什么是 Cloudflare OS？开源 AI 智能体工作台深度解析（架构·Gatekeeper·自托管·价格）
Cloudflare 于 2026 年 8 月 5 日开源发布 AI 智能体工作台 Cloudflare OS。本文依据官方博客与 GitHub，讲解其从零权限出发的 Gatekeeper 安全模型、经由 AI Gateway 的模型选择与成本管理、Gadget（小型自制应用）、部署到自有 Cloudflare 账户的步骤，以及价格。
图片来源：Cloudflare Blog《Cloudflare OS: an open platform for agents, apps, and work》。本文所引用的图与界面截图均来自 Cloudflare 官方网站。
2026 年 8 月 5 日，Cloudflare 配合其年度活动“Agents Week”，将面向 AI 智能体的办公工作台 Cloudflare OS 以开源方式（Apache License 2.0）发布。与 ChatGPT 这类通用聊天工具不同，它的设计前提是“围绕你所在公司的业务、术语与内部系统运行”，而且最关键的是——它可以整体运行在你自己的 Cloudflare 账户之内（可自托管）。
它最初是 Cloudflare 为自家全体员工打造的内部工具。2026 年 5 月首次在公司内部发布，到 8 月时，已有数千名员工（不限于工程师）每天使用它来撰写文档、制作幻灯片、自动化日常杂务，以及搭建小型内部应用。Cloudflare OS 正是把这套工具原样向外部开放。
本文将依据官方博客与 GitHub 仓库的说明，讲清楚：Cloudflare OS 是什么、它的三大组成部分（智能体工作台／Gadget／Gatekeeper）、从“零权限”出发的安全模型、通过 AI Gateway 进行的模型选择与成本管理，以及如何部署到你自己的 Cloudflare 账户与价格。
Cloudflare OS 是什么
Cloudflare OS 是一款开源的 AI 智能体工作台，主张“公司里的每个人都能构建应用、自动化工作，并安全地访问内部系统”。无需工程背景，通过浏览器即可使用；不必等待研发或 IT 团队，你就能自己完成调研、资料制作、工作流自动化，乃至搭建简单的业务应用。
关键在于，它不只是一个聊天机器人，而是一个内置了“公司上下文”与“内部系统访问能力”的执行平台。不像通用 AI 那样每次都要重新说明上下文，智能体是在你自己的流程、数据与权限之上运行的。
- 浏览器内即可完成：无需终端或开发知识。非工程师也能做调研、写文档、做自动化。
- 产出物可直接变成应用：把输出的资料或仪表盘，升级为具备 UI、逻辑与状态的真正应用（Gadget）。
- 从零权限出发的安全设计：智能体与应用都从“什么都访问不了”的状态开始，只按需、显式地授予所需范围。
- 模型无关：使用哪个 AI 模型由组织自行选择，避免被单一厂商锁定。
- 自托管、开源：因为运行在你自己的 Cloudflare 账户中，业务流程与内部集成不会被封闭在某个厂商的产品里。
它叫“OS”并非只是比喻。 Cloudflare OS 在软件结构上就是照着操作系统来搭建的：核心逻辑（workshop-backend）相当于内核，界面（workshop-frontend）相当于外壳（shell），与外部服务对接的部分（gatekeeper-*）相当于设备驱动。下文的 Gatekeeper，正可以理解为“用于安全地驱动‘内部系统这类硬件’的驱动程序”。
Cloudflare OS 的三大组成部分
Cloudflare OS 主要由三部分构成。
- 智能体工作台 —— 以公司上下文与技能为前提运行的聊天 UI
- Gadget —— 智能体构建的“小型自制应用”，以及其共享机制
- Gatekeeper —— 同时作用于智能体与应用的安全框架
下面逐一来看。
1. 智能体工作台
来源：Cloudflare Blog《Cloudflare OS》 的演示
在聊天 UI 中，你可以基于公司自身的上下文下达如下工作指令。
- 调研与分析：智能体会自己写代码来检索、筛选、汇总，因此无需把庞大的数据集整体塞进上下文窗口。
- 资料制作：在保持与实时数据连接的同时生成文档、幻灯片与电子表格，并可导出到 Google Drive 等。
- 直接做成团队应用：当场就能拉起具备 UI、逻辑与状态的全栈应用。
- 确定性工作流：流程固定的部分用代码确定地执行，只把需要判断的部分交给 AI。
界面右下方可以按任务切换所用模型，并当场显示消耗的 token 与预估成本。这与下文的 AI Gateway 联动。
2. Gadget（小型自制应用）
在 Cloudflare OS 中，智能体的每一个输出都可能成为一个应用。智能体生成的应用是全栈的：既包含渲染 UI 的客户端代码，也包含承载状态与行为的服务端代码。Cloudflare 把它称为 Gadget。
