Cloudflareは、自社のMCPサーバーゲートウェイ向けに、WriteGuardの限定ベータ版の提供を開始したと発表した。AIを活用するエージェントが実行する操作を中央で制御するためのレイヤーを提供するものだ。このツールは、ツールポリシー、ユーザーとエージェントのID、処理の実行元への帰属、中央監査を組み合わせ、リクエストを通過させるか、メタデータを付加して強化するか、実行を担当するハンドラーが起動する前にブロックすることを可能にする。
WriteGuardが対象とする問題
Cloudflareは、バグチケットが急速なペースでクローズされる一方、ログ上ではすべての操作を同じエンジニアが実行しているように見えるシナリオを挙げている。この例では、エンジニアが複数のエージェントを同時セッションで実行しており、そのうち1つが、範囲の広すぎる指示によってクリーンアップタスクを実行した。原因となったエージェントの特定には30分を要した。また、手動による変更とエージェントによる変更が同じエンジニア名で記録され、ネットワークログも異なるエージェントのセッションを区別していなかったため、チケットシステムの状態を修正する作業はさらに複雑になった。
Cloudflareは、他のシステムではリスクがさらに大きくなる可能性があると考えている。契約管理ソフトウェアへのアクセス権を持つエージェントが契約を変更したり、サポートシステムを通じて顧客に数百件の返信を送信したり、データベースからテーブル全体を削除したりする可能性があるためだ。そのため同社は、すべての従業員がすべてのエージェントを正しく設定したり、すべてのツール呼び出しを監視したりできることに依存したくなかった。
内部アーキテクチャにおけるMCPの役割
MCPはModel Context Protocolの略称で、AIアプリケーションを外部のツールやデータソースに接続するために使用される標準規格だ。MCPサーバーは接続されたクライアントが利用できるツールを提供し、各ツールには名前、説明、入力スキーマ、タスクを実行するハンドラーがある。エージェントがツールを選択すると、MCPクライアントはその呼び出しをサーバーに送信し、サーバーは後続のアプリケーションやシステムとやり取りする。
Cloudflareは、OpenCodeやCloudflare OSなどのローカルクライアントに加え、長時間稼働するエージェントサービスを通じて、社内エージェントを支えるアーキテクチャの一部としてMCPサーバーを使用している。これらのサーバーはCloudflare Accessの背後で稼働し、MCPサーバー向けの単一の内部ゲートウェイを通じてアクセスされる。同社が4月にAIエンジニアリング向けの内部アーキテクチャを説明した際、ゲートウェイには13台のサーバーが接続されていた。記事の公開時点ではその数は27台に増加しており、各チームは毎月新しいサーバーを立ち上げ続けている。
読み取り専用から操作の実行へ
サーバーは読み取り専用モードから始まった。これにより各チームは、情報を変更することなく、Jira、GitLab、ウィキ、運用システムを検索して情報を表示できた。モデルの性能が向上し、チームがAIの利用経験を積むにつれて、エンジニアリング、プロダクト、デザイン、営業、カスタマーサクセスの従業員から、操作を実行できるツールを求める声が上がった。
書き込み権限を拡大する前に、Cloudflareはエージェントが実行できる書き込み操作を中央で制御し、後続アプリケーションにエージェントのラベルを表示し、その活動を調査しやすい監査経路を作成したいと考えた。同社によると、スキルや確認を促す指示などのクライアント側の制御は、実行環境によって動作が異なり、ユーザーが無効化できるため、十分な基盤を提供しない。
ポリシー、帰属、中央監査
WriteGuardは、各ツールの設定とリクエストのコンテキストを使用して、適切な操作を決定する。呼び出しを変更せずに通過させることも、対応する書き込み処理にエージェントの帰属情報を追加し、不要なデータを除去した監査イベントを作成することも、専用ハンドラーを起動する前に操作をブロックすることもできる。
このツールでは、基盤となるMCPサーバーを変更せずに、各ツールの横にポリシーを定義できる。各ツールにはリスクレベル、有効化または無効化の状態、ラベル付けに関する設定が付与される。リスクレベルによって、操作を記録するかどうか、またツール呼び出しを許可するかどうかが決まり、監査ログをリスクレベルに基づいて検索することもできる。ラベル付けの設定では、エージェントの帰属情報を追加し、後続アプリケーションに最適なテキスト形式を選択できるため、MCPサーバー自体にコード変更を加える必要がない。
Cloudflareは、現在提供されているのはMCPサーバーゲートウェイ向けの限定ベータ版であり、一般提供の時期やアクセス範囲に関する追加の詳細は情報源で示されていないと説明している。