Was Cloudflare OS ist und was nicht
Cloudflare hat eine intern entwickelte Plattform namens Cloudflare OS als Open Source freigegeben. Der Quellcode steht ab sofort auf GitHub bereit. Trotz des Namens handelt es sich nicht um ein Betriebssystem für Rechner, sondern um eine browserbasierte Arbeitsumgebung, in der Daten, KI-Agenten, Anwendungen und interne Systeme kontrolliert zusammenkommen.
Der Einstieg sieht aus wie bei jedem Chatbot: ein Eingabefeld im Browser. Der Unterschied liegt darunter. Jede Unterhaltung greift auf den vom Unternehmen gepflegten Kontext zurück, also auf Fachbegriffe, Abläufe und Vorgehensweisen, die als Anweisungen für Agenten hinterlegt sind. Wer eine bessere Arbeitsweise für eine wiederkehrende Aufgabe gefunden hat, stellt sie allen zur Verfügung.
Cloudflare hat die erste Version im Mai dieses Jahres an die eigene Belegschaft ausgerollt. Nach Angaben des Unternehmens nutzen sie mittlerweile mehrere tausend Beschäftigte täglich, viele davon außerhalb der Technikabteilungen, etwa zum Erstellen von Dokumenten, zum Automatisieren wiederkehrender Aufgaben und zum Bauen kleiner Anwendungen für die Datenauswertung.
Drei Bausteine
Konzeptionell besteht die Plattform aus drei Teilen. Erstens den Agenten-Workspaces: voneinander isolierte Arbeitsbereiche mit dauerhaftem Zustand, abgelegten Dateien, definierten Zugriffsrechten und einer abgeschotteten Laufzeitumgebung, in der ein Agent Code schreiben und ausführen kann. Zweitens ein Sicherheits- und Governance-Rahmen. Drittens eine Plattform für persönliche, veränderbare Mini-Anwendungen, die sich mit Kollegen teilen lassen.
Ein AI Gateway sitzt vor den Sprachmodellen. Es kennt die Identität des Nutzers, leitet Anfragen an ein passendes Modell weiter und setzt dabei Tokenbudgets und Rate-Limits durch. Die Plattform ist modellunabhängig ausgelegt. Welche Anbieter direkt nach der Installation unterstützt werden, geht aus der Ankündigung nicht hervor.
Ergebnisse müssen keine statischen Dateien sein. Ein Bericht oder ein Dashboard kann mit der Datenquelle verbunden bleiben und sich aktualisieren, wenn sich die zugrunde liegenden Informationen ändern. Reicht ein Dokument nicht aus, baut der Agent eine kleine Anwendung mit eigener Oberfläche.
Zero Trust für Agenten
Der interessanteste Teil ist das Berechtigungsmodell. Agenten starten grundsätzlich ohne jeden Zugriff auf interne Systeme. Verbindungen nach außen laufen über sogenannte Gatekeeper, also dienstspezifische Worker, die etwa den Zugang zu GitHub vermitteln und dabei nur minimale, ausdrücklich genehmigte Rechte durchreichen.
Cloudflare beschreibt in der Ankündigung, warum das nötig wurde. In der ersten Version zeigte der Zugriff auf einen MCP-Server zwar, welche Werkzeuge ein Agent aufrufen darf, aber nicht, welche Daten er dabei tatsächlich gesehen hat. Sobald Mitarbeiter anfingen, Arbeitsbereiche und Ergebnisse zu teilen, wurde das zum Problem. Der MCP-Standard für die Anbindung von Werkzeugen an Sprachmodelle löst diese Frage nicht von sich aus.
Die Antwort ist ein Beobachtungsprotokoll. Es erfasst, welche Daten ein Agent eingesehen hat, und überträgt die zugehörigen Berechtigungsprüfungen automatisch auf alles, was daraus entsteht: Berichte, Apps, Dashboards. Ein Mitarbeiter kann über seinen Agenten also nicht an Daten kommen, die ihm selbst verwehrt sind. Und geteilte Ergebnisse geben nichts preis, was der Empfänger nicht sehen dürfte.