共享方式有两种。
- 共享应用本身：在共享状态的前提下进行实时协作（多人协同）。
- 作为蓝图（blueprint）共享：接收者可以创建一个拥有自己状态与凭据的独立副本。
Gadget 的思路是：与其“提需求、开工单、然后等待”，不如当场让 AI 来改造应用。非工程师做出的小型业务应用，可以被同事复制过去再按自己的需要修改。
3. Gatekeeper（安全框架）
Gatekeeper 是 Cloudflare OS 的核心。下一章详述。
Gatekeeper｜从“零权限”出发的安全
一句话概括，Cloudflare OS 的安全理念就是“所有智能体与应用一开始都什么都访问不了（access to nothing）”。只有需要的访问权限，才会在之后被显式、且细粒度地逐一授予。
其枢纽正是 Gatekeeper —— 一个夹在 Cloudflare OS 与外部服务之间、按服务划分的 Cloudflare Worker。它不把凭据直接交给智能体，而是由 Gatekeeper 代为持有凭据（OAuth token 等），只向智能体暴露受限的 TypeScript API。
Gatekeeper 能做什么
即便是 GitHub 集成，也不必把整个账户交出去，而是可以像下面这样收窄。
| 想要做的事 | 通过 Gatekeeper 的控制示例 |
|---|---|
| 限定仓库 | 仅授权访问某一个仓库 |
| 限定读取范围 | 可读 Issue 但不可读源码等 |
| 字段脱敏 | 隐藏特定字段（如个人信息）后再传递 |
| 限流 | 施加速率限制 |
| 人工审批 | 创建 Pull Request 必须经过人工审批 |
智能体看到的不是“原始 API Key”，而是下面这种带类型的能力（capability）。访问权限并非隐式地存在于环境中，只有被显式“交付”的部分才能使用。
// 交给智能体／应用的不是原始凭据，
// 而只是 Gatekeeper 暴露的受限 API
const issues = await env.PROJECT.listIssues({
teamId: "ENG",
state: "open",
});
依据“看过什么”来约束行为（观测日志）
Gatekeeper 的另一大特点，是基于观测日志（observation log）的策略。它会记录智能体“看过什么”，并据此限制其后续操作。
在官方举的例子中，智能体只要读取过敏感数据，就无法再向特定目的地写入数据、邀请新的协作者、把工作移交给另一个智能体，或发起对外请求。比如“读取机密数据仓库表并制作了实时仪表盘”后，若试图把该仪表盘分享给没有相应权限的人，就会依据观测日志被拦截。要点在于：判断依据不是最终产物“是否写有”机密，而是智能体“看过什么”。
网络在默认情况下也是关闭的。 服务端代码运行在 global outbound networking disabled（关闭对外通信）的 Dynamic Workers 上，客户端代码则运行在沙箱化的浏览器 frame 内。两者都只能通过被显式授予的能力（capability）才能触及外部。也就是说，“不小心把数据发到公司外部”的路径本身就被堵死了。
为什么叫“OS”｜架构
Cloudflare OS 构建在 Cloudflare 自家的基础设施（Workers）之上。正如其名，其结构比照着操作系统。
- 工作台 = Durable Object：每个工作台作为一个 Durable Object 运行。
- Gadget = Dynamic Worker 的 Facet：每个应用作为 Dynamic Worker 的“Facet”启动，并拥有与 Cloudflare OS 本体相隔离的、专属的 SQLite 数据库。无需自建服务器，就能运行多个相互独立的应用实例。
- 客户端与服务端的通信 = Cap'n Web：使用 Cloudflare 开源的、基于能力（capability）的 RPC（Cap'n Web）。其特点是无论从浏览器还是从智能体，都能用相同的方法调用来处理。
// 无论从浏览器还是从智能体，都用相同写法调用
const issues = await app.listIssues({
status: "done",
});
仓库中的结构，也同样按操作系统的比喻来组织。
| 包 | 在 OS 中的角色 | 内容 |
|---|---|---|
workshop-backend | 内核 | 核心逻辑 |
workshop-frontend | 外壳（shell） | 界面（UI） |
gatekeeper-* | 设备驱动 | 对接各外部服务的连接层 |
