Cloudflareが2026年8月3日から7日にかけて「Agents Week」を開催した。1週間で20本近い発表が出たが、並べてみると散発的な機能追加ではなく、一本の筋が通っている。エージェントに、コンピュータとブラウザと財布と身元を与えるという筋だ。

4月に開催された前回のAgents Weekが「エージェントを動かす土台」（Sandboxes、Dynamic Workers、Agent Memory、Cloudflare Mesh）を揃える回だったとすれば、今回はテーマが一段外側に移っている。エージェントが外の世界とどう関わるか——ブラウザで何を見て、誰として振る舞い、どう支払い、Webサイト側はそれをどう受け入れるか。この記事では発表内容を4つの軸で整理し、実務にどう効くかを検討する。

全体像：4つの軸

実行基盤

エージェントが作業する「場所」。isolateとコンテナを状況に応じて使い分ける runtime と、それを束ねるワークスペース。

ブラウザ

ヘッドレスChromeを前提にしない、エージェント専用に設計されたステートレスなブラウザ。

身元と決済

エージェントに安定したidentityと、人間が上限を設定できる支払い能力を与える仕組み。

ガバナンスと可観測性

書き込み権限の細粒度制御と、エージェント自身が読むことを前提にしたトレース。

エージェント実行基盤

@cloudflare/computer Early Preview

オープンソースのエージェントランタイム。高速なV8 isolateとフルLinuxコンテナの間を動的にオーケストレーションし、タスクの性質に応じた適切なコンピュート上でエージェントを走らせる。SQLiteをバックエンドとした仮想ファイルシステムを備え、エージェントはファイルの読み書き・編集、シェルコマンドの実行、Gitリポジトリの操作ができる。すべての操作はゲート・監査・観測の対象になる。任意のDurable Object内で Workspace をインスタンス化するだけで使え、AI SDK互換のツールキット（read / write / edit / ls / exec）が付属する。

Cloudflare OS Open Source

社内向けに運用していたAIワークスペースを、誰でもセルフホストできるオープンソースプラットフォームとして公開したもの。社内アプリの構築、業務の自動化、内部システムへの安全なアクセスを、組織が持つ知識と業務の進め方に合わせて提供する。Compute primitivesとZero Trustスイートを組み合わせた構成で、設計はKenton Vardaが担当している。

Kitesurf

Workers上のV8 isolateで完全に動作する、ステートレスかつ低コストなエージェント専用ブラウザ。従来のブラウザ自動化がヘッドレスChromeという「人間向けブラウザの流用」だったのに対し、AIモデルにとって重要なものは何かを起点に設計し直している。

身元と決済

Cloudflare Wallets / cloudflare.pay

Cloudflare上にデプロイされたAIエージェントに安定したidentityを与え、人間の作成者が設定した上限の範囲内で安全にオンライン購入を行えるようにする仕組み。x402プロトコルを使い、エージェントが安全ガードレール内で自律的にAPIやコンテンツを購入できる。人間がAccount Walletに資金を入れ、Virtual Wallet経由でエージェントに上限付きの支出権限を委譲する、という構造になっている。

The Agent Access Model

タスクスコープのエージェントを保護するためのアーキテクチャ提案。厳格なidentity brokering、継続的な仲介、ステートフルな信頼という3つの要素で構成される。従来のZero Trustが「人間とデバイス」を前提にしていたのに対し、これを「タスクごとに生成される短命なエージェント」に拡張する試みと読める。

Wallets の現在地

MCPとエージェント可観測性

開発者にとって直接効くのはこの領域だ。特にMCPのステートレス化は、既存のMCPサーバー運用の前提を変える可能性がある。

MCP v2（仕様 2026-07-28）

MCPの次バージョンはステートレスなコアに書き直され、Workers上でそのまま動作する。セッション管理を捨てることで、MCPを通常のHTTPワークロードとして扱えるようになり、キャッシュもルーティングも既存のWeb基盤に乗せられる。Agents SDKの createMcpHandler は公式のMCP TypeScript SDKに昇格した。2026年初頭にMCP TypeScript SDKをNode.jsからWeb Standardsへ再プラットフォーム化した作業が土台になっており、Bun・Deno・Workersとの相互運用性も改善している。

