Cloudflare の解決策：エージェントに「専用コンピューター」を

発想はこうです。エージェントにずっしりしたコンテナを直接与えるのではなく、抽象化された「コンピューター」を与える。クラウド上に存在するファイルシステムと、そのファイルを操作できる複数の実行環境。この「コンピューター」は、3つの要素で成り立っています。

2種類の「働き手」を組み合わせる

この流れに沿って、Cloudflare はアーキテクチャ進化の図を描いています。左は年初のやり方で、エージェント、設定・秘密鍵、ツールがすべてコンテナ内にあります。真ん中は今日の姿で、ループを回す層が隔離領域に移り、設定とツールはまだコンテナに残っています。右が目指す先で、設定とツールも隔離領域に移り、コンテナにはどうしても必要な重い処理だけが残ります。

3段の進化図：BEFORE は全てコンテナ内、TODAY はループ層が隔離領域へ、NEXT は設定・秘密鍵・ツールまで移り、コンテナは重い処理のみ。右端の欄は Cloudflare の今後の計画であり、現状ではありません。出典：Cloudflare

隔離領域に Linux はない。それなのにどうやって動くのか

これこそ、この提案全体で最も見落とされがちで、最も価値のある層です。隔離領域でシェルが動くのは、「just-bash」と呼ばれるもののおかげです。

just-bash は Vercel Labs が公開しているオープンソースプロジェクトで、bash の構文と約80個の unix コマンドを、純粋な JavaScript で再実装したものです。grep（複数ファイルからのキーワード検索）、sed（ルールに基づく一括テキスト置換）、awk、jq、sort、find、tar、diff、sqlite3——それぞれがバイナリプログラムではなく、1つの JavaScript 関数です。パイプ、リダイレクト、&&、変数、ワイルドカード、if、for、while、ユーザー定義関数も実装されています。

これこそが、隔離領域に収まる根本的な理由です。プロセスがなく、fork もなく、カーネルもない。あるのは、互いに文字列を渡し合う JavaScript 関数の集まりだけです。

その代償は、非常に硬い境界線です。Cloudflare のこのパッケージのソースを見ると、デフォルトのシェル環境では just-bash の3つの機能が明確に無効化されています。Python、JavaScript 実行、ネットワークです。前の2つは無効化というより「できない」に近い。それらは node:worker_threads に依存していますが、Cloudflare のランタイムはこのモジュールをサポートしておらず、インストールできないからです。ネットワークが無効というのは、curl が隔離領域には存在しない、ということです。

では git clone はどうやって成功するのでしょうか？隔離領域のシェル自体にはネットワークがないため、git は偽コマンドです。これはホスト側の Durable Object に処理を委譲し、ホストが実際のネットワークリクエストを送信します。取得したファイルは共有ファイルシステムに直接書き込まれます。隔離領域は最初から最後までネットワークに一切触れません。

エージェントが実行環境を自ら選ぶ

エージェントはコマンドを叩くたびに、この境界線を判断しています。

最先端モデルはこの判断が非常に得意で、本当に必要な時だけコンテナにフォールバックします。モデルに渡すツールの説明には、コンテナ側に「完全な Linux ユーザー空間：npm、node、パッケージマネージャー、テストフレームワーク、および $PATH 上の実バイナリがあります」と明記され、それに従って選択できるようになっています。

実際の実行記録を見てみましょう。ユーザーがエージェントに cloudflare/computer リポジトリの依存関係を更新するよう依頼した場面です。インターフェース上の各コマンドの横には、それがどこで実行されたかを示すラベルが付いています。

実際の対話記録。git clone には ISOLATE・GIT、ls には ISOLATE と表示。read は 0 ミリ秒、webfetch は 216 ミリ秒、apply_patch は 0 ミリ秒。一連の作業の中でコンテナを使用したのは npm install のみで、665 個のパッケージのインストールに 56 秒かかった。出典：Cloudflare

一連の作業のうち、本当に Linux が必要だったのはパッケージインストールの1ステップだけ。それだけで 56 秒を消費し、残りはすべてミリ秒級だった。

二、共有ファイルシステム

ファイル自体は、Durable Object が持つ SQLite に保存されます。そこが唯一の原本です。エージェントが隔離領域で操作しようと、コンテナで操作しようと、見ているのはこの1つだけ。コピーを持ち歩く必要も、それぞれで初期化し直す必要もありません。

