Cloudflare uvolnil kód platformy Cloudflare OS, která eviduje, co si agent přečetl

Cloudflare 5. srpna 2026 zveřejnil zdrojový kód platformy Cloudflare OS pod licencí Apache 2.0. Je to prostředí, ve kterém si zaměstnanci firmy nechávají od agenta psát dokumenty a prezentace a stavět malé aplikace nad firemními daty. Kód je ve dvou repozitářích na GitHubu, v jádru a ve vzorovém nasazení.

Název svádí k nedorozumění a projekt to ví. Hned v úvodu popisu repozitáře stojí, že o klasický operační systém pro počítač nejde. Slovo je myšlené jinak: jako systém, ve kterém firma pracuje s umělou inteligencí, a jako správce agentních úloh, obdobně jako běžný systém spravuje ty výpočetní.

Agent začíná bez jediného oprávnění

Uvnitř platformy nemá žádný agent ani žádná aplikace přístup k ničemu. O konkrétní zdroj si agent řekne a člověk mu ho povolí, nebo odmítne. Vygenerovaný kód pak dostane typovanou vazbu; v ukázce z oznámení je to env.PROJECT, tedy oprávnění použít jeden konkrétní zdroj podle jednoho konkrétního pravidla:

const issues = await env.PROJECT.listIssues({
  teamId: "ENG",
  state: "open",
});

Přihlašovací údaj ke službě zůstává mimo agenta i mimo vygenerovaný kód. Serverová část běží v Dynamic Workeru s vypnutou odchozí sítí, klientská v odděleném rámu v prohlížeči. Ven se ani jedna nedostane jinak než přes předané oprávnění.

Mezi platformou a cizí službou stojí Gatekeeper, tedy Worker napsaný pro tu jednu službu. Vyřídí přihlášení přes OAuth, podrží přihlašovací údaj, vynutí pravidlo a zapíše, co se četlo. Místo celého účtu na GitHubu tak agent dostane jediné úložiště, může číst hlášení a nesahat na zdrojový kód, některá pole vidí zamaskovaná a sloučení pull requestu musí schválit člověk.

Schvalování přitom nemusí zastavit práci. Když agent udělá krok, který potřebuje souhlas, Gatekeeper výsledek nasimuluje, agentovi ohlásí hotovo a nechá ho pokračovat; člověk pak dávku schválí nebo zamítne, až se k tomu dostane. Obvykle se na souhlas čeká okamžitě, a proto si lidé z netrpělivosti zapnou automatické schvalování všeho.

Seznam přečteného putuje s výsledkem

Model Context Protocol, tedy rozhraní, kterým agent volá nástroje cizí služby, řekne, které nástroje agent volat smí. Neřekne ale, které řádky, soubory nebo repozitáře opravdu přečetl. Agent tak může spojit data ze dvou systémů, výsledek předat člověku s užšími právy a nezanechat po tom stopu.

Cloudflare na to podle oznámení narazil sám, jakmile si lidé začali sdílet pracovní prostory a výstupy. Platforma proto vede záznam o každém zdroji, který agent viděl, a ten záznam zůstává přilepený na agentovi i na všem, co vyrobil. Když si výsledek otevře druhý člověk, Gatekeepery nejdřív ověří jeho přístup k těm zdrojům.

Příklad z oznámení: agent přečte citlivou tabulku v datovém skladu a udělá z ní živý přehled. Sdílení toho přehledu nesmí být cesta, jak tabulku ukázat někomu, kdo na ni nemá. „Oprávnění musí počítat s tím, kam data můžou putovat dál,“ píšou v oznámení Phillip Jones a Dan Carter (překlad redakce).

Týž záznam řídí i odchozí požadavky. Poté, co agent přečte citlivá data, mu platforma může zakázat zápis do vybraných míst, přizvání dalších lidí, předání práce jinému agentovi i požadavek ven.

Každý soubor může být vlastní aplikace

Místo pevné sady typů souborů, tedy dokumentu, tabulky a prezentace, je v Cloudflare OS každý soubor potenciálně vlastní aplikace. Projekt jim říká gadgety. Taková aplikace má klientský kód pro rozhraní, serverový kód pro stav a chování, vlastní API a trvalá data. Server se načte na vyžádání jako Dynamic Worker a vznikne jako facet Durable Objectu; facet mu dá vlastní databázi SQLite. Dynamic Workers stojí na lehkých izolátech V8, takže každá aplikace má vlastní běhové prostředí, aniž by kvůli ní musel stát vyhrazený server nebo kontejner.