移行パス: 後方互換を保ったまま移行できる。strict statelessルートを既存のsessionfulルートと並走させ、機能を順次移し、アクティブセッションをドレインしてから非推奨期間中にレガシー経路を削除する。MCPクライアント側は agents のバージョンを上げるだけでよい。

Agent tracing

Agents SDKで構築したアプリケーションでエージェントトレースが利用可能になった。各エージェントターンを、モデル呼び出し・ツール実行・承認・トークン使用量・Workersランタイム操作と並べて表示する。Wrangler設定でWorkersトレーシングを有効にすれば、Think・Flueアプリは自動でトレースを発行する。AI SDKを直接呼んでいる場合は wrapAISDK() でnamespaceを一度ラップすればよい（AI SDK v6 / v7対応）。

// wrangler.jsonc { "observability": { "traces": { "enabled": true } } }
import * as ai from "ai"; import { wrapAISDK } from "agents/observability/ai"; const tracedAI = wrapAISDK(ai); // ペイロード保存が安全なときだけ有効化する // const tracedAI = wrapAISDK(ai, { storeMessages: true, storeTools: true });

メッセージとツールペイロードの記録がデフォルトでオフになっている点は、設計判断として参考になる。観測はしたいが保存はしたくない、という線引きを明示的に開発者に委ねている。

ローカルトレーシング

wrangler dev と vite dev が、ローカル実行中に構造化されたOpenTelemetryトレースと、それに相関するコンソールログを自動的に収集するようになった。AIエージェントのセッションを検出すると、ターミナルに /cdn-cgi/explorer/api のLocal Explorer APIを案内するヒントを出力する。このAPIはOpenAPIスキーマと読み取り専用の可観測性クエリエンドポイントを公開しており、エージェントは失敗した操作を特定し、コードを修正し、リクエストを再実行して結果を検証するところまでをデプロイなしで回せる。人間はブラウザUIで同じトレースをスパン・タイミング・属性・エラー付きで確認できる。

WriteGuard Private Beta

MCPサーバーへの書き込みアクセスを広げる前提として作られた、細粒度の制御機構。全員が全エージェントを完璧に設定し、すべてのツール呼び出しを監視することは期待できない、という前提から出発している点が実務的だ。同じ発想はCloudflare Agentsダッシュボードにもあり、デプロイ済みのエージェントセッションを単一の画面に集約してスケール時の挙動を可視化する。

Workers / 開発プラットフォームの更新

Agents Weekの華やかな発表の陰で、日常的な開発体験に効く更新も複数出ている。

日付更新内容
8/3Python ↔ JavaScript Workers 間のRPC。Service bindings経由で、追加依存もスキーマ定義もシリアライズコードもなしに相互呼び出しが可能。例外は呼び出し元へ伝播し、structured cloneable型を引数・戻り値に渡せる
8/4Artifacts push時のCI/CD。CI SDKでWorkflowを定義し cf.artifacts.repo.pushed トリガーで自動実行。lockfile変更時のみinstallを再実行するキャッシュ、チェック失敗時のデプロイ停止に対応
8/4Vectorizeのインデックス上限が1000万から2000万ベクトルへ倍増
8/5AI Gateway User Insights。過去30日のセッションコストp95を各ユーザーのベースラインとし、それと組織閾値の両方を超えたセッションをフラグする
8/5AI GatewayとCloudflare Accessの連携。検証済みユーザーIDが cf.user_id としてリクエストメタデータに付与される
7/31wrangler check startup がバンドルサイズと起動時CPU活動のサマリを出力（Wrangler 4.116.0以降）
7/30Workers BuildsのNode.jsデフォルトが24.18.0に

