Cloudflare Ask AI: Wie gut ist Agent Lee wirklich?

Cloudflare Ask AI ist die Schaltfläche oben rechts im Dashboard. Dahinter steckt Agent Lee, ein Agent, der dein Konto liest, Fragen in verständlicher Sprache beantwortet und seit April 2026 auch deine Konfiguration ändert, sobald du die Änderung genehmigst.

Das ist kein weiterer Docs-Chatbot. Es ist ein Agent, der Zugangsdaten innerhalb einer Control Plane hält, die einem großen Teil des Internets vorgelagert ist. Das verdient eine genauere Betrachtung als einen Launch-Post.

Alles Folgende stammt aus Cloudflares eigener Dokumentation und seinem Blog sowie aus öffentlichen Incident-Berichten von Menschen, die damit in Berührung kamen. Ich habe ihn nicht auf ein Produktionskonto losgelassen, und nachdem ich diese Berichte gelesen habe, habe ich es auch nicht eilig damit. Diese Entscheidung ist der Artikel.

Was hinter der Cloudflare-Ask-AI-Schaltfläche steckt

Agent Lee basiert auf Cloudflares eigenem Stack: dem Agents SDK, Workers AI für Inference, Durable Objects für die benutzerbezogene Speicherung von Unterhaltungen und das Gate zur Genehmigung von Schreibvorgängen sowie Cloudflares MCP server für die API-Tool-Definitionen.

Interessant ist, wie der Agent Tools aufruft. Statt Tool-Aufrufe einzeln auszugeben, schreibt das Modell TypeScript gegen eine generierte API, und dieser Code läuft sandboxed über ein Durable Object, das als Proxy mit Zugangsdaten fungiert. Cloudflare nennt das Codemode. API keys erscheinen nie im generierten Code, sondern werden serverseitig injiziert. Lesevorgänge laufen direkt. Schreibvorgänge stoppen an dem, was Cloudflare ein elicitation gate nennt, und im Launch-Post wird ausdrücklich klargestellt, dass die Bestätigungsabfrage das Gate selbst ist und keine bloße UX-Nettigkeit.

Cloudflare zufolge verarbeitet Agent Lee ungefähr 250.000 Tool-Aufrufe pro Tag über DNS, Workers, SSL/TLS, R2, Registrar, Cache, Tunnel und API Shield hinweg.

Als Architektur ist das ein echtes Design und sorgfältiger als die meisten Vendor-Copilots, die ich mir angesehen habe. Die Fehler liegen nicht in der Architektur.

Was Cloudflare Ask AI richtig macht

Das Versprechen hält im engen Anwendungsfall stand. Frag es, wo sich eine Einstellung befindet, und es ist schneller, als dich durch acht Tabs zu klicken. Bitte es um eine DNS-Abfrage oder eine Zertifikatsprüfung, und du erhältst eine Antwort, ohne die Seite zu verlassen. Bitte um ein Traffic-Diagramm, und es rendert über generative UI eines aus deinen Analytics-Daten.

Das Bewusstsein für dein Konto ist die echte Verbesserung gegenüber einer Docs-Suche. Es beantwortet Fragen zu deiner Zone und nicht zu einer hypothetischen Zone in der Dokumentation. Für alle, die das Cloudflare-Dashboard zweimal im Jahr öffnen und sich nicht daran erinnern können, ob eine Regel unter Rules, Caching oder Configuration liegt, ist das allein schon nützlich.

Wo Cloudflare Ask AI falschliegt

Drei Fehler sind öffentlich dokumentiert, und sie sind nicht dieselbe Art von Fehler.

Das Token, nach dem niemand gefragt hat

Ende Februar 2026 entdeckten Cloudflare-Nutzer in ihren Konten ein API token namens „Agent Lee (auto-generated)“, das sie nie erstellt hatten. Es zu löschen half nicht. Nach einer Aktualisierung erschien es wieder. Ein Community-Thread klärte die Ursache: Eine Einstellung namens „Let AI view your account“, versteckt hinter einer kleinen Steuerung im Ask-AI-Panel, war standardmäßig aktiviert ausgeliefert worden. Nach dem Ausschalten verschwand das Token dauerhaft.