运行时采用 Cloudflare 的开源 Workers 运行时 workerd，因此在自己的服务器上运行（完全自托管）也在考量之内（不过如下文所述，该路径目前仍处于实验阶段）。它建立在既有开源资产之上——编辑器视图用 Monaco，客户端与智能体的同步及历史回放用 Yjs 等。
AI Gateway｜模型选择与成本管理
来源：Cloudflare Blog《Cloudflare OS》 的演示
Cloudflare OS 的所有 AI 推理都经由 Cloudflare AI Gateway。由此，组织方可以完全掌控“使用哪个模型”。
- Bring Your Own Model：使用哪个模型供应商由组织选择，不存在对单一厂商的锁定。
- 按任务路由：像总结邮件这类轻量工作交给廉价的轻量模型，复杂分析则交给前沿模型，按需分工。
- 成本归属：每一次请求都可以按个人、团队或工作台进行计量。
- 预算与限流：管理员可设定预算与速率限制，并定义超限时的行为。
如上方演示所示，每个工作台都可以选择不同的模型——Claude Opus 5 / GPT 5.6 Sol / GLM 5.2 / Kimi K2.7——并当场可视化各自消耗的 token 与预估成本。“谁、在哪个应用、花了多少钱”从一开始就一目了然。
这种“不被单一厂商绑定、自由选择模型”的思路，与介绍将多模型聚合为一个 API 的 Sakana Fugu 的文章，以及主流前沿模型对比的文章 一脉相通。
使用方法｜部署到你自己的 Cloudflare 账户
Cloudflare OS 为开源项目，发布在 GitHub 的 cloudflare/cloudflare-os。此外还提供了反映 Cloudflare 公司内部配置的示例 cloudflare-os-starter。
在本地运行
前提仅仅是安装了 pnpm。用下面一条命令即可在本地启动。
pnpm run-local
# → 在 http://localhost:8787 启动
若想把前端与后端分开开发，则用两个终端分别启动。
# 终端 1（服务端）
pnpm dev-server
# 终端 2（客户端）
pnpm dev-client
# → http://localhost:3000
本地运行时的数据保存在 .wrangler/ 目录下。
部署到你自己的 Cloudflare 账户
正式投产时，是把它承载到你自己的 Cloudflare 账户上。
- 向导式安装：从
https://os.cloudflare.app/deploy几分钟即可部署。 - Starter 仓库：若想连同 Gatekeeper 一起自行定制，则使用
cloudflare-os-starter。在此配置 Access 策略、AI Gateway 设置、数据与集成对象。
完全自托管（仅用 workerd 承载到自有服务器的路径）目前仍属实验性，文档据称仍在准备中。较现实的做法，是先部署到你自己的 Cloudflare 账户，或从本地运行开始。
此外，本仓库原则上不接受外部贡献（约 12 行以内、可轻易验证的 bug 修复 PR 除外）。较大的功能提案，欢迎经由 Discussion 提出。
配置 Gatekeeper（集成对象）
Gatekeeper 按集成对象分别提供了对应的包，各自配置 OAuth 等凭据后使用。发布时可用的主要集成对象如下。
| 类别 | 支持的集成对象（Gatekeeper） |
|---|---|
| 开发 | GitHub API、Cloudflare API、Supabase API |
| 文档／知识库 | Google API、Notion API、Confluence API |
| 沟通协作 | Slack API、Email（Email Workers） |
| 其他 | Home Assistant、Spotify、ZoomInfo API |
此外，它还支持 Model Context Protocol（MCP），可通过 MCP Server Portal 接入既有的 MCP 服务器。此时智能体收到的同样不是“原始凭据”，而是“已定义好的工具集”。各 Gatekeeper 包的 README 中都写有安装步骤。
Cloudflare OS 的价格｜能免费使用吗
Cloudflare OS 软件本身是开源的（Apache 2.0），不收取许可费用。你可以把它部署到自己的 Cloudflare 账户上自由使用。
不过，这并不意味着“完全零成本运行”。实际会产生的费用有以下两项。
- Cloudflare 的使用费：Workers、Durable Objects、AI Gateway 等，按实际运行量计的 Cloudflare 平台使用费。
- 模型的使用费：经由 AI Gateway 调用的各 AI 模型的 token 计费（用哪个模型由组织选择）。
换言之，其结构是“底座软件免费，运行所需的基础设施与 AI 的实际费用由自己承担”。如前所述，这部分 AI 成本可以按个人、团队、应用进行可视化并设定上限。
