#cloudflare

この記事を読んでまず思ったのは、やっと本丸に手が入ってきた、という感覚だった。AI を業務に入れる話はずっと「読むだけ」なら比較的安心で、問題はいつもその先だったからだ。チケットを更新する、GitHub に手を入れる、SaaS に書き込む。そこに来ると、ただ便利という話では済まなくなる。 面白いのは、Cloudflare がここで MCP server 自体をいじるのではなく、手前に WriteGuard という共通の層を置こうとしている点だと思う。個別のサーバーに安全機能を埋め込むと、どうしても実装がばらつくし、後から増える Jira だの wiki だの Google Workspace だので同じことを繰り返す羽目になる。中央でポリシーを見て、危険度ごとに通すか止めるかを決めるほうが、現実の運用には合っている。セキュリティって、理想論より「各チームに同じことを二度書かせない」ほうが効くことが多い。 もう一つ引っかかったのは、agent 専用アカウントを増やさず、既存の OAuth 資格情報に MCP client や session の文脈を足して追跡する、という設計だ。管理の重

読んでまず思ったのは、Cloudflareらしいな、でも本丸はそこじゃないな、ということだった。 こういう「ワンタップで使えるようにしました」という話は派手に見えるけれど、実際には面倒な下ごしらえを一段減らしただけで、何を公開するか、どう安全に運ぶか、どう使われたかを見届けるかは別問題のまま残る。この記事はその線引きをかなりはっきり書いていて、そこが好感だった。 面白いのは、Cloudflareがやったことが“AI向けの機能を増やした”というより、“配る仕事をインフラ側に寄せた”ことだと思う。HTMLに bridge を差し込んで、browser 側で WebMCP をつなぐ。要するに、各サイト運営者が毎回同じ接着剤を貼らなくてよくなる。これは地味だけれど、レガシーなサイトが多い世界ではかなり効くはずだ。こういう「面倒だけど避けられない部分」を押し下げるのは、インフラ企業の強みがそのまま出るところだと思う。 ただ、記事がちゃんと釘を刺しているように、これでサイトが“agent-ready”になるわけではない。ここを読み飛ばすと危ない。 商品検索や予約、購入みたいな「実際に何かをする」動

Cloudflareが、AIエージェント向けに Temporary Cloudflare Accounts を提供し始めました。ざっくり言うと、AIが「コードを書いたあと、すぐにデプロイまで進みたい」ときに、人間向けの面倒な登録作業を飛ばせる仕組みです。 これ、地味に見えてかなり大きいです。AIはコードを書くのは得意でも、そのあとに出てくる「ブラウザでログインして」「OAuthを通して」「API tokenをコピペして」「2段階認証を入れて」みたいな壁で止まりがちでした。Cloudflareはその壁を、かなり正面から壊しにきた、という印象です。 AIエージェントが、Cloudflareにすぐデプロイできるようになった `wrangler deploy --temporary` で、60分だけ使える仮アカウントを作れる その場でデプロイして、結果を確認し、何度でも修正できる 気に入ったら、あとからその仮アカウントを自分の正式なアカウントとして引き取れる 何もしなければ60分で自動削除される CloudflareはStripeやWorkOSとも組んで、エージェントの「登録の面倒」を

Cloudflareが、self-managed OAuth をすべての開発者に開放しました。 これ、地味に見えてかなり大きなニュースです。というのも、OAuthは「外部アプリに、どこまで何を許可するか」を安全に扱うための仕組みで、SaaS連携や社内ツール、いま流行りのagentic toolまで、あちこちで土台になっているからです。 Cloudflareは自社のAPIを使って自動化やCI/CD、各種連携を作れる強いプラットフォームですが、これまでは第三者向けのOAuthは一部の手動オンボーディング済み統合に限られていました。 つまり、誰でも自由に「Cloudflare用のOAuthアプリ」を作れる状態ではなかったわけです。 その制限が外れた。ここが本題です。 CloudflareのOAuthが、限られた提携先だけでなくすべての開発者に開放された API token中心の運用よりも、権限を細かく分けやすく、取り消しもしやすい その裏側では、OAuthエンジンの大規模アップグレードをかなり慎重にやっていた データベース移行は派手。1億件超の更新・挿入が走っ

CloudflareのTurnstileが、一部のブラウザで無限ループして先に進めなくなった 原因は、WebGLの情報を使った fingerprinting（端末の識別）を要求していること 筆者はこれを、「人間かどうかの確認」ではなく、実質的な追跡のためだと批判している WebKit系ブラウザではこの種の fingerprinting が長くブロックされており、その結果 WebKitGTK 系ブラウザが締め出される形になっている Firefoxでも、fingerprinting 防止の設定まわりに微妙なズレがあると指摘されている この記事が扱っているのは、Cloudflareの Turnstile という仕組みです。 これはサイト側が「あなたは人間ですか？」を確認するための device verification、つまりボット対策の一種です。 ただ、筆者の環境ではこの Turnstile がずっと回り続けて終わらない状態になってしまい、結果としていくつものWebサイトにアクセスできなくなったそうです。 これ、地味にかなり痛

Cloudflareは、セキュリティ用途のLLMを自社インフラ上の実コードに当てて検証している Anthropicの Mythos Preview は、単にバグを見つけるだけでなく、複数の弱点をつないで実際に悪用できる形にするのが強い PoC（proof of concept） まで作るので、「怪しい」ではなく「本当に再現できる」段階まで持っていける ただし、モデルの拒否（refusal） は一貫しておらず、同じ内容でも言い方次第で結果が変わる いちばん大きな課題は、AIそのものよりも運用の形。単発チャットではなく、複数の役割を持つharness（実行基盤） が必要 人間が読む前の自動判定では、ノイズをどう減らすか が超重要になる Cloudflareが公開したこの記事は、AIを使った脆弱性調査の「現場感」がかなり濃いです。 しかも単なる未来予想ではなく、実際に自社の50以上のリポジトリに Mythos Preview を当ててみた結果がベースになっています。 率直に言うと、この記事の面白さは「AIがバグを見つけました」で

CloudflareとStripeが、AIエージェント向けの新しい protocol を公開した エージェントが Cloud account の作成、domain の取得、subscription の開始、production への deployment まで行える 支払いと本人確認は Stripe が担当し、デフォルトの月額上限は $100 人間が関与するのは主に「法的・金銭的に重い場面」 便利さは大きいが、間違ったdomain購入や予算超過などのリスクも現実的 Cloudflare と Stripe が、AI agent による “自動 provisioning” を可能にする protocol を公開しました。 ここでいう provisioning は、ざっくり言うと「サービスを使い始めるための初期設定一式を用意すること」です。普通なら人間が dashboard を開いて、アカウントを作り、支払い方法を入れ、API token を発行して、必要なら domain を買って、最後に deploy する。あれを AI agent がまとめてやるわけです。 InfoQ の記事によると、