許多工程師在接觸 Zero Trust（零信任架構，一種不預設信任任何對象，必須經過嚴格驗證才能存取資源的安全模型）時，最頭痛的不是概念，而是繁瑣的產品配置。當企業需要從舊有的 VPN 或其他安全廠商（如 Zscaler 或 Palo Alto Networks）遷移到新平台時，通常需要花費數月時間對照兩邊的設定邏輯，將用戶群組、存取策略一個個手動搬移，過程極其枯燥且容易出錯。
為了降低這道門檻，Cloudflare 推出了 Cloudflare One stack。這不是一個單一的軟體，而是一個開源的 AI Agent 技能庫（Agent Skills），旨在讓 AI 代理人具備規劃、部署與遷移 Zero Trust 環境的專業知識。
理解 Agent Skills 的運作邏輯
在目前的 AI 應用中，我們習慣讓 LLM 寫程式碼或分析日誌，但 LLM 缺乏對特定產品細節或企業網路拓撲的深度認知。Cloudflare One stack 透過提供結構化的知識文件、決策樹（Decision Trees）以及工具定義，讓 AI Agent 在載入這些技能文件後，能像一名經驗豐富的 Cloudflare 認證工程師一樣思考。
這個技能庫分為兩個核心部分。首先是 cloudflare-one，負責提供產品指導，涵蓋從取代 VPN 的 Cloudflare Access、網路安全閘道 Gateway，到連接內網的 Tunnel 與 WAN 等全生命週期管理。另一個是 cloudflare-one-migration，專門處理廠商間的翻譯邏輯，將競爭對手的設定轉換為 Cloudflare 的對應配置。
實務上的遷移流程與自動化
對於安全團隊來說，最直接的價值在於遷移自動化。當你要求 AI 將 Zscaler 的應用程式遷移至 Cloudflare Access 時，AI 會執行以下步驟：首先將原廠商的應用定義映射到 Cloudflare 的對應原語（Primitives）；接著轉換用戶群組與權限策略；最後透過 API 建立資源，並產出一份對比清單，明確標示哪些已自動完成，哪些需要人工審核。
這種邏輯將原本需要數月的遷移週期縮短至數小時。此外，針對新部署的需求，AI 可以先盤點現有的應用清單，規劃一套能將業務中斷降至最低的部署順序，並在正式執行前提供設定摘要供工程師審查。
結合 MCP Server 強化 API 交互
為了讓 AI 不僅能建議，還能實際操作，Cloudflare 將其與 MCP（Model Context Protocol）伺服器結合。MCP 是一種標準化的協議，讓 AI Agent 能以強型別（Typed Interface）的方式與 API 溝通，而非隨機生成 API 請求。
這解決了兩個關鍵問題。第一是安全性，認證憑證由 MCP 伺服器獨立處理，不會將敏感的 API Key 傳送到 AI 模型的上下文（Context）中。第二是精準度，AI 能直接查詢帳戶的即時配置並進行精確修改，大幅降低了因幻覺（Hallucination）導致的設定錯誤。
安全邊界與人工審核機制
讓 AI 觸碰安全基礎設施（Security Infrastructure）具有高風險，一旦 Gateway 策略配置錯誤，可能會導致內部服務外洩或全公司員工被鎖在系統外。因此，Cloudflare One stack 採取了 Review-before-apply（先審核後套用）的設計模式。
AI 的角色不是取代安全工程師，而是壓縮從意圖（Intent）到配置（Configured Policy）之間的路徑。AI 負責提案與生成 Diff（差異對比），而最終的提交權限仍留在人類手中，確保每一次變更都有明確的審核記錄、擁有者與回滾（Rollback）方案。
對工程實務的影響
對於企業內部工程師而言，這意味著不再需要研讀數百頁的產品手冊才能開始部署。對於合作夥伴（Partners）來說，這將專業知識模組化，減少了在不同廠商之間進行手動轉換的低效勞動。
來源：infoq.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。