2026年8月5日，Cloudflare开源了它称之为“Cloudflare OS”的AI代理工作空间。它构建在Workers、Durable Objects和基于能力的权限模型Gatekeepers之上。尽管名字里有“OS”，它并不是操作系统，而是一个沙盒环境：非技术用户可以让AI代理构建小型应用（Gadgets），通过受控接口连接外部服务，并把结果分享成可复制的模板（Blueprints）。

这篇文章不是评测，而是一次架构对比。我运行的生产技术栈正在用不同的原语解决类似问题——SQLite FTS5、Cloudflare Tunnel、vLLM、Tailscale SSH——因此我想弄清楚：Cloudflare OS到底增加了什么、牺牲了什么，以及哪些人需要它、哪些人不需要它。

Cloudflare OS解决了什么？这个产品的核心论点集中在一个组件上：Gatekeeper。Gadgets、Blueprints、Durable Objects、实时多人协作都有用，但都不算新。真正的新想法是：当AI代理代表你行动时，它不应该对环境拥有任何常驻访问权。每个代理通过Gatekeeper被逐个介绍给特定资源；Gatekeeper记录每一次操作，并能在提交前模拟结果。

这是对--dangerously-skip-permissions的直接回应。当Claude Code问你“允许这次工具调用吗？”而你因为点烦了选择“总是允许”时，你等于把文件系统、环境变量和SSH凭据的钥匙都交给了代理。Cloudflare OS的答案是：不要交出钥匙，在中间放一个代理。

其他所有东西——Gadget沙盒、Blueprint分享、Gadget客户端和服务端必须使用的Cap'n Web RPC——都是为了让Gatekeeper模型落地而建的基础设施。没有沙盒，Gadget就可能绕过Gatekeeper；没有Blueprint，每个用户都需要工程师来配置自己的Gadget。安全层决定了一切能否真正可用。