見落としやすい変更：課金開始

実務への示唆

ハーネス設計に直結するもの

ローカルトレーシングとLocal Explorer APIの組み合わせは、AIエージェントのハーネスを設計している立場からするとかなり重要だ。「エージェントが自分の失敗を特定し、修正し、検証する」というループを、デプロイを挟まずにローカルで完結させられる。ハーネスがメトリクスを収集して次の判断に使う設計をしているなら、この構造化トレースはそのまま入力源になる。

興味深いのは、Local Explorer APIがAIエージェントのセッションを検出したときにターミナルヒントを出す、という挙動だ。これは以前のTemporary Accountsで --temporary フラグの存在をWranglerが失敗時メッセージで告知していたのと同じ発想で、人間が明示的に指示しなくてもエージェントが機能を発見できる導線を仕込んでいる。ツール側がエージェントの認知に配慮して設計されはじめている、という点で流れが変わりつつある。

MCPサーバーを運用しているなら

MCPのステートレス化は、MCPサーバーを運用している人にとって前提の変更にあたる。ツール数の上限やコンテキスト圧迫を回避するために独自のラッパー層を挟んでいる場合、ステートレス化でサーバー側のデプロイ・呼び出しコストが下がるなら、その回避策そのものが不要になる可能性がある。後方互換を保ったまま並走移行できる設計になっているので、まずは移行ガイドを読んで自分の構成に当てはめてみるのがよさそうだ。

ガバナンスの思想

WriteGuardの「エージェントの設定に依存せず、ゲートで縛る」という考え方は、ハーネス設計における「コードで強制できるものはコードに」という原則と同型だ。プロンプトで「気をつけて」と書くのではなく、実行経路上に構造的な制約を置く。エージェントの数が増えて一つひとつを人間が監督できなくなるほど、この方向の重要性は増す。

publisher 側への視点転換

技術的な発表とは別に、今回のAgents Weekで目立ったのはWebサイト運営者向けのメッセージだ。エージェントはCSSをレンダリングせず広告もクリックしないが、その向こう側には支払う人間がいる。だからエージェントをブロックすることは顧客をブロックすることにあたる——という主張のもと、publisher と agent が衝突せずに協調するためのオープンなツールとプロトコルを整備するとしている。

具体的には、WebMCPの開発者プレビュー（スイッチ一つで任意のサイトをブラウザAIエージェントから利用可能にする。新しいAPIもオリジンの変更も不要）、そしてAgent Readiness と Answer Engine Optimization という2つの指標がある。前者はエージェントが自サイトをどれだけ発見・読解できるかを、後者はAIアシスタントが自サイトをどれだけ推薦するかを追跡する。すでにリクエストの半分以上が人間ではなく機械から来ている、という現状認識が背景にある。

ボット対策を売りにしてきた会社が「エージェントは客である」と言い始めたわけで、立ち位置の転換としてなかなか興味深い。

まとめ

今回のAgents Weekは、エージェントの内側から外側へテーマが移った回だった。4月が実行基盤を揃える回だったのに対し、今回はブラウザ・決済・身元・Webサイト側の受け入れ口・書き込み権限のガバナンスと、エージェントが外の世界と接する面が中心になっている。

開発者として実務に取り込みやすいのは、ローカルトレーシング、MCP v2の移行、そして @cloudflare/computer のisolate / コンテナ動的切り替えという発想の3つ。いずれも「エージェントに何をさせるか」ではなく「エージェントが自分で状況を把握できるようにするには何が必要か」という問いへの回答になっている。

一方でWalletsはまだ予約段階、@cloudflare/computer は早期プレビュー、WebMCPとWriteGuardもプレビュー / プライベートベータであり、本番投入の判断には時期尚早なものも多い。まずは可観測性まわりから触り始めるのが現実的だろう。