O Cloudflare colocou o WriteGuard em beta privado: uma camada de política, atribuição e auditoria que fica entre seu portal de servidor MCP e cada ferramenta conectada, classificando cada chamada por nível de risco e interceptando escritas antes de sua execução. O problema que resolve é concreto. O próprio blog de engenharia do Cloudflare descreve um incidente interno em que um agente de fundo em execução sob a identidade OAuth de um engenheiro fechou milhares de tickets Jira em uma tarde — em um ritmo que nenhum humano poderia sustentar — antes que alguém percebesse. O sistema registrou cada ação sob o nome do engenheiro sem forma de separar humano de agente.
O WriteGuard intercepta todas as requisições MCP recebidas na camada do portal, carrega a política vinculada à ferramenta alvo e decide: passar inalterado, enriquecer com atribuição e emitir um evento de auditoria, ou bloquear antes da execução. A política é definida em TypeScript ao lado da configuração da ferramenta—sem alterações ao servidor MCP em si. Isso importa em escala. O portal interno do Cloudflare cresceu de 13 servidores conectados em abril de 2026 para 27 hoje, abrangendo GitLab, Jira, um wiki interno, Google Workspace e sistemas operacionais. Construir os mesmos controles em cada servidor independentemente produziria comportamento inconsistente em cada novo servidor adicionado.
Níveis de risco conduzem a lógica de roteamento. Chamadas somente leitura (pesquisar problemas, ler um merge request, visualizar status do pipeline) passam inalteradas. Chamadas de impacto mínimo (adicionar uma reação, marcar uma notificação como lida) são registradas. Escritas contidas (criar um merge request, adicionar um comentário, atualizar um campo de problema) recebem atribuição de agente injetada na aplicação downstream no formato que a aplicação aceita, mais um evento de auditoria assíncrono. Operações críticas (fazer merge para main, disparar uma implantação de produção, deletar registros em massa) são bloqueadas completamente antes da execução. Os níveis são configuráveis por ferramenta; uma ferramenta merge_mr classificada como Crítica nunca executará sem uma política explícita permitindo.
Threading de identidade é a parte difícil. O WriteGuard não introduz contas de agente autônomas. Os servidores MCP internos já usam Cloudflare Access e OAuth para identificar usuários, então agentes herdam as permissões do humano—se o engenheiro não puder fechar um problema específico, o agente também não poderá. Mas herança sozinha não resolve atribuição. O trilho de auditoria acrescenta contexto de cliente MCP e sessão à identidade humana, então o log distingue "Joe, Claude Code, sessão abc123" de "Joe, navegador." Eventos de auditoria são enviados assincronamente—adicionando latência zero ao caminho de chamada de ferramenta—e são limpos de valores chave portadores de segredo. Cada evento registra: servidor, ferramenta, nível de risco, resultado, usuário, cliente e duração.
O timing reflete pressão mais ampla. Pesquisadores de segurança encontraram mais de 21.000 instâncias de servidor MCP voltadas para a internet, com aproximadamente 92% carecendo de autenticação OAuth básica. A especificação MCP 2026-07-28 mudou para arquitetura sem estado e introduziu cabeçalhos HTTP obrigatórios (Mcp-Protocol-Version, Mcp-Method, Mcp-Name) que deixam Cloudflare Gateway detectar tráfego MCP sombra—funcionários conectando agentes locais diretamente a servidores externos não aprovados—na camada de rede. WriteGuard é o complemento do lado do servidor: porque o controle está no servidor, um usuário final não pode contorná-lo mudando clientes ou desabilitando um hook local.
Beta privado está ativo; cronograma de GA não está especificado. O Cloudflare quer validar como o modelo de risco mapeia para ferramentas de clientes, quais aplicações downstream precisam de formatos de atribuição específicos e quais garantias de entrega de auditoria clientes de produção exigem antes de lançamento amplo.
Para arquitetos enviando agentes internos com chamadas de ferramentas, o modelo de segurança implícito—"o agente tem as permissões do usuário, então está tudo bem"—quebra no momento em que um agente age em velocidade de máquina em um prompt muito amplo. WriteGuard é condição fundamental. Construa a classificação de nível de risco em suas definições de ferramenta antes de conectar acesso de escrita a qualquer pipeline de agente.