Prohlížeč mluví se serverem přes Cap'n Web, otevřený systém vzdáleného volání procedur od Cloudflare. Klient volá serverovou metodu jako obyčejnou funkci a tutéž metodu může zavolat i agent. Kdo si postaví nástroj pro svou práci, dá ho tím k dispozici i agentovi, který tu práci udělá v jeho nepřítomnosti.

Sdílet jde dvojím způsobem. Sdílená aplikace znamená spolupráci nad týmž stavem; sdílený blueprint je kopie kódu bez dat v SQLite, bez historie rozhovoru, bez přihlašovacích údajů a bez připojených zdrojů. Popis repozitáře z toho vyvozuje, že centralizovaný model softwaru jako služby ztrácí smysl ve chvíli, kdy si chybějící funkci umí doplnit každý uživatel sám.

Proč tomu Cloudflare říká operační systém

Popis repozitáře tvrdí, že označení není jen marketing, a nabízí k tomu tabulku obdob:

• jádru odpovídá balíček workshop-backend,
• ovladačům zařízení Gatekeepery,
• shellu rozhraní v balíčku workshop-frontend,
• procesům gadgety a spustitelným souborům blueprinty,
• seznamům přístupových práv sdílená oprávnění.

Agenti jsou v té tabulce jediná položka, ke které běžný systém protějšek nemá. Argument projektu zní, že agent se nedá brát jako další uživatel: má se zodpovídat konkrétnímu člověku a přitom mít vlastní, užší oprávnění. Proto podle autorů dává smysl přístup přes předávaná oprávnění, ne přes seznamy přístupových práv.

Kde to běží a v jakém je to stavu

Platforma stojí na Cloudflare Workers a hodně používá Durable Objects, Dynamic Workers a Facets. Poslední dvě jmenované podle popisu repozitáře vznikly v běhovém prostředí Workers právě kvůli tomuhle projektu. Vazba jen na Cloudflare to ale podle projektu není: workerd, běhové prostředí Workers, je samo otevřené a celá platforma na něm může běžet na vlastních serverech. Nástroje a dokumentace k takovému nasazení se ovšem teprve dělají, takže kdo do toho chce jít teď, musí si nízkoúrovňové nastavení workerd projít sám.

Model si volí provozovatel a každé volání jde přes Cloudflare AI Gateway. Tam se určuje, které modely jsou k dispozici a který z nich má vzít kterou práci, nastavují se rozpočty a omezení tempa a každý požadavek se připíše člověku, týmu nebo pracovnímu prostoru.

Srpnové vydání označuje sám projekt za rané. Je to druhá verze, kompletní přepis té první, a popis repozitáře u ní mluví o řadě hrubých hran (překlad redakce). Řízená verze, kterou by šlo zapnout přímo z ovládacího panelu Cloudflare, kontejnery pro vývojářské postupy a pracovní prostory uvnitř Slacku teprve mají přijít. Zavádění na míru, i s napojením na vnitřní systémy, mají podle oznámení dělat partneři Presidio a Happy Cog. Jádro je psané v TypeScriptu a k 6. srpnu 2026 mělo podle rozhraní GitHubu 3 847 hvězd a 264 odvozených kopií.

Přenositelná je hlavně ta evidence

Otevřený kód znamená, že postup není vázaný na Workers ani na Cloudflare. Zprostředkovatel, který drží přihlašovací údaj a pouští agenta k jedinému zdroji, i záznam o přečteném, který se veze s výsledkem, jdou popsat a napsat kdekoli. Jestli se to jinam přenese, ukáže až to, jestli podobnou evidenci začnou vést i ostatní agentní platformy. Samotné MCP na to pole nemá, jak Cloudflare v oznámení píše: řekne, co agent volat smí, ne co už viděl.

Zdroje: oznámení na blogu Cloudflare, repozitář cloudflare/cloudflare-os s popisem a licencí, zpráva Phoronixu a rozbor Help Net Security.