Cloudflare、AIで構築された従業員向けアプリケーション管理のためVoidをオープンソース化

Cloudflareは、VoidZeroを買収してから4か月後、Voidプラットフォームを完全にオープンソースプロジェクトとして公開した。これにより、もともと商用製品を想定していたツールを、企業がCloudflareのインフラ上にインストールして自社でホスティングできるプラットフォームへと転換した。これは、いわゆる「雰囲気コーディング」、つまりvibe codingが広がる中での動きだ。雰囲気コーディングでは、幅広いプログラミング経験がない従業員でも、AIの支援を受けてアプリケーションを作成する。

Cloudflareが対象としている問題は、アプリケーションの作成そのものではなく、作成後に起きることだ。社内アプリケーションが企業データにアクセスしたり、情報技術部門が誰が管理しているのか、またセキュリティを確認しているのかを把握しないままデプロイされたりする可能性がある。同社は、こうしたアプリケーションを、開発サイクルがより速く、透明性が低い、新たな形のシャドーITに似たものだと考えている。

Voidには何が含まれるのか？

Voidは3つの主要部分で構成される。Void SDKは、サーバーサイド機能やデータベース、その他のサービスとの統合を含む、Viteを使った完全なアプリケーション構築コンポーネントを提供する。一方、Void CLIは、アプリケーションのビルド、Cloudflareリソースの準備、必要に応じたデータベース移行の適用など、デプロイプロセスを管理する。

Void Platformは、管理ダッシュボードを通じてアプリケーションをホスティング・管理する共有環境を提供する。プラットフォームのコードは、SDKおよびCLIとともに、Void 1.0のリリースに伴って公開され、MITライセンスの下で提供される。管理者はvoid platform installコマンドを使って専用インスタンスをインストールできる。このコマンドは、認証、データベース接続、ストレージの設定を案内する。

情報技術部門にとって実務上何が変わるのか？

このプラットフォームでは、誰がアプリケーションをデプロイできるか、誰がアクセスできるかを指定し、デプロイを検査し、ログを確認し、リソース消費を監視し、利用上限を適用できる。また、アイデンティティプロバイダーおよびCloudflare Accessと統合し、認可された従業員にアプリケーションへのアクセスを制限できる。開発者はコマンドラインからエラーログを確認し、不備のあるデプロイをロールバックできる。

VoidZeroからCloudflareに移り、戦略部門で指導的な役職を務めるMichael Dongは、同社がプラットフォームを自社ホスティング方式で動作するようゼロから再構築したと述べた。Dongによると、Cloudflareは企業認証とともにこのプラットフォームを社内で利用しており、アプリケーションはデフォルトで従業員に限定される。

同社によると、100人を超えるテストユーザーがVoid SDKを通じてアプリケーションをデプロイした。ただし、デプロイがVoid Cloudサービスを通じて行われたのか、Cloudflare上に直接行われたのかは明らかにしていない。従来のVoid Cloudサービスは引き続き非公開で、Cloudflareのチームと少数の招待されたテスターに限られている。

保護の限界と残る責任

アクセス制限があるからといって、アプリケーションが機密データを読み取ったり、別の相手に送信したりできないわけではない。Voidのドキュメントでは、管理者がアプリケーションをデフォルトで公開状態にでき、プロジェクト所有者が後から一般公開できることも示されている。また、文書化されたデプロイプロセスには、アプリケーションを稼働させる前に情報技術部門が必ずセキュリティレビューを行う手順は含まれていない。

企業はオープンソース版のVoidを変更し、承認メカニズムやより厳格なポリシーを追加できる。しかし、これらの制御は自動的に組み込まれるわけではなく、各組織が設計・実装する必要がある。したがってVoidは、情報技術部門に可視性と制御のための中央拠点を提供するが、従業員がAIで作成したアプリケーションを、プラットフォーム上でホスティングするだけで信頼できるソフトウェアに変えるものではない。

より広い文脈

今回の動きは、CloudflareがJavaScriptエコシステムを拡大する中で行われた。同社は1月にAstroチームを、6月にVoidZeroを買収し、さらにNode.jsの開発者であるRyan Dahlが設立したランタイム環境の開発企業、Denoの買収も発表した。VoidZeroは2024年10月、Vite、Vitest、Rolldown、Oxcを含むJavaScriptツールをまとめたプロジェクトを発表していた。