会社の全員にAIエージェントを配ったら、1か月で4,000個を超えるアプリが社内に生まれた。営業チームだけで1万時間が浮いた、という数字も出ている。Cloudflareは2026年8月5日、その業務基盤そのものを「Cloudflare OS」としてオープンソース公開した。ライセンスはApache-2.0。中身を全部読めて、自社の環境に置くこともできる。
名前に「OS」と付くが、WindowsやmacOSのような土台ではない。社内の知識・ツール・システムをAIにつなぐ、いわば「働く場所のほうのOS」だ。ここで引っかかる人は多いはずだ——社内システムをAIに触らせて、事故らないのか。この記事の読みどころは、まさにその一点にある。
社内で1か月、4,000個のアプリが生まれた
まず数字から見ていきたい。Cloudflareは2026年5月、最初のバージョンを全社員に配った。そして8月、CIOのSam Rhea氏が社内での使われ方を公開した。エンジニアだけの話ではない、というのが要点だ。
| 社内で起きたこと | 数字 |
|---|---|
| 毎週使っている社員 | 数千人(職種を問わず) |
| 1か月に作られたアプリ・ツール | 4,000超 |
| 営業チームが1か月で節約した時間 | 10,000時間超 |
| コードレビューAIが指摘した問題(4か月) | 約250,000件 |
| そのうち実際に止めたマージ | 16,000件 |
| 設計段階で問題を見つけた技術レビュー | 約600件 |
「1か月で4,000個」という数の意味は、少し補足がいる。ここでいうアプリは、市販ソフトのような大作ではない。担当者ひとりの困りごとを片付けるための、使い捨てに近い小さな道具だ。営業資料を自動で組み立てる、担当地域を並べ替える、といった類である。
これまでこの手の「あったら便利」は、情報システム部門に頼んでも優先度で負け、結局は手作業のまま残ってきた。その滞留分が一気に流れ出した、と読むのが自然だろう。
AIは「権限ゼロ」の状態で起動する
ここからが本題だ。社内システムにAIをつなぐ製品自体は、もう珍しくない。Cloudflare OSが変わっているのは、AIを賢くする方向ではなく、AIが間違えても被害が出ない形に閉じ込める方向に設計が振られていることだ。
起点になるのが「権限ゼロで始める」という原則である。エージェントもアプリも、最初は何ひとつアクセスできない状態で立ち上がる。必要なものだけを、後から1つずつ手渡していく。
門番の重要な性質は、パスワードやアクセストークンが門番の内側から出ないことだ。AIにも、AIが書いたプログラムにも渡らない。だから仮にAIが妙なコードを書いても、鍵そのものを持ち出すことはできない。
AIに頼む → AIは門番に
依頼を出す → 門番が権限を確認
(鍵は門番の中だけ) → 許された範囲を実行し
結果だけAIに返す
図: Gatekeeper越しのアクセス。書き込み系の操作は人の承認を挟むこともできる(筆者作成)
権限の刻み方はかなり細かい。Cloudflareが挙げる例では、「GitHubの特定リポジトリのIssueは読めるが、ソースコードは読めない」といった絞り込みができる。書き込みを伴う操作には人の承認を挟めるが、承認待ちの間もAIは別の作業を進められる設計だ。
アプリの動かし方も独特で、全員が同じ1つのシステムを共有しない。利用者ごとに自分専用のコピーが別の隔離領域で動く。誰かのアプリが壊れても、他人のデータには届かない。サーバー側のコードは外部通信を切った状態で走り、外へ出る通信は明示的に許可した経路だけを通る。
公開版がv2、つまり作り直しである理由もここに関わる。共有機能を入れた途端、「本来その人が見られないはずの情報が、他人の成果物経由で漏れる」問題が浮上した。そこでv2ではAIが参照した情報の出どころを記録し、成果物を開いた人自身の権限を毎回確かめる仕組みを土台から入れ直している。CIOブログの言い方を借りれば、AIを使っても権限レベルは決して上がらない。
使うAIモデルは固定されていない。主要な提供各社のモデルも、自社で動かすモデルも選べる。通信はCloudflareのAI Gatewayを通るので、誰がどのモデルにいくら使ったかを見ながら、上限や機密データの送信禁止を設定できる。エージェントの基本についてはAIエージェントとはで整理しているので、そもそもの話が曖昧な人はそちらから読んでほしい。
これは10年前のスタートアップの、作り直しだった
この設計思想には出どころがある。開発を率いたKenton Varda氏は、Cloudflare Workers——同社のプログラム実行基盤——を生んだ人物だ。そして公開当日、本人がXでこう書いた。