Ein Nutzer in diesem Thread sagte, er habe die Einstellung nie aktiviert und keine Benachrichtigung erhalten. Ein ehemaliger Cloudflare-Mitarbeiter, der im selben Thread antwortete, stimmte zu, dass das Feature ohne Benachrichtigung veröffentlicht worden war, und wies auf etwas noch Schärferes hin: Der Agent wusste nichts von seinem eigenen Token. Das Team veröffentlichte anschließend Beta-Dokumentation und eine Token-Korrektur.

Dann fand ein Entwickler im Mai bei einer Prüfung der Zugangsdaten ein ähnliches Token in seinem Konto, erstellt am 28. April und erst drei Wochen später entdeckt. Sein Bericht, Cloudflare's Ask AI created an API token with read access to my entire account, beschreibt Lesezugriff auf alle Konten, alle Zonen und alle Nutzer, mehr als 160 Berechtigungen und kein Ablaufdatum. Seine Argumentation überzeugt: „Ein Assistent, der eine Frage beantwortet, braucht auf diese Frage begrenzten Lesezugriff.“

Cloudflares Dokumentation führt API tokens heute unter den Dingen auf, auf die Agent Lee nicht zugreifen kann. Beides kann gleichzeitig stimmen, wenn die für den Agenten bereitgestellte Berechtigung umfassender ist als der vorgesehene Verwendungszweck des Agenten. Genau das ist das Problem mit einem dauerhaften, weitreichenden Token ohne Ablaufdatum.

Schau nach: dash.cloudflare.com/profile/api-tokens.

Stille Nicht-Antworten

Im Mai berichtete ein Nutzer im Cloudflare-Community-Forum, dass Ask AI bei mehreren Fragen zur Traffic-Analyse auf „thinking about it“ stehen blieb und anschließend nichts zurückgab. Kein Fehler, keine teilweise Antwort, kein Hinweis darauf, dass etwas fehlgeschlagen war. Ein Cloudflare-seitiger Ansprechpartner konnte das Problem reproduzieren und sagte, das Team werde Änderungen ausliefern, um die Nicht-Antworten zu verhindern.

Das ist ein Beta-Bug und wird behoben werden. Ich erwähne ihn, weil er etwas über die Oberfläche verrät. Ein Chat-Panel ohne Systemfeedback lässt dich nicht erkennen, ob eine schwierige Frage oder eine kaputte Pipeline vorliegt.

Eine Cache-Regel, die durch einen genehmigten Schreibvorgang kaputtging

Der Bericht vom Juli ist derjenige, auf den du achten solltest. Ein Nutzer, der ein Caching-Problem untersuchte, arbeitete sich mit Ask AI durch die Analyse, sah, dass die Änderung erfolgreich gespeichert wurde, und stellte am nächsten Morgen fest, dass das Problem zurück war. Bei der weiteren Untersuchung stellte er fest, dass der Agent über die Rulesets API browser_ttl mit override_origin auf 0 gesetzt hatte. Die API akzeptierte den Wert. Das Dashboard markierte ihn später als ungültig, als die Regel im Bearbeitungsmodus geöffnet wurde. Die Regel war bereits in einem fehlerhaften Zustand ausgerollt worden, und das Umgehen des Caches blieb stillschweigend wirkungslos.

Lies diese Abfolge noch einmal, denn der Schutzmechanismus funktionierte genau wie vorgesehen, und trotzdem war das Ergebnis eine kaputte Produktionsregel.

Die Lücke, die das Genehmigungs-Gate nicht abdeckt

Das elicitation gate beantwortet eine Frage: Genehmigst du diesen Schreibvorgang? Es kann nicht die Frage beantworten, die diesen Nutzer tatsächlich getroffen hat: Ist dieser Wert korrekt?

