AI 时代，人人能改自己的 App 了

云时代之后，软件一度被冻在发布那一刻：用户改不动底层逻辑，只能在既定功能里打转。Cloudflare 首席工程师 Jeremy Morrell 最近撰文提出「可扩展软件」（Extensible Software）的构想——当大模型能按用户口述生成代码，下一步就是让这些小段代码安全地挂在产品预留的扩展点上，自行运行、分发。

为什么「小功能」永远没人做

产品团队的时间和界面空间都有限，往往只服务最大用户群。地图软件里你想要的某个冷门功能，几十万人里可能只有几百人会用，开发它的投入远超收益。Y Combinator 的 Pete Koomen 把这类只服务少数人的工具称作「小软件」（Small Software）。过去一年里，伴随 vibe coding 兴起，写一个只服务自己的工具成本骤降，会计、医生、律师等职业第一次有机会拥有真正「顺手」的小软件。

让用户代码跑起来，要过五道关

Morrell 指出，平台要为陌生人代码提供执行环境，必须解决五个问题：

• 成本：百万用户各自挂载代码，闲置时资源开销应近乎为零，单次调用压到几分之一美分；
• 冷启动：关键路径上等待时间需控制在个位数毫秒级；
• 限额：CPU、内存、网络请求、日志写入都要设硬上限，避免教程级代码拖垮系统（Morrell 在 Heroku 听过一个真实案例：一份新手教程教两行死循环每秒打印几百万行 hello world，导致服务瞬间过载）；
• 隔离：崩溃、死循环、恶意逃逸以及 Spectre 这类推测执行攻击都不能跨用户扩散；
• 能力：代码必须真的能做事，没有可用接口就毫无意义。

三代安全模型：最终走向「能力」

早期平台直接把 API 密钥交给扩展，灵活但危险——拿到密钥的代码可转发任意第三方请求。改进版加一层代理做白名单与限流，但维护成本随上游 API 演化持续攀升。Morrell 认为真正的答案是第三代——能力（Capability）：平台不交出任何凭据，只递给用户代码一个个现成的函数，比如「读取已批准的某封邮件」。数据始终留在平台侧，用户代码既看不到钥匙，也没有外发通道。附带的好处是，把一份 TypeScript 写的能力定义丢给大模型，比甩 OpenAPI 格式的 JSON 更省 token 也更准。

四种隔离方案，各有取舍

Morrell 列出业内四条主流路径：

• 嵌入式解释器：Lua、QuickJS 或自研引擎，最轻量；
• V8 Isolates：复用 Google 多年安全加固投入，代表有 Cloudflare Dynamic Workers、Node 的 isolated-vm、Rivet 的 secure-exec；
• MicroVM：砍掉 USB、显卡、磁盘等设备模拟，隔离最强、可运行二进制，Firecracker、libkrun 属此列；
• WASM + WASI：权限显式授予，工具链最复杂但起点最干净。

四条并不互斥：WASM 可以跑在 V8 Isolates 里，也可以跑在 MicroVM 里；MicroVM 在编译打包、测试扩展等环节仍有独立价值。

现实进展：Cloudflare OS 与 Codex

十年失败的赌注正在被 AI 救活。现为 Cloudflare Workers 技术负责人的 Kenton Varda 十年前创办 Sandstorm.io，主张「每一份文档跑在独立沙箱，程序拿不到任何你没有亲手递过去的东西」，因生态成熟度不足而搁浅。2026 年 8 月 5 日，Cloudflare 以 Apache 2.0 协议将该理念重新开源为 Cloudflare OS。

OpenAI 在《Codex as a Platform》里开源的智能体框架指向同一方向：与其让每个团队都迁就一个通用编码助手，不如把智能体嵌进他们本就在用的软件里——工程流程、运维仪表盘、安全调查、客服控制台都可以装。分工上，界面、业务上下文、工具和审批边界归应用方，智能体循环与沙箱执行归框架。

平台设计的代价

Morrell 在平台领域深耕近十年，他的判断并不轻松：平台难设计、难运维、难调试。一旦对外暴露扩展 API，意味着大量的前期思考与长期兼容性承诺。但如果产品经理愿意开这个口子，用户做出来的东西往往超出团队的设想——「你会被他们的创造力吓一跳，他们做出来的东西，是你从没设想过、甚至以为不可能的。」判断一个 App 好不好，未来也许要多问一句：它允许你改多少。