定是否扩大部署。

参考来源

• Cloudflare OS GitHub 官方仓库：项目源代码、Apache 2.0 许可证及最新开发状态。
• IT之家：Cloudflare 宣布推出开源 Cloudflare OS：发布信息、产品定位和三部分架构概述。