擬似成功：人が承認する前に、システムは先に Agent へ「完了した」と騙す

この方法は、Gatekeeper 開発者向けのインターフェース仕様書にこう記されています：

門番は、まだ承認されていないアクションを「シミュレート」することが推奨されます。つまり、Session インターフェースは、すべてのアクションが適用済みであるかのように、リソースの状態を反映する必要があります。

It is suggested that the gatekeeper "simulate" actions that have not been approved yet, that is, the Session interface should reflect the state of the resource as if all actions had been applied.

cloudflare/cloudflare-os · gatekeeper.ts

一つ明確にしておきたいのは、シミュレーションは必須ではないということ。実行するかどうかは、各 Gatekeeper の作成者が自分で決めます。本当に侵すことのできないレッドラインは別の3つ。すべての操作は承認キューに入れること、読み取りは必ず認可を通過すること、副作用のあるアクションは承認前に絶対に実行してはならないこと。「擬似成功」は、Agent を停止させないための任意の最適化に過ぎません。

サンドボックス分離：ドキュメントごとに個室、コードを壊しても他の人には影響なし

Cloudflare OS の主導者であり Cloudflare Workers の作者でもある Kenton Varda 氏は、公開当日にこう語っています。サンドボックスは安全で、何をしても大丈夫。AI が重大なセキュリティホールを導入することは不可能。企業のセキュリティチームは、技術に詳しくない同僚が vibe coding しても安心して眠れる、と。

この「ドキュメントごとに分離インスタンス」という発想は、Kenton 氏が10年前に創業したスタートアップ Sandstorm が由来です。当時は実現しませんでした。その理由は二つ言われています。一つは高すぎたこと。当時は分離にコンテナを使うしかなく、インスタンスを一つ起動するコストが今よりはるかに大きかった。もう一つは Kenton 氏自身が挙げる理由。世界がまだ準備できていなかった。自分のソフトウェアを変更できる能力や忍耐力を持った人が十分にいなかった。この二つが揃って初めて説明がつきます。技術的に安くなり、同時に使える人もようやく現れたのです。

どれだけ安くなったか。公式発表の数字はこうです：

isolate は V8 エンジン（Chrome が Web ページ表示に使用）が生成する軽量な実行環境です。分析記事ではコンテナの「コールドスタートに数秒」としており、公式の数字より一桁誇張されています。当サイトは公式の数字を採用しました。

鍵の剥奪：Agent は鍵を一切持てず、決められたメソッドだけを呼び出せる

この「メソッドだけ与えて鍵は渡さない」という方法には、オブジェクト能力モデル（object-capability）という正式な名前があり、セキュリティコミュニティで数十年研究されてきた古い考え方です。

データ出所の追跡：システムは Agent が読んだものを記録し、共有前に相手のアクセス権を確認

緊急ブロック（ロックダウンモード）：あまりに機密性が高く、既存のルールで細かく管理方法を記述できないデータには、「一切の共有を禁止」というフラグを付けることができます。gadget がこのようなデータを一度でも読むと、即座にロックダウンモードへ。読み取りは継続できますが、以降はどの門番を通しても一切のアクションができなくなり、漏洩経路を完全に遮断します。コードのコメントでも、これは一時的な措置であり、将来的にはより細かいルールに置き換えると認められています。

ちなみに、プロンプトインジェクションはこのアーキテクチャでもまだ解決していません。ソースコードの ToDo リストには、やりたくてもやれていないことが2つ記載されています。読み取りの中にインジェクション攻撃を仕込む可能性のある自由文が含まれていないかを判断することと、誰がこれらのコンテンツに書き込んだかを特定することです。

人間の貢献者も信用しない：外部からのコード提出は数十行を超えると、すぐにクローズ

レビューされていない貢献は、信頼できない入力です。それが不注意な人間によって書かれたのか、自信過剰なモデルによって書かれたのかは、ほとんど重要ではありません。システムの AI に対する不信感は、こうして人間の貢献者への不信感へと延長されたのです。

この設計の代償：管理を強くすればするほど、AI ができる仕事は減る

前述の5つの仕組みはどれも賢い。しかし、共通の代償があります：AI を厳しく管理すればするほど、AI ができる仕事は減る。具体的には2つのことです。

第一に、Agent が鍵を永遠に手にできないということは、鍵が必要な仕事を永遠にできないということ。例えば、サービスの更新を自分で行う、誰も事前にアクセスを許可していないインターフェースを呼び出す、といったことは不可能です。システム設計上、その能力は与えられていません。Agent は、事前に囲われた範囲内でしか活動できないのです。範囲外のことは、結局人がやらなければなりません。