Sicherheit müsse Teil der Plattform sein und nicht etwas, das jeder Nutzer beim Bau einer App korrekt selbst umsetzen muss, so die sinngemäße Begründung von Cloudflare für den Neubau des Fundaments.
Jede erstellte Anwendung läuft serverseitig als isolierter Dynamic Worker auf Basis von V8-Isolates, also leichtgewichtigen Sandkästen der JavaScript-Engine, mit einer eigenen SQLite-Datenbank. Geteilt wird entweder direkt mit gemeinsamem Zustand oder als Blueprint, also als reine Code-Vorlage ohne Daten und ohne Zugangsdaten.
Weniger Token, weniger Zufall
Zwei Punkte zielen direkt auf die Betriebskosten. Weil der Unternehmenskontext in der Plattform liegt, muss er nicht bei jeder Anfrage erneut in den Prompt geschrieben werden. Das senkt den Tokenverbrauch spürbar, gerade bei wiederkehrenden Aufgaben.
Dazu kommen weitgehend deterministische Workflows. Vorhersagbare Schritte laufen als fester Code, das Sprachmodell kommt nur dort ins Spiel, wo tatsächlich eine Bewertung nötig ist. In der ersten Version musste für jede Wiederholung einer im Grunde festen Aufgabe erneut ein Agent laufen und Tokens verbrauchen.
| Bereich | Ansatz in Cloudflare OS |
|---|---|
| Modellwahl | modellunabhängig, Routing über AI Gateway |
| Kostenkontrolle | Tokenbudgets und Rate-Limits pro Identität |
| Zugriffsrechte | Start ohne Rechte, Vergabe über Gatekeeper |
| Nachvollziehbarkeit | Beobachtungsprotokoll über eingesehene Daten |
| Ausführung | isolierte Dynamic Workers mit eigener SQLite-DB |
| Bereitstellung | Open Source auf GitHub, selbst betreibbar |
Einordnung für Unternehmen
Der übliche Weg zu KI-Agenten im Unternehmen führt derzeit über Abos, die pro Nutzerplatz abgerechnet werden. Bei einer breiten Ausrollung an die gesamte Belegschaft summiert sich das schnell, und der Anbieter bestimmt Funktionsumfang, Modellwahl und Datenfluss. Cloudflare OS ist eine Gegenbewegung dazu: Der Code liegt offen, die Plattform lässt sich an interne Systeme anbinden und die Oberflächen sind anpassbar.
Für den DACH-Raum ist vor allem das Berechtigungsmodell relevant. Ein Protokoll darüber, welche Daten ein Agent gesehen hat, und die automatische Weitergabe der Zugriffsregeln auf erzeugte Ergebnisse erleichtern die Argumentation gegenüber Datenschutzbeauftragten erheblich. Einen expliziten Europa-Bezug nennt Cloudflare allerdings nicht.
Offen bleiben zwei praktische Fragen. Unter welcher konkreten Open-Source-Lizenz das Projekt steht, ist nicht angegeben. Und welche Cloudflare-Infrastruktur für den Betrieb nötig ist, etwa in welchem Umfang kostenpflichtige Dienste vorausgesetzt werden, wird ebenfalls nicht ausgeführt. Da die Architektur auf Workern und V8-Isolates aufsetzt, liegt eine gewisse Bindung an die Plattform des Anbieters nahe, auch wenn der Code offen ist. Wer Herstellerabhängigkeit vermeiden will, sollte diesen Punkt vor einem Pilotprojekt klären.
Cloudflare betreibt KI-Agenten inzwischen an mehreren Stellen produktiv, unter anderem hat das Unternehmen Security-Werkzeuge durch eigene KI-Agenten ersetzt. Cloudflare OS reiht sich in eine Reihe von Ansätzen ein, die Agenten aus dem reinen Chatfenster in echte Arbeitsprozesse holen. Vergleichbares versucht Anthropic mit Cowork auf lokalen Dateien, während AWS das Bauen kleiner Anwendungen in die Private Cloud der Kunden holt. Der Unterschied bei Cloudflare OS: Es ist quelloffen und damit prüfbar.