Cloudflare abrió el código de Cloudflare OS el 5 de agosto: un "espacio de trabajo" de agentes para empresas, construido sobre workerd, el runtime open source que ya sostiene Cloudflare Workers. El argumento de venta es fuerte —seguridad basada en capacidades de objeto, gobierno centralizado de qué modelos puede usar cada equipo y a qué coste— pero el propio Cloudflare deja escrito, sin rodeos, hasta dónde llega hoy la libertad real de autoalojarlo.

Un modelo de seguridad que sí está bien pensado

La pieza más interesante de Cloudflare OS es su capa "Gatekeeper": en vez de darle a un agente la clave de API en crudo de cada sistema al que necesita acceder, cada sistema interno vive detrás de su propio Worker, que guarda la credencial real. El agente recibe un binding tipado con una operación de alcance limitado —puede "enviar este correo", no "usar esta clave SMTP como quieras". Es seguridad basada en capacidades de objeto aplicada a agentes de IA, y es exactamente el tipo de diseño que evita que un prompt malicioso o un agente descontrolado acabe con acceso de lectura y escritura a todo lo que toca.

"Open source" con matices que el propio fabricante admite

El código de Cloudflare OS es Apache 2.0 de verdad, pero depende de primitivas propias de Cloudflare —Dynamic Workers, Durable Object Facets, Cap'n Web— que hoy solo funcionan bien sobre la infraestructura de la propia Cloudflare, y el fabricante reconoce abiertamente que la documentación para desplegarlo en servidor propio "todavía está en desarrollo".
El despliegue local rápido que sí funciona ahora mismo —vía pnpm sobre wrangler/workerd— está etiquetado explícitamente como no apto para producción. En la práctica, usar esto en serio hoy significa desplegarlo en tu propia cuenta de Cloudflare, con sus políticas de Access y su AI Gateway, no en tu propio servidor.

Por qué esto importa más allá del propio Cloudflare OS

No es la primera vez que "código abierto" y "autoalojable de verdad" resultan ser dos cosas distintas, y tampoco será la última —pero en una herramienta que centraliza credenciales y acceso a sistemas internos, esa distinción importa más que en la mayoría de software. La comparación con el reciente CVE crítico de Langflow, otra plataforma de orquestación de IA autoalojada, sirve de recordatorio: el modelo de gestión de credenciales de estas herramientas merece tanto escrutinio como sus funciones, y "abierto" no es sinónimo automático de "seguro" ni de "libre de verdad de un proveedor concreto".

Para quién tiene sentido ahora mismo

Si ya operas dentro del ecosistema de Cloudflare y quieres un espacio de trabajo de agentes con un modelo de credenciales serio, Cloudflare OS merece una prueba real. Si tu objetivo era añadir esto a tu homelab con independencia total de Cloudflare, la promesa de autoalojamiento todavía no está a la altura de la etiqueta "open source" que lleva encima —vale la pena esperar a que esa documentación de despliegue en servidor propio, que el propio fabricante reconoce como pendiente, esté terminada.