Cloudflare 最初為自己打造了 Cloudflare OS 的第一個版本。據執行長 Matthew Prince 撰文指出，該公司在五月份向其數千名員工開放了存取權限，工程部門以外的人員開始利用它起草文件、製作投影片，並自動化重複性工作。現在，Cloudflare 正在開源一個重建版本，任何組織都可以部署並連接到自己的內部系統。
「安全性必須是平台的一部分，而不是每個建構應用程式或使用代理程式的人都必須正確實施的。」該公司在其公告中表示。這才是真正的產品。
Cloudflare OS 結合了三個部分。首先，有一個代理程式工作區，它將每次對話都基於您公司精心策劃的上下文和技能，並帶有一個隔離式執行環境，代理程式可以在其中編寫和運行程式碼。還有一個安全與治理框架，這是此版本的新增功能，位於代理程式和您的記錄系統之間。最後，還有一個用於個人化、可修改應用程式的層，它允許工作區將聊天轉換為文件、工作流程或小型全端應用程式。
Cloudflare 的資訊長 Sam Rhea 闡述了該公司如何在這次代理程式驅動的實驗中處理安全性問題：向個人和代理程式發放 API 金鑰既危險又難以擴展，因為金鑰提供了廣泛、長期存取權限，難以限制或稽核。相反地，代理程式一開始沒有任何存取權限。因此，它們會請求特定的資源，然後由一個「守門人」(Gatekeeper) — 一個特定服務的 Cloudflare Worker — 進行居中協調。憑證從不接觸代理程式或其程式碼。
這比單純的 MCP 模型更簡潔。模型上下文協定 (Model Context Protocol) 告訴代理程式它可以呼叫哪些工具，但不會告訴它實際看過哪些底層資源。Cloudflare OS 會記錄每一次觀察，並在個人開啟工作區或查看代理程式產生的內容之前，檢查其存取權限。
代理程式所建構的每個應用程式都是一個真正的 Cloudflare Worker，運行在該公司為此專案開發的動態 Worker 和持久對象分面 (Durable Object Facets) 上，並透過 Cap'n Web — 其開源物件能力遠端程序呼叫 (RPC) 系統 — 與客戶端進行通訊。該文章指出：「如果您能自己建立工具來完成某項工作，那麼當您不在場時，代理程式就可以使用您的工具來完成該工作。」
這是一個強大的願景，但有些用戶可能仍然持懷疑態度：Cloudflare OS 是一個 Cloudflare 產品，因此它出售給您運行的代理程式、應用程式和治理功能都存在於 Cloudflare 的邊緣網路中。開源中的「開源」讓您獲得了程式碼；但執行環境仍然由一個中央實體控制。
