Cloudflare hat am 5. August 2026 beschrieben, wie das Unternehmen mit Cloudflare OS eine interne Plattform für KI-Workflows und Agenten aufgebaut hat. Die Architektur kombiniert browserbasierte, ephemere Arbeitsräume mit kuratiertem Unternehmenskontext, kontrollierten MCP-Verbindungen und zentraler Modellvermittlung über AI Gateway. Eine zentrale Regel lautet: Agentensitzungen dürfen nur die bestehenden Berechtigungen des jeweiligen Nutzers übernehmen; beim Teilen eines Agenten werden keine Rechte des Erstellers weitergereicht. Gleichzeitig bleiben Menschen und bereitstellende Teams für Qualität, Tests und Ausgaben verantwortlich. Für Unternehmen ist weniger das Produktetikett als dieses Betriebsmodell relevant.
Die fünf Schichten einer kontrollierbaren Agentenplattform
Erstens braucht jeder Agent einen klaren Geschäftszweck. Cloudflare berichtet, zunächst konkrete „Jobs to be done“ gesucht zu haben, statt KI um ihrer selbst willen einzusetzen. Das schützt vor Automationen ohne messbares Problem. Zweitens folgt kanonischer Kontext: Richtlinien, fachliche Definitionen und technische Standards müssen gepflegt, versioniert und verantwortet werden. Ein leistungsfähiges Modell kann widersprüchliche oder veraltete Unternehmensinformationen nicht zuverlässig heilen. Kontext ist daher ein eigenes Produkt mit Ownern, Freigaben und Aktualitätsregeln.
Drittens steht Identität vor Integration. Der Agent arbeitet nicht mit pauschalen Superrechten, sondern im Berechtigungsrahmen des Nutzers. Das gilt auch für geteilte Agenten. Viertens benötigt die Ausführung eine begrenzte Umgebung. Cloudflare beschreibt ephemere, cloudbasierte Arbeitsräume, deren Netzwerkzugriffe kontrollierbar sind und die nicht automatisch auf alle Daten eines lokalen Laptops zugreifen. Fünftens braucht es Beobachtbarkeit: Modellinteraktionen werden über AI Gateway geführt, um sie zu filtern, zu protokollieren und zu prüfen.
- Geschäftszweck und gewünschtes Ergebnis vor der Toolwahl definieren.
- Kanonischen Kontext mit fachlichen und technischen Ownern pflegen.
- Identität und bestehende Benutzerrechte bis in jeden Tool-Aufruf durchreichen.
- Ausführung in begrenzten, rücksetzbaren Arbeitsräumen kapseln.
- Modell- und Tool-Interaktionen zentral filtern, protokollieren und auswerten.
Warum MCP-Governance mehr als eine Server-Allowlist ist
Cloudflare verbindet Systeme of Record über kontrollierte MCP-Server und ergänzt nach eigener Darstellung zusätzliche Regeln wie rollen- oder regionsabhängige Ratenlimits. Für eine eigene Plattform folgt daraus: Die bloße Zulassung eines MCP-Servers reicht nicht. Jedes Tool braucht einen fachlichen Zweck, minimale Rechte, erlaubte Datenklassen, Rate Limits, nachvollziehbare Protokolle und einen verantwortlichen Betreiber. Schreibende oder irreversible Aktionen benötigen stärkere Kontrollen als lesende Abfragen.
Besonders wichtig ist die Trennung zwischen Agentenbesitz und Datenberechtigung. Ein Mitarbeiter kann einen hilfreichen Workflow teilen, ohne seine persönlichen Zugriffe mitzuverschenken. Technisch muss jede Sitzung den Empfänger neu authentifizieren und dessen Rechte prüfen. Organisatorisch muss geklärt sein, wer einen Agenten übernimmt, wenn der ursprüngliche Owner die Rolle oder das Unternehmen verlässt. Cloudflare beschreibt diese Verantwortung ausdrücklich als vergleichbar mit anderen übernommenen Workflows.
Zwei Pilotpfade statt eines Werkzeugs für alle
Cloudflare berichtet von getrennten Lernpfaden für Engineering und andere Wissensarbeit. Das ist übertragbar, weil Aufgaben, Kontexte und Fehlerrisiken stark variieren. Entwicklungsteams arbeiten mit Repositories, Reviews und technischen Designs. Fachbereiche erzeugen häufig einmalige Ergebnisse über mehrere Systeme hinweg. Ein einheitliches Entwickler-Harness für alle kann zu unnötigen Apps führen, während ein zu einfacher Chat operative Abläufe nicht zuverlässig abbildet. Unternehmen sollten daher gemeinsame Governance mit unterschiedlichen Oberflächen und Skills kombinieren.
- Engineering-Pilot: Planungs-, Review- oder Dokumentationsaufgaben mit vorhandenen Code- und Designfreigaben verbinden.
- Fachbereichs-Pilot: wiederkehrende, klar beschriebene Wissensarbeit identifizieren und zunächst manuell begleiten.
- Gemeinsam: Rechte, Datenklassen, Modellzugriff, Protokollierung und menschliche Abnahme zentral festlegen.
- Ausgeschlossen: produktive Schreibzugriffe ohne Owner, Testplan, Rückbau und überprüfbare Auditspur.
Cloudflares Zahlen richtig einordnen
Cloudflare berichtet, dass Codex-gestützte Review-Agenten innerhalb von vier Monaten fast 250.000 potenzielle Probleme markierten, 16.000 Merges blockierten und in knapp 600 Designs frühe Architekturprobleme fanden. Diese Zahlen zeigen Volumen und interne Nutzung, beantworten aber nicht allein, wie viele Hinweise korrekt waren, welcher Aufwand durch Fehlalarme entstand oder welchen finanziellen Effekt der Prozess hatte. Entscheider sollten deshalb keine fremden Aktivitätszahlen als eigenen Business Case übernehmen.
Für den eigenen Pilot sind Ergebniskennzahlen sinnvoller: Anteil fachlich akzeptierter Ausgaben, Zeit bis zur menschlichen Freigabe, Zahl verhinderter Regelverstöße, Korrekturaufwand, Berechtigungsfehler, nicht autorisierte Toolversuche und Kosten pro abgeschlossenem Vorgang. Zusätzlich muss geprüft werden, ob Mitarbeiter den kanonischen Kontext nutzen oder Schattenlösungen bauen. Ein Rollout-Gate ist erst bestanden, wenn Nutzen, Qualität und Kontrollierbarkeit gleichzeitig sichtbar sind.
Ein 30-Tage-Rolloutplan für die erste belastbare Entscheidung
In Woche eins werden zwei konkrete Aufgaben, deren Owner und der zulässige Datenrahmen bestimmt. Woche zwei richtet einen begrenzten Arbeitsraum, eine kleine Tool-Allowlist und zentrale Protokollierung ein. In Woche drei arbeiten ausgewählte Nutzer mit verpflichtender menschlicher Abnahme; Fehler und fehlender Kontext werden als Produktfeedback behandelt. Woche vier vergleicht Ergebnisse mit dem Ausgangsprozess. Bei Rechteausweitungen, nicht erklärbaren Datenzugriffen oder fehlender Verantwortlichkeit wird gestoppt. Bei guter Qualität, messbarer Entlastung und vollständiger Auditspur kann der Umfang schrittweise wachsen.