去年9月，Cloudflare扔了個(gè)概念叫Code Mode——AI代理不靠調(diào)工具，而是直接寫代碼調(diào)用API。當(dāng)時(shí)他們曬了組數(shù)據(jù)：把MCP服務(wù)器轉(zhuǎn)成TypeScript API，token消耗直降81%。更騷的是，這套玩法還能反過來套在MCP服務(wù)器外面，整個(gè)Cloudflare API只暴露兩個(gè)工具，token壓到1000以內(nèi)。

但有個(gè)問題懸著：AI生成的代碼往哪跑？直接eval()等于給黑客開后門。你需要沙盒——一個(gè)跟主應(yīng)用隔離、只開放必要權(quán)限的執(zhí)行環(huán)境。

行業(yè)里主流方案是容器。Linux容器確實(shí)萬能，Cloudflare自己也賣容器運(yùn)行時(shí)和Sandbox SDK。但容器啟動(dòng)要幾百毫秒，內(nèi)存吃掉幾百兆，得靠預(yù)熱池?fù)沃嗳蝿?wù)復(fù)用還會(huì)稀釋安全性。如果未來每個(gè)用戶帶十個(gè)代理、每個(gè)代理都在寫代碼，容器根本扛不住消費(fèi)級(jí)規(guī)模。

那篇Code Mode博文里藏了個(gè)腳注：Dynamic Worker Loader API，實(shí)驗(yàn)性功能。允許一個(gè)Cloudflare Worker在運(yùn)行時(shí)瞬間拉起另一個(gè)Worker，代碼動(dòng)態(tài)注入，各自沙盒隔離。

現(xiàn)在這東西開公測(cè)了，所有付費(fèi)Workers用戶都能用。

0.3毫秒 vs 200毫秒：這不是優(yōu)化，是換賽道

Dynamic Worker的核心指標(biāo)很直白：啟動(dòng)時(shí)間0.3毫秒，內(nèi)存占用3MB。作為參照，傳統(tǒng)容器冷啟動(dòng)普遍在100-500毫秒?yún)^(qū)間，內(nèi)存開銷以百兆計(jì)。

Cloudflare沒藏著掖著，直接放出了調(diào)用范式。你的LLM生成代碼字符串，主Worker通過LOADER綁定動(dòng)態(tài)裝載，指定兼容日期、模塊映射、環(huán)境變量注入，還能一鍵掐斷外網(wǎng)訪問。代碼跑在獨(dú)立Worker里，RPC接口暴露出來，主進(jìn)程像調(diào)本地函數(shù)一樣跟它通信。

技術(shù)實(shí)現(xiàn)上，這利用了Cloudflare Workers本身的架構(gòu)——V8隔離而非操作系統(tǒng)級(jí)虛擬化。每個(gè)Dynamic Worker是全新的V8上下文，代碼編譯緩存但執(zhí)行環(huán)境干凈，用完即棄。

對(duì)比容器的"重"，Dynamic Worker的"輕"體現(xiàn)在兩個(gè)維度：啟動(dòng)不需要拉鏡像、起進(jìn)程，只是V8實(shí)例化；隔離不依賴內(nèi)核namespace，而是JavaScript引擎的固有機(jī)制。代價(jià)是生態(tài)受限——你只能跑JavaScript/WebAssembly，沒法塞個(gè)Python解釋器進(jìn)去。

安全模型：白名單比黑名單靠譜

沙盒的核心矛盾是靈活性與安全性的權(quán)衡。容器給的是"除了我禁掉的都能干"，Dynamic Worker給的是"除了我給的都不能干"。

代碼里那個(gè)globalOutbound: null就是典型設(shè)計(jì)——默認(rèn)斷網(wǎng)，而非默認(rèn)聯(lián)網(wǎng)。需要外訪時(shí)，你可以攔截到指定出口，或者完全放行，但起點(diǎn)是零權(quán)限。環(huán)境變量注入也走RPC樁機(jī)制，代理代碼拿到的不是裸API密鑰，而是受限的能力句柄。

Cloudflare安全團(tuán)隊(duì)的人去年在內(nèi)部郵件里提過個(gè)觀點(diǎn)：「AI生成代碼的不可預(yù)測(cè)性，讓傳統(tǒng)的攻擊面分析失效。你能做的是把爆炸半徑壓到最小，以及確保每次爆炸都是新鮮的——?jiǎng)e復(fù)用容器，別留狀態(tài)?！?/p>

Dynamic Worker的"用完即棄"恰好滿足這點(diǎn)。每個(gè)用戶請(qǐng)求、每次代理調(diào)用，都可以是全新的Worker實(shí)例，沒有跨會(huì)話污染，沒有容器復(fù)用的側(cè)信道風(fēng)險(xiǎn)。

消費(fèi)級(jí)代理的基建難題

Cloudflare算過一筆賬：如果未來10億用戶每人每天觸發(fā)100次代理調(diào)用，傳統(tǒng)容器架構(gòu)的預(yù)熱池成本會(huì)把商業(yè)模式吃空。Dynamic Worker的邊際成本趨近于零，因?yàn)榈讓邮荂loudflare全球網(wǎng)絡(luò)的閑置V8算力，實(shí)例生命周期按毫秒計(jì)費(fèi)。

但這套方案也有明顯邊界。它假設(shè)你的代理邏輯能用JavaScript/Wasm表達(dá)——適合API編排、數(shù)據(jù)處理、輕量級(jí)計(jì)算，不適合跑PyTorch模型訓(xùn)練或者ffmpeg轉(zhuǎn)碼。Cloudflare的解法是把重活扔給專門的AI推理服務(wù)或媒體處理管道，Dynamic Worker只做"膠水層"。

生態(tài)兼容性也是個(gè)坎。MCP服務(wù)器生態(tài)現(xiàn)在Python占大頭，Dynamic Worker想接進(jìn)來，要么等社區(qū)出JS移植版，要么自己用容器橋接——后者又把延遲打回去了。Cloudflare押注的是TypeScript在AI工程中的滲透率上升，以及Wasm作為通用IR的成熟。

公測(cè)文檔里有個(gè)細(xì)節(jié)耐人尋味：Dynamic Worker支持指定compatibilityDate，意味著今天寫的代碼可以鎖定在2026年3月的運(yùn)行時(shí)行為，避免Cloudflare后續(xù)更新破壞代理邏輯。這對(duì)長期運(yùn)行的AI代理很重要——模型輸出不可控，至少執(zhí)行環(huán)境要可預(yù)期。

容器時(shí)代培養(yǎng)了我們對(duì)"環(huán)境一致性"的執(zhí)念，Dynamic Worker反其道而行，用"環(huán)境一次性"換取規(guī)模彈性。當(dāng)每個(gè)代理調(diào)用都能在0.3毫秒內(nèi)獲得一個(gè)干凈、受限、可審計(jì)的執(zhí)行上下文，AI應(yīng)用的基礎(chǔ)設(shè)施范式會(huì)不會(huì)跟著變？你的下一個(gè)代理，還想困在200毫秒的容器冷啟動(dòng)里嗎？