本日Cloudflare OSをリリースします。コネクタ付きのチャットボット、そう、どのテック企業もやっているやつです。……いや、実際には違います。これは10年前の私のスタートアップ Sandstorm.io の作り直しなんです。ただし今回は、私がずっと取り組んできたプラットフォーム——Cloudflare Workers の上に築いています。
Sandstorm.ioは2010年代半ばのプロジェクトで、「アプリを1つずつ隔離した箱に入れて、自分のサーバーで動かす」という思想だった。当時は基盤が重すぎて広まらなかった。それが、軽量な実行環境が当たり前になった今なら成立する——という筋書きである。
だからCloudflare OSは、AIブームに合わせて急ごしらえされた製品ではない。10年温めた「隔離」の設計に、AIという新しい住人を入れたと見るほうが実態に近い。エージェント時代のセキュリティ設計が手探りである中、この順番の違いは効いてくるはずだ。
github.com cloudflare/cloudflare-os 一次情報。READMEに設計思想と導入手順がまとまっている。外部からのプルリクエストを原則受け付けない方針とその理由も書かれていて、AI時代の開発運営として読む価値がある。「OS」を名乗ったことへの反発
公開直後のHacker Newsは650ポイント超・300件超のコメントで賑わったが、中身は称賛一色ではなかった。
まず名前だ。「スケジューラもメモリ管理もない。これはOSではなくアプリだろう」という指摘が相次いだ。次にロックイン。Apache-2.0で公開されていても、実際はCloudflareの基盤に深く依存しているのではないか、という懸念である。
さらに手厳しいのが、安全性の主張そのものへの疑いだった。土台になっている実行環境workerdは、その公式リポジトリに「追加の層なしでは堅牢なサンドボックスではない」と自ら書いている。それを土台に「AIが重大な穴を開けられない」と言えるのか、という筋の通った批判だ。
これにVarda氏本人が反論して回り、議論の空気は変わった。曰く、workerd上で完全にセルフホストできる。ローカルのほうがむしろ速い。Cloudflareのサービスも必須ではなく、APIキーの直接指定で動く。ただし本番向けのセルフホスト手順はまだ公開されていないことも認めている。ここは実際に配布物が出るまで判断を保留したい。
費用にも触れておく。公式は料金を明示していない。ただ導入手引きが要求するサービス構成から見て、無料枠だけで全社運用というのは考えにくい。有料プランと従量課金、加えてAIモデルの利用料が別にかかると見ておくのが安全だ(あくまで構成からの推測で、公式の数字ではない)。
そして「非エンジニアでも使える」という触れ込みには、小さな但し書きが付く。使う側は確かにブラウザだけでいい。だが最初に外部サービスとつなぐ作業は認証設定を伴う技術仕事で、そこは誰かが引き受ける必要がある。日本語での動作報告もすでに出ていて、文書作成やスライド生成は動くものの、日本語入力の変換中に意図しない改行が入る、といった粗さも報告されている。
不信を前提に組み立てる、という選択
ある技術ブログはCloudflare OSを「不信のアーキテクチャ」と評した。的確な表現だと思う。この製品はAIを信頼していない。信頼しないまま仕事を任せるために、周りを固めている。
ただし同じ書き手は、代償も指摘している。封じ込めを強くするほど、AIの自律性は削られる。人が承認する場面が増えれば、「勝手にやっておいてくれる」理想からは遠ざかる。そして皮肉なことに、この不信の建築そのものが、Cloudflareという一社への信頼の上に建っている。
それでも、この方向は正しいというのが筆者の読みだ。エージェントの事故は、能力不足より権限過多から起きる。「何でもできる強いAI」より「できることが最初から決まっているAI」のほうが、会社に置くには筋がいい。同じ週、CloudflareはAIエージェント専用の財布も発表している。身元と権限、そして支払い——同社が組み立てようとしている絵は、思ったより大きい。
次の分岐点ははっきりしている。マネージド版と、本番向けセルフホスト手順だ。この2つが出れば「Cloudflareの上でしか動かない」という批判は消える。出なければ、オープンソースという看板は看板のままになる。この会社が最近何を仕掛けているかはCloudflareがいまアツい理由にもまとめてあるので、あわせてどうぞ。
出典: Cloudflare公式ブログ「Cloudflare OS」 / 同「How we use AI with Cloudflare OS」(CIO Sam Rhea) / GitHub: cloudflare/cloudflare-os / クラウドフレアジャパン プレスリリース / Hacker Newsの議論。2026年8月7日時点。仕様・提供状況は変わりうる。