第二に、書き込み操作は常に人の承認が必要であり、つまり人は永遠にこのプロセスから離れられない。この設計により、すべてのステップを監視する必要はなくなりました。しかし、保留されたバッチは結局あなたが確認し、承認する必要があります。Agent が本来解決すべきだったのは、「人が常に監視しなくてよい」ということ。巡り巡って、人はまだプロセスの中にいます。ただ、「すべてのステップにいる」ことから「最後のステップに必ずいる」ことへ変わっただけです。

このトレードオフを一言で言い表すと、Agent を繋ぎ止めて事故を防ぐロープは、同時に Agent が遠くまで動くのを妨げるロープでもある。最大の自律性と最大の安全性を同時に求めることはできません。Cloudflare は安全を選び、そして非常に固く選びました。彼らが賭けているのは、繋がれていても、会社で使えると信頼できる Agent の方が、自由だが、デプロイを躊躇する Agent よりも価値がある、ということです。

もう一つの矛盾：誰も信じないのに、自分自身だけは信じている

このシステムの論理は「誰も信じない」です。AI も、ユーザーが書いたコードも、外部のプログラマーも信じません。

しかし、一つだけ例外があります。それは Cloudflare 自身です。

なぜなら、分離、承認、記録に使われている技術（Workers、Durable Objects など）は、すべて Cloudflare 社製のものだからです。中には、このプロジェクトのために特別に作られたものもあり、他には存在しません。つまり、この「誰も信じない」システムは、その土台において「Cloudflare を信じなければならない」としているのです。

幸い、全体がオープンソースで、同じくオープンソースの workerd ランタイム上で動作するため、理論上は自社サーバーに移設可能です。この点は、ほとんどの類似製品より優れています。しかし、使う限りは、この前提を受け入れる必要があります。

最後に：作った人々でさえ、Agent をどう定義すべきかまだ考えあぐねている

リポジトリには、Cloudflare OS の各コンポーネントを従来のオペレーティングシステムに対応させた表があります。カーネルは何に対応するか、ドライバは何に対応するか、プロセスは何に対応するか。最初の数行はすべて対応しますが、最後の行だけは空欄で、疑問符が3つ書かれています。

疑問符の行が意味するのは：従来のオペレーティングシステムには、「AI エージェント」というものが存在しないということ。

それは普通のユーザーではありません。ユーザーの権限は事前に決められていますが、Agent は特定の個人に対して責任を負い、権限はいつでも調整できる必要があります。それは普通のプログラムでもありません。プログラムのコードは事前に書き込まれていますが、Agent はその場で書き、その場で実行されます。

Cloudflare が示す答えは、この種のものに最も適した管理方法は、従来の「どのグループに属し、どの権限を持つか」というリストではなく、「あなたが許可した特定の数つのことだけを実行できる」というもの（前述の能力モデル）だということです。

しかし、彼らもこの行を埋めてはいません。これは新しい種であり、作った人々でさえ、どう定義すべきかまだ考えあぐねているのです。

Agent が影響のある行動（コードマージ、メール送信、本番システムへのデータ書き込みなど）を行おうとする場合、必ず「門番」（Gatekeeper）と呼ばれる小さなサービスを経由します。人間の承認前に、門番は嘘をつきます。

限定事項を明確に：シミュレーションは必須ではなく、実行するかどうかは各門番の作成者が決めます。本当に侵せないレッドラインは別の一つ。副作用のあるアクションは承認前に絶対に実行しないことです。

残り4つの仕組みはそれぞれ異なる部分を担当し、合わせると同じ一文から導かれる4つの結論になります。小互と一緒に四半期報告書を作成しながら見ていきましょう：

サンドボックス手法は10年前に試みた人がいました。Kenton Varda 氏のスタートアップ Sandstorm です。当時はコンテナで分離するしかなく、高すぎて実現しませんでした。今はこれだけ安くなりました：

この3つの数字は Cloudflare の Dynamic Workers 技術ブログによるもので、第三者による再現はまだありません。分析記事ではコンテナを「コールドスタートに数秒」としており、一桁異なるため、当サイトでは採用していません。

5つの鍵をすべて付けた後、Agent の手元に残るもの：