Cloudflare 开源 Void，用于管理员工通过 AI 构建的应用

Cloudflare 已将 Void 平台完全作为开源项目发布。此前四个月，公司收购了 VoidZero，旨在将一款原本面向商业产品的工具转变为企业可以在 Cloudflare 基础设施上安装并自行托管的平台。此举正值所谓的“凭感觉编程”（vibe coding）日益普及之际：员工可以在 AI 协助下创建应用，即使没有丰富的编程经验。

Cloudflare 试图解决的问题并不是应用创建本身，而是应用创建之后发生的事情：内部应用可能访问公司数据，或在 IT 团队不知道谁在管理它们、也不知道是否有人审查其安全性的情况下被发布。该公司认为，这些应用类似于一种新形态的影子 IT，但开发周期更快，也更不透明。

Void 包含哪些内容？

Void 由三个主要部分组成。Void SDK 提供使用 Vite 构建完整应用的组件，包括服务器端功能，以及与数据库和其他服务的集成。Void CLI 则负责管理部署流程，包括构建应用、准备 Cloudflare 资源，以及在需要时执行数据库迁移。

Void Platform 通过管理面板提供用于托管和管理应用的共享环境。该平台的代码以及 SDK 和 CLI 已随 Void 1.0 一同公开，并采用 MIT 许可证。管理员可以使用 void platform install 命令安装私有版本；该命令会引导他们完成身份验证、数据库连接和存储设置。

这对 IT 团队实际上意味着什么？

该平台允许设定谁可以部署应用、谁可以访问应用，检查部署操作，审查日志，监控资源消耗，并强制实施使用限制。它还可以与身份提供商和 Cloudflare Access 集成，将应用限制为经过授权的员工使用。开发人员可以通过命令行检查错误日志，并回滚有问题的部署。

Michael Dong 从 VoidZero 加入 Cloudflare 后，目前负责战略方面的领导工作。他表示，公司从零开始重建了该平台，使其能够以自托管形式运行。据 Dong 所述，Cloudflare 在内部使用该平台，并采用企业身份验证，因此应用默认仅限员工访问。

据该公司称，已有超过 100 名测试用户通过 Void SDK 发布应用，但公司没有说明这些部署是通过 Void Cloud 服务完成的，还是直接部署到 Cloudflare 上。原有的 Void Cloud 服务仍处于私有状态，仅供 Cloudflare 团队和一小批受邀测试人员使用。

保护措施的局限性与仍需承担的责任

访问限制并不意味着应用无法读取敏感数据，或无法将数据发送给其他方。Void 文档还指出，管理员可以让应用默认公开，项目所有者之后也可以将其向公众开放。已记录的部署流程并不包括在应用运行前由 IT 团队进行强制安全审查。

企业可以修改开源 Void，以添加审批机制或更严格的政策，但这些控制措施不会自动内置，而是需要每个组织自行设计和实施。因此，Void 为 IT 团队提供了一个集中式的可见性和控制点，但仅仅将员工借助 AI 创建的应用托管在该平台上，并不会使这些应用自动变成可信软件。

更广泛的背景

此举是 Cloudflare 扩展 JavaScript 生态系统的一部分：该公司于 1 月收购了 Astro 团队，并于 6 月收购了 VoidZero；此外，公司还宣布收购 Deno。Deno 是由 Node.js 的创建者 Ryan Dahl 创立的运行时环境开发公司。VoidZero 此前于 2024 年 10 月推出了一个整合 JavaScript 工具的项目，其中包括 Vite、Vitest、Rolldown 和 Oxc。