Cloudflare anuncia liberação total do OAuth, desenvolvedores de AI Agent não precisam mais de aprovação manual.

Cloudflare anunciou que está abrindo o OAuth autogerenciável para todos os desenvolvedores, não exigindo mais revisão manual para integração. Por trás disso está o crescimento explosivo da demanda por delegação de autorização por ferramentas de agente de IA (AI Agent), e uma substituição de motor subjacente envolvendo a migração de 130 milhões de linhas de dados.

(Resumo anterior: Dados da Cloudflare: 34% do tráfego na internet não é humano; bots de IA estão crescendo 8 vezes mais rápido) (Contexto adicional: UBS e TD Cowen elevaram o preço-alvo da Arm para US$ 475 no mesmo dia, citando receitas futuras com CPUs próprias)

Índice deste artigo

Toggle

• Por que abrir agora?
• Substituição do motor subjacente envolvendo 130 milhões de linhas de dados
• Problema de falha em cascata do refresh token em clientes MCP

A Cloudflare, que gerencia 20% do tráfego global da internet, tomou uma decisão crucial esta semana: permitir que todos os desenvolvedores criem e gerenciem seus próprios clientes OAuth, sem necessidade de revisão manual individual. A força motriz por trás disso é a enorme demanda por "delegação de autorização" por parte das ferramentas de agente de IA. Quando os modelos de IA precisam acessar recursos da Cloudflare em nome do usuário, antes só era possível usar tokens de API, que são difíceis de gerenciar e inadequados para fluxos de trabalho de agente que exigem escopos de consentimento claros.

Por que abrir agora?

A Cloudflare não é novata em OAuth. Desde que os desenvolvedores usam a ferramenta Wrangler CLI ou integram serviços de parceiros como PlanetScale, o OAuth já operava em segundo plano silenciosamente. Mas essas integrações eram um modelo fechado de "integração manual", onde desenvolvedores terceiros não podiam criar seus próprios fluxos OAuth padrão.

A Cloudflare declarou em seu blog oficial que, no ano passado, já vinha introduzindo gradualmente parceiros iniciais, aprimorando continuamente os mecanismos de consentimento, revogação e modelo de segurança. No entanto, com a expansão da plataforma de desenvolvedores e o rápido aumento da demanda por acesso delegado por agentes de IA, "abrir o OAuth para todos os usuários" tornou-se uma condição necessária para o sucesso da plataforma, não uma opção.

O OAuth autogerenciável permite que os desenvolvedores ofereçam fluxos de autorização padrão: os usuários concedem acesso com escopo limitado diretamente, os aplicativos sabem o que podem fazer e os usuários podem revogar a qualquer momento. Para construir integrações SaaS, plataformas internas de desenvolvedores e vários tipos de ferramentas de agente de IA, isso é uma infraestrutura mais limpa do que tokens de API.

Substituição do motor subjacente envolvendo 130 milhões de linhas de dados

No entanto, para escalar a abertura do OAuth, a Cloudflare precisava primeiro resolver um problema de engenharia: o motor de autorização subjacente, Hydra, já não suportava a carga.

Hydra é um motor OAuth de código aberto que a Cloudflare implantou há anos para sustentar a infraestrutura OAuth da plataforma. Ele funcionava de forma estável durante períodos de uso limitado, mas com a expansão da plataforma de desenvolvedores e a popularização dos fluxos de trabalho de IA, os gargalos de desempenho e as limitações funcionais do Hydra original tornaram-se cada vez mais evidentes.

O plano de atualização foi dividido em duas fases. Na primeira fase, a atualização para a versão Hydra 1.X, os engenheiros descobriram que mesmo uma migração de versão menor envolvia mudanças significativas na estrutura do banco de dados. Eles reescreveram os scripts de migração SQL, usando técnicas como CREATE INDEX CONCURRENTLY que não bloqueiam gravações, e personalizaram a versão de compilação do Hydra para usar campos explicitamente especificados em vez das consultas SELECT * originais, reduzindo a transferência desnecessária de dados.

A segunda fase foi a implantação blue-green (blue-green deployment) do Hydra 2.X. A chamada implantação blue-green consiste em manter os sistemas antigo e novo em execução simultaneamente, com o tráfego sendo gradualmente redirecionado somente após a confirmação da estabilidade do novo sistema, permitindo reversão instantânea a qualquer momento, reduzindo o risco de interrupção do sistema a quase zero. A Cloudflare afirmou que, nessa estrutura, eles construíram um sistema de filas baseado no Cloudflare Queues para garantir que os eventos de revogação fossem sincronizados corretamente entre os sistemas antigo e novo.

A escala da migração do banco de dados foi considerável: foram atualizadas 132,5 milhões de linhas de dados, inseridas 114,7 milhões de novas linhas de dados, gerando 136,97 GB de dados temporários.

Problema de falha em cascata do refresh token em clientes MCP

Após a conclusão da troca blue-green, os dados de monitoramento mostraram um sinal inesperado: a taxa de erro de refresh token aumentou.

Após investigação, descobriu-se que a nova versão do Hydra adotou um mecanismo de invalidação mais rigoroso para o reúso de refresh tokens. Uma vez detectado que o mesmo refresh token estava sendo reutilizado, todo o conjunto de credenciais de acesso (access token e refresh token) era revogado em conjunto.

Isso causou problemas para os clientes Wrangler e MCP, pois essas ferramentas, em situações de rede instável ou requisições concorrentes, naturalmente podem acionar a reutilização de refresh tokens.

A solução foi adicionar um "mecanismo de mesclagem de refresh tokens" no Worker que roteia o tráfego OAuth: quando detecta várias requisições de atualização para o mesmo token chegando simultaneamente, o sistema mescla em uma única requisição, evitando acionar a lógica de falha em cascata. Essa correção normalizou o comportamento de integração dos clientes MCP.

Esse incidente também revelou uma realidade: o padrão de comportamento de autorização das ferramentas de agente de IA é estruturalmente diferente dos fluxos OAuth tradicionais operados manualmente. As ferramentas de agente podem emitir um grande número de requisições concorrentes de atualização de token em um curto período, enquanto as implementações OAuth tradicionais não foram projetadas para esse tipo de uso.

Após a conclusão da atualização, várias métricas de desempenho melhoraram significativamente. A latência P95 da API caiu de 185 ms para 101 ms, uma redução de 45%; a ocupação de memória residente caiu de 888 MB para 763 MB, uma redução de 14%; a alocação de memória Go heap caiu de 449 MB para 271 MB, uma redução de 40%; o número de Goroutines caiu de 4.015 para 3.076, uma redução de 23%; o uso de CPU caiu de 1,07 núcleos para 0,67 núcleos, uma economia de 37%.

A Cloudflare afirmou que a abertura do OAuth autogerenciável permite que os desenvolvedores construam integrações com escopos de consentimento mais transparentes e revogação mais fácil, o que é especialmente importante para a saúde do ecossistema de ferramentas de agente de IA. Quando os modelos de IA operam serviços em nome de humanos, "o que esse agente está autorizado a fazer" e "como revogar seu acesso" são questões inevitáveis na estrutura de confiança.