Dynamic Workers combinam a forma como agentes escrevem código

Dynamic Workers combinam a maneira como os agentes escrevem programas contra APIs, não a maneira como os agentes de codificação acessam um box Linux. Essa é a única interpretação de "primeiro" que este post irá defender. Leia como "primeiro sandbox para código de agente na história" e isso morre ao entrar em contato com o lançamento do Code Interpreter da OpenAI em julho de 2023 e com todos os produtos Firecracker que já criam, executam e matam.

A afirmação útil é mais restrita. A unidade de trabalho finalmente combina com Code Mode. O modelo emite uma curta função JavaScript. Um Worker pai carrega essa fonte como módulos, concede apenas as ligações RPC que pretende conceder, executa o trecho em um novo isolado e descarta o isolado.

Isso não é como os Workers clássicos são enviados (implantar primeiro, servir para sempre). Não é assim que o E2B ganha seu sustento (Linux completo para toolchains de agentes). É a forma de tempo de execução de escrever orquestração como código, de modo que ferramentas intermediárias não reentrem na janela de contexto.

Se você constrói plataformas de agentes multi-inquilinos ou malhas de ferramentas no formato MCP, essa distinção é o post inteiro.

Agentes escrevem dois tipos diferentes de código

Mesma palavra agente, duas superfícies de escrita e tempos de execução diferentes.

Duas superfícies de escrita compartilham a palavra "agente" e quase nada mais.

Agentes de codificação (Claude Code, Cursor, Codex) vivem ao lado de um espaço de trabalho real. Eles leem arquivos, executam shell, tocam git, instalam pacotes. Seu sandbox é Seatbelt, bubblewrap, Landlock ou uma VM Linux remota. A Cloudflare diz a mesma coisa em público. Agentes de codificação ainda precisam de um sistema de arquivos, git, bash e binários arbitrários, que é o motivo pelo qual sandboxes baseados em contêineres permanecem na escada do produto.

Agentes do Code Mode escrevem um artefato diferente. Ferramentas se tornam uma API TypeScript. O modelo escreve um programa que itera, filtra e encadeia chamadas. Apenas o resultado final retorna ao modelo.

O post do Code Mode da Cloudflare colocou de forma direta. LLMs são melhores em escrever código para chamar o MCP do que em chamar o MCP diretamente. O artigo da Anthropic sobre execução de código com MCP atingiu o mesmo padrão de forma independente, com um exemplo de Drive-to-Salesforce caindo de cerca de 150.000 tokens para cerca de 2.000.

Essas não são as mesmas decisões de produto. Um tempo de execução que combina com a escrita de agentes de codificação se parece com E2B, Vercel Sandbox ou os próprios Contêineres da Cloudflare. Um tempo de execução que combina com a escrita do Code Mode se parece com um isolado que pode aceitar fonte no momento da solicitação e começar barato o suficiente para que você não reutilize sandboxes entre tarefas.

O que os Dynamic Workers realmente carregam

Dynamic Workers não são um rebranding dos Workers clássicos e não são um rebranding dos Workers para Plataformas.

Workers clássicos implantam um script fixo. A plataforma executa esse script. Os agentes não inventam novos módulos em meio à solicitação sem um pipeline de implantação.

Workers para Plataformas implanta código de cliente ou IA em um namespace de despacho, e então roteia com DISPATCHER.get(name). Código multi-inquilino não confiável em isolados, sim. Carga de tempo de execução de "aqui está uma string que o modelo acabou de escrever", não.

Dynamic Workers dão a um Worker pai uma ligação worker_loaders. env.LOADER.load({ modules }) constrói um novo Worker a partir da fonte. get(id, callback) pode manter uma cópia aquecida de melhor esforço quando o código está estável. Nenhum projeto filho do Wrangler.

Sem upload de namespace. O anúncio enquadra os números que a Cloudflare quer que sejam lembrados. Isolados em poucos milissegundos e poucos megabytes, alegadamente cerca de 100× mais rápidos e muito mais leves do que contêineres típicos. Trate isso como afirmações do fornecedor até que alguém publique um A/B de carga de trabalho de agente independente.

A forma da API é a parte que você pode verificar hoje.

Advertência de linguagem, também dos documentos. Módulos Python existem e começam muito mais devagar. Para trechos de agente únicos, a Cloudflare recomenda JavaScript. Isso não é uma nota de rodapé se seu agente pensa em pip e notebooks.

Os preços são reais após 26 de maio de 2026. Apenas Workers pagos, incluindo Dynamic Workers únicos, então $0.002 por Worker único por dia, além de encargos padrão de solicitação e CPU. A CPU inclui inicialização (análise e inicialização), que os Workers clássicos não cobram da mesma maneira. load() com código sempre novo é uma cobrança única por invocação.

Barato em comparação com a inferência. Não é grátis se você criar fonte única o dia todo.

O modelo de capacidade é o produto. O padrão aberto é a armadilha

Loader bruto herda a rede do pai, a menos que globalOutbound seja definido como nulo ou um gateway.

A história de segurança não é "V8 é mágico." A própria Cloudflare diz que a superfície de ataque do isolado é mais difícil do que hipervisores e bugs do V8 aparecem com mais frequência do que bugs de hipervisores. A afirmação do produto que importa é injeção de capacidade.

O sandbox vê apenas o que o pai coloca em env (dados e stubs RPC ao vivo). A rede é um discador separado chamado globalOutbound.

Aqui está a armadilha que será enviada em metade dos tutoriais.

No API do Loader bruto, se você omitir globalOutbound, o filho herda a rede do pai, o que geralmente significa a Internet pública. Isso não é um boato. É o referência da API padrão.

No @cloudflare/codemode 0.5.1, DynamicWorkerExecutor faz o oposto. globalOutbound padrão é null, então fetch e connect falham, a menos que você passe um Fetcher de gateway.

Mesma plataforma. Padrões seguros opostos. Se você copiar um exemplo de load() e esquecer o campo, você não construiu um sandbox. Você construiu um eval com atraso ligeiro com saída.

O padrão pretendido é chato e correto.

• Defina globalOutbound como null, ou como um proxy que injeta credenciais.
• Exponha ferramentas como ligações RPC TypeScript, não como rede ambiente.
• Mantenha segredos do lado do host. Passar segredos para env ainda é possível. A plataforma não impede você de fazer algo estúpido. Ela impede o agente de forjar stubs que nunca lhe foram dados.

É por isso que o Code Mode e os Dynamic Workers são um par. Code Mode sem um sandbox é RCE de injeção de prompt. Um sandbox sem Code Mode é um isolado rápido à procura de um emprego.