„Setze die Browser-TTL für diese Cache-Regel“ zu genehmigen ist nicht dasselbe wie zu wissen, dass 0 in Kombination mit override_origin eine Regel erzeugt, die die API akzeptiert und das Dashboard ablehnt. Um das bereits bei der Genehmigungsabfrage zu erkennen, müsstest du die Einschränkung schon kennen. Und wenn du sie kennen würdest, würdest du keinen Agenten fragen.

Das ist die strukturelle Grenze von Confirm-before-write bei Infrastruktur. Autorisierung ist keine Validierung. Ein Mensch, der eine Änderung genehmigt, die er nicht bewerten kann, ist ein Stempel mit zusätzlichen Schritten. Und der Fehlermodus ist schlimmer als eine Ablehnung, weil eine stille Fehlkonfiguration wie ein Erfolg aussieht, bis der Traffic dir etwas anderes sagt.

Wenn du Agentensysteme baust, ist das die übertragbare Lehre. Ich bin beim Aufbau agentengesteuerter Publishing- und CMS-Workflows auf dieselbe Wand gestoßen: Der Genehmigungsschritt schützt dich nur, wenn der Mensch am Gate den Payload tatsächlich beurteilen kann. Andernfalls brauchst du Validierung im Tool und nicht Zustimmung in der UI.

Das Paradox des Free-Plans

Agent Lee befindet sich im September 2026 weiterhin in der Beta und ist weiterhin auf Konten des Free-Plans beschränkt.

Überlege, wer dadurch in die Testgruppe gelangt. Konten mit echter Komplexität, mehreren Zonen, Enterprise-WAF-Regeln und Umsätzen, die vom Cache-Verhalten abhängen, können es nicht nutzen. Die Konten, die es nutzen können, sind am wenigsten wahrscheinlich in der Lage zu erkennen, dass ein browser_ttl von 0 falsch ist, bevor es sie etwas kostet.

Ich verstehe die Logik hinter dem begrenzten Blast Radius. Das bedeutet aber auch, dass die Feedbackschleife genau mit der falschen Nutzergruppe läuft. Der Cache-Incident im Juli zeigt, wie das in der Praxis aussieht.

Wie ich Cloudflare Ask AI heute verwenden würde

Nur zur Erkundung und für Lesezugriffe: ja. Fragen, wo sich eine Einstellung befindet, wie eine Zone aktuell konfiguriert ist, ob ein Zertifikat gültig ist oder für ein schnelles Traffic-Diagramm. Geringes Risiko, echte Zeitersparnis.

Schreibvorgänge: nein. Nicht bei etwas, das Traffic verarbeitet, der mir wichtig ist. Lass dir sagen, was geändert würde, und nimm die Änderung dann selbst vor, dort, wo das Dashboard deine Eingabe validiert.

Drei Dinge, die du diese Woche unabhängig davon erledigen solltest, ob du es nutzt:

Nichts davon richtet sich gegen Cloudflare. Ich baue auf ihrem Stack auf, einschließlich Workers und D1 für Produktions-Wartelisten. Der Punkt ist, dass ein Agent innerhalb deiner Control Plane einer anderen Prüfintensität bedarf als ein Agent innerhalb deines Editors.

Fazit

Agent Lee ist der architektonisch ernsthafteste Vendor-Copilot, dessen Interna ich bisher gelesen habe. Codemode, ein Proxy mit Zugangsdaten, ein echtes Genehmigungs-Gate – alles auf den eigenen Primitives aufgebaut. Cloudflare hat den schwierigen Teil richtig umgesetzt.

Die Bewertung im September 2026:

Die Lücke zwischen Architektur und Rollout ist die eigentliche Geschichte. Cloudflare hat den Pfad für Zugangsdaten sorgfältig entwickelt und ihn dann standardmäßig aktiviert, ohne jemanden zu informieren. Damit wurde ein großer Teil dieser Sorgfalt mit einem einzigen Schritt zunichtegemacht.

Nützlich für Fragen. Noch nicht vertrauenswürdig für Änderungen.

Quellen

Geprüft am 18. September 2026.