しかし、そこに到達する経路は、両者でまったく異なります。

FUSE マウント：「実際にはディスクではないもの」を、通常のプログラムがディスクのディレクトリとして使えるようにする仕組み。コンテナ内のプログラムは通常のファイルを読んでいるつもりでも、実際の読み書きはすべて遠隔の Durable Object に転送されます。

なぜブロックに分割してハッシュを計算するのでしょうか？そうすることで、Durable Object は変更されたブロックだけを同期すればよくなり、同じ内容は自動的に重複排除されるからです。その代償は、スループットに直接現れます。

この構造を図にすると、次のようになります。

全景：仮想ファイルシステムと実行ランタイムは、同じ Durable Object 上に共存する。ファイルはクラウドストレージ、コードリポジトリ、アーカイブなどの外部ソースから取り込める。出典：Cloudflare

この図は非対称性を最も明確に示しています。コンテナ側にはファイルシステムのコピーがあり、push / pull で原本と同期。隔離領域側には薄い変換層があるだけで、binding 経由で原本を直接読み書きします。図の右側には「a small computed binary」とありますが、リポジトリの記述から computerd デーモンの誤記と判断しました。出典：Cloudflare

公式チュートリアルの例は、この役割分担がどれほど省力化になるかを最もよく示しています。あなたが料理名を POST すると、エージェントがレシピサイトで作り方を見つけ、ホスト側で card.md を書き、コンテナ内で pandoc card.md -o card.pdf を実行して PDF に変換し、最後に R2 にアップロードして1日有効なリンクを返します。Markdown を書くのは純粋なファイル操作なので、ホスト側で完結し、コンテナを起動する必要はありません。pandoc は実バイナリなので、コンテナに入らなければなりません。コンテナはマウントを通じて同じ /workspace を見るため、書き込まれたばかりのファイルを読み取ることができ、生成された PDF も戻ってきます。

この設計の代償：小さいファイルは速く、大きいファイルは遅い

Cloudflare は FUSE マウントポイントとコンテナ自身の ext4 ディスクで対照テストを実施しました。環境は standard-2 コンテナインスタンス：1 vCPU、6 GiB メモリ、12 GB ディスクです。

結果は2種類の作業で分かれました。ファイル数が多くて1つ1つが小さい作業は、実ディスクより速い。大きなファイルの順次読み書きは、見苦しいほど遅い。

バーの長さは所要時間の倍率に基づく。緑はコンテナの実ディスクより速いもの、オレンジは遅いもの。倍率が1未満なら速いことを意味する。

速い半分には明確な理由があります。ファイルインデックスがメモリ上にあるため、「ディレクトリを探す、状態を確認する、小さいファイルを削除する」といった操作では、実ディスクのシーク（シーク: 読み書き位置を探す動作）コストが省けます。遅い半分の理由も明確で、上記のブロック分割・ハッシュ計算という長い経路のせいです。書き込みのたびに再計算が必要になり、dd のような生のスループットでは結果が見苦しくなります。

三、制御とセキュリティ

エージェントによるすべての操作には、ゲート、監査、可観測性が備わっています。分解すると、次のようになります。

この説明には2つの注意点があります。どちらも知ってから使うのがよいでしょう。

1点目、そのパスチェックはセキュリティ境界ではありません。「ルート以下に解決する」というアトミックな操作ではないため、単一の隔離領域の能力を使って、より高い権限を持つ別の主体がパスを並行して置き換える攻撃に対抗することはできません。そうした敵対的な並行処理を防ぐには、将来のトランザクショナルな基盤を待つか、両側に独立したワークスペース ID を使うしかありません。

2点目、「記録」は3種類のバックエンドで一貫していません。隔離領域 JavaScript の方は、ワークスペースデータベースに実行ログを残し、イベントと結果は明示的にクリーンアップするまで保持されます。一方、隔離領域シェルは、このバージョンではリクエストをまたぐイベントを明確に保持せず、ID による再接続もできません。監督者的なプロセス動作が必要なら、公式にはコンテナ側を使うことが推奨されています。

