Cloudflare объявляет о полной отмене ограничений OAuth, разработчикам AI Agent больше не нужно проходить ручную проверку.

Cloudflare объявил о том, что теперь все разработчики могут создавать собственные OAuth-клиенты без обязательного ручного согласования и регистрации. За этим стоит взрывной рост потребности в делегировании полномочий со стороны AI-агентов, а также миграция 130 миллионов строк данных в рамках замены базового механизма.

(Предыстория: данные Cloudflare: 34% трафика в интернете — не люди, AI-боты растут в 8 раз быстрее)

(Дополнительный контекст: UBS и TD Cowen в один день повысили целевую цену Arm до $475, обосновав это будущей выручкой от собственных процессоров)

Содержание статьи

Toggle

• Почему открытие происходит сейчас?
• Замена базового механизма, затронувшая 130 миллионов строк данных
• Каскадный сбой refresh token'ов у клиентов MCP

Cloudflare, управляющий 20% мирового интернет-трафика, на этой неделе принял ключевое решение: позволить всем разработчикам самостоятельно создавать и управлять OAuth-клиентами, без необходимости проходить ручное согласование. Движущей силой этого шага стал огромный спрос со стороны AI-агентов на «делегированную авторизацию». Когда AI-модели требуется получить доступ к ресурсам Cloudflare от имени пользователя, ранее можно было полагаться только на API-токены, но такой подход сложен в управлении и не подходит для агентных рабочих процессов, требующих чётко определённых границ разрешений.

Почему открытие происходит сейчас?

Cloudflare не новичок в OAuth. Ещё когда разработчики использовали инструмент Wrangler CLI или подключали партнёрские сервисы вроде PlanetScale, OAuth уже работал в фоновом режиме. Однако все эти интеграции были закрытыми схемами с «ручным согласованием», и сторонние разработчики не могли самостоятельно создавать стандартные OAuth-процессы.

В официальном блоге Cloudflare отмечается, что за последний год они постепенно привлекали первых партнёров, совершенствуя механизм согласия, процесс отзыва и модель безопасности. Но по мере масштабирования платформы разработчиков и резкого роста потребности AI-агентов в делегированном доступе «открытие OAuth для всех пользователей» стало необходимым условием успеха платформы, а не опцией.

Самодельный (self-managed) OAuth позволяет разработчикам предоставлять стандартный процесс авторизации: пользователь напрямую выдаёт ограниченный по объёму доступ, приложение знает, что ему разрешено делать, а пользователь может в любой момент отозвать разрешение. Для построения SaaS-интеграций, внутренних платформ разработчиков и различных AI-агентов это более чистая основа по сравнению с API-токенами.

Замена базового механизма, затронувшая 130 миллионов строк данных

Однако для масштабного открытия OAuth Cloudflare нужно было сначала решить инженерную проблему: базовый механизм авторизации Hydra перестал справляться с нагрузкой.

Hydra — это открытый OAuth-механизм, который Cloudflare развернул много лет назад для поддержки OAuth-инфраструктуры платформы. Он стабильно работал в периоды ограниченного использования, но с расширением платформы разработчиков и распространением AI-рабочих процессов узкие места производительности и функциональные ограничения исходного Hydra становились всё более очевидными.

План обновления состоял из двух этапов. Первый этап — обновление до версии Hydra 1.X. Инженеры обнаружили, что даже при миграции на минорную версию масштаб структурных изменений в базе данных был значителен. Они переписали SQL-скрипты миграции, применив технологии без блокировки записи, такие как CREATE INDEX CONCURRENTLY, и настроили собственные сборки Hydra, заменив запросы SELECT * на явное указание полей, что снизило ненужную передачу данных.

Второй этап — развёртывание Hydra 2.X по схеме blue-green (сине-зелёное развёртывание). Blue-green означает одновременную работу старых и новых систем, при этом трафик постепенно переключается только после подтверждения стабильности новой системы, и в любой момент можно мгновенно выполнить откат, сводя риск простоя к нулю. Cloudflare заявил, что в рамках этой схемы они создали систему очередей на основе Cloudflare Queues, которая обеспечивает корректную синхронизацию событий отзыва между старой и новой системами.

Масштаб миграции базы данных был значительным: обновлено 132,5 миллиона строк данных, вставлено 114,7 миллиона новых строк, создано 136,97 ГБ временных данных.

Каскадный сбой refresh token'ов у клиентов MCP

После завершения сине-зелёного переключения в мониторинге появился неожиданный сигнал: рост частоты ошибок refresh token'ов.

При расследовании выяснилось, что новая версия Hydra применяет более строгий механизм аннулирования при повторном использовании refresh token'ов: как только обнаруживается, что один и тот же refresh token используется повторно, вся группа учётных данных (access token и refresh token) аннулируется.

Это вызвало проблемы у Wrangler и клиентов MCP, поскольку такие инструменты в условиях нестабильной сети или параллельных запросов могут инициировать повторное использование refresh token'ов.

Решение заключалось в добавлении в Worker, маршрутизирующий OAuth-трафик, механизма объединения refresh token'ов: когда одновременно поступает несколько запросов на обновление одного и того же токена, система объединяет их в один запрос, предотвращая срабатывание каскадного отказа. Это исправление вернуло интеграцию клиентов MCP в нормальное состояние.

Этот инцидент также раскрыл реальность: модель авторизационного поведения AI-агентов структурно отличается от традиционного OAuth-процесса, управляемого человеком. Агентские инструменты могут за короткое время отправлять большое количество параллельных запросов на обновление токенов, а традиционные реализации OAuth не проектировались для такого сценария использования.

После завершения обновления улучшение показателей производительности было весьма заметным. API P95 latency снизилась с 185 мс до 101 мс (снижение на 45%); резидентное использование памяти — с 888 МБ до 763 МБ (сокращение на 14%); выделение кучи Go — с 449 МБ до 271 МБ (уменьшение на 40%); количество горутин — с 4015 до 3076 (снижение на 23%); использование CPU — с 1,07 ядра до 0,67 ядра (экономия 37%).

Cloudflare заявляет, что открытие self-managed OAuth позволяет разработчикам создавать интеграционные решения с более прозрачным объёмом согласия пользователя и более лёгким отзывом, что особенно важно для экосистемы AI-агентов. Когда AI-модели выполняют операции от имени человека, вопросы «на что этот агент уполномочен» и «как отозвать его доступ» становятся неизбежными в рамках доверия.