另外，可从 Cloudflare 控制台使用的全托管版本（无需自行运维的提供形态）为“即将推出”。截至本文撰写时（2026 年 8 月），全托管版本的价格尚未公布。面向开发工作流的 Containers 支持，以及向 Slack 等其他聊天工具的集成，也被列为未来计划。
与其他 AI 工作台的区别·为何值得关注
Cloudflare OS 与 ChatGPT Enterprise 或各类“内部 AI 助手”的最大区别在于，它是一个以“不信任（distrust）”为出发点的架构。
通用 AI 助手往往为了便利，而倾向于“把宽泛的权限一次性交出去”。相对地，Cloudflare OS 采取相反的思路：让智能体从零权限出发，通过 Gatekeeper 一项项地授予能力，并依据其所见来加以约束。其底层的问题意识是——“若要把自主智能体放进公司内部，安全与治理就不能是事后补丁。”
开源且自托管也是一大差异化。业务流程与内部集成不会被封闭在厂商的 SaaS 里，模型选择也自由——这与近年为规避对单一厂商依赖而出现的“AI 主权（AI sovereignty）”潮流相吻合。若说源自同一问题意识的 Sakana Fugu 是通过聚合“模型的供给”来确保主权的路径，那么 Cloudflare OS 则可以被归纳为把“智能体的执行环境”重新收归己有的路径。
关于 Cloudflare OS 的常见问题（FAQ）
Cloudflare OS 免费吗？
软件本身是开源的（Apache 2.0），不收许可费用。但在实际运行中，需要另行支付 Cloudflare 平台使用费，以及经由 AI Gateway 调用的模型 token 计费。更准确的理解是“底座免费，基础设施与 AI 的实际费用自理”。
非工程师也能用吗？
可以。它以可在浏览器中使用的聊天 UI 为核心，无需终端或开发知识。其设计目标，正是让非工程师能够自己完成调研、资料制作、业务自动化，乃至搭建简单应用。
可以使用哪些 AI 模型？
经由 Cloudflare AI Gateway，可使用组织自行选择的模型（Bring Your Own Model）。官方演示中选用了 Claude Opus 5、GPT 5.6 Sol、GLM 5.2、Kimi K2.7 等，可根据任务在轻量模型与前沿模型之间灵活切换。不存在对单一厂商的锁定。
Gatekeeper 是什么？
它是夹在 Cloudflare OS 与外部服务之间、按服务划分的 Cloudflare Worker。它不把原始凭据交给智能体，而是由 Gatekeeper 持有凭据，只暴露受限的 API。可实现“可读 Issue 但不可读源码”“隐藏特定字段”“创建 PR 须经人工审批”等细粒度控制。
可以自托管（本地部署）吗？
部署到你自己的 Cloudflare 账户是其基本提供形态。使用 workerd 的完全自托管也在规划之内，但目前仍属实验性，文档仍在准备中。无需自行运维的全托管版本为“即将推出”。
内部数据会泄露到外部吗？
Cloudflare OS 的设计前提是“所有智能体与应用都从零权限出发”。服务端代码运行在关闭了对外通信的环境中，触及外部仅限于显式授予的能力（capability）。此外，观测日志会限制读取过敏感数据的智能体向外发送或分享数据。
可以使用既有的 MCP 服务器吗？
可以。它支持 Model Context Protocol，可通过 MCP Server Portal 接入既有的 MCP 服务器。此时智能体收到的同样是已定义好的工具集，而非原始凭据。
总结
- Cloudflare OS 是 Cloudflare 于 2026 年 8 月 5 日开源发布的 AI 智能体工作台，可运行在你自己的 Cloudflare 账户之上（Apache 2.0）。
- 由三部分构成：智能体工作台（以公司上下文运行的聊天 UI）／Gadget（产出物直接变成小型自制应用）／Gatekeeper（按服务划分的安全连接层）。
- 安全以“从零权限出发”为原则。通过 Gatekeeper 一项项授予能力，并借助观测日志依据“所见”来约束操作。服务端代码关闭对外通信。
- “OS”不是比喻，而是设计思想：在 Workers／Durable Objects／Facet／Cap'n Web 之上，构建为内核（backend）、外壳（frontend）与驱动（gatekeeper）。
- AI 推理经由 AI Gateway。模型可自由选择，成本可按个人、团队、应用可视化并设定上限。
- 软件免费，但 Cloudflare 使用费与模型 token 计费由自己承担。全托管版本即将推出。
为了“把 AI 安全地放进公司内部”，Cloudflare OS 选择了零权限与开源自托管作为底座。不妨先用 pnpm run-local 在本地体验一下作为起点。