さらに、実行が失敗またはキャンセルされた場合、すでにディスクに書き込まれたファイルの変更はロールバックされません。

導入方法（開発者視点）

インストールと接続

パッケージ自体は MIT ライセンスの無料オープンソースで、npm install @cloudflare/computer でインストールできます。現在のバージョンは 0.1.1、7月29日に npm へ初めてアップロードされました。

インストール後、ワークスペースは任意の Durable Object に接続できます。Cloudflare 自身のエージェントフレームワーク @cloudflare/think を使えば、さらに短いコードで接続できます。これには AI SDK 互換のツールセットが同梱されており、エージェントに read、write、edit、ls、exec という基本ツールをすぐに提供します。このうち exec には backend パラメータがあり、これが先ほど説明した選択ラインです。

すぐ使えるランタイムは3種類

Cloudflare のブログでは2種類と書かれていますが、リポジトリの README と npm パッケージのエントリポイントはどちらも3種類です。

3つ目は Code Mode のアイデアの具現化です。モデルにシェルコマンドを1つずつ叩かせるのではなく、コードを直接書かせるのです。

かかる費用

パッケージは無料ですが、実際に動かそうとすると無料プランでは門前払いです。

ローカル開発には Docker のインストールも必要です。wrangler がローカルでコンテナイメージをビルドするからです。実行可能なサンプルが8個付属しており、その1つは空のディレクトリから始めるステップバイステップのチュートリアルで、先ほどのレシピを PDF に変換する例です。

まだ本番投入はできない

これは今のところ、実験・探索・プロトタイプ専用です。本番環境には適していません。API は不安定で、設計はいつでも変更されます。あの設計仕様書も将来を見据えたもので、意図を書いたものであって、コードの現状ではありません。3つのハードな制限があります。

価値とまとめ

具体的なシナリオとして、Cloudflare は社内で既に、隔離領域だけで一連の作業を完結させたエージェントがあると述べています。最新のツールチェーンを使った JavaScript アプリのビルド・テスト・デプロイ、顧客ごとのカスタムドキュメント生成、ブラウザを使った複雑なタスクの実行などです。これらは以前はすべてコンテナを起動する必要がありました。

一言でまとめると：エージェントがほとんどの場合、超軽量の省コストモードで作業し、難しい問題に直面した時だけヘビーモードに切り替える。これにより、大規模なエージェント実行が高速かつ経済的になる。

今日、これはまだ 0.1.1 のプレビュー版であり、本番投入はできません。しかし、「エージェントが実際に必要とする計算資源はどれほどか」という計算を、見苦しい数字まで含めて公然と示しました。

鍵を握るのは、just-bash というオープンソースプロジェクト（Vercel Labs 製）です。bash の構文と約80個の unix コマンドを、純粋な JavaScript で再実装しています。grep（キーワード検索）、sed（一括テキスト置換）、jq、find、tar。それぞれが起動するプログラムではなく、1つの JavaScript 関数になりました。プロセスもカーネルもなく、ただ関数が互いに文字列を渡し合うだけ。これが隔離領域に収まる根本的な理由であり、同時に npm や Python が動かない理由でもあります。

ファイル自体は Durable Object（Cloudflare 上で、SQLite データベースを内蔵し、再起動してもデータが消えない長期オブジェクト）に保存されます。そこが唯一の原本です。隔離領域もコンテナも、変更するのはこの1つですが、そこへの到達経路はまったく異なります。

Cloudflare は FUSE マウントポイントとコンテナ自身の実ディスクで対照テストを実施しました。結果は2種類の作業で分かれました。同じマウントポイントで、ディレクトリ走査は実ディスクより速く、大容量ファイルのコピーは41倍遅い。

速い遅いの分かれ目はここにあります。ディレクトリ走査、状態確認、小ファイル削除といった操作は、ファイルインデックスがメモリ上にあるため、実ディスクのシークコストが省けます。一方、大容量ファイルの順次読み書きは、ブロック分割とハッシュ計算を延々と繰り返すため、生のスループットで見苦しい結果になります。Cloudflare の説明では、前者こそが日常の開発で実際に時間を費やす部分だということです。

パッケージは既にインストール可能です。npm install @cloudflare/computer。MIT ライセンスの無料オープンソースで、現在のバージョンは 0.1.1。ただし、リポジトリ自身が PREVIEW ONLY と明記しています。