Cloudflare công khai mã nguồn công cụ trình duyệt Kitesurf dành cho tác nhân AI

Ngày 13 tháng 11 năm 2026, Cloudflare thông báo rằng Kitesurf, công cụ trình duyệt thử nghiệm dành cho tác nhân AI của công ty, hiện được cung cấp dưới dạng mã nguồn mở theo giấy phép Apache 2.0. Nhà phát triển có thể kiểm tra và chỉnh sửa mã, chạy công cụ trên máy cục bộ hoặc triển khai phiên bản riêng trên Cloudflare Workers.

Kho mã nguồn công khai cho phép nhà phát triển vận hành và chỉnh sửa công cụ trong tài khoản Cloudflare của riêng mình, thay vì chỉ dựa vào các API Browser Run do Cloudflare quản lý. Cloudflare từng cam kết thực hiện bước này khi giới thiệu Kitesurf vào ngày 6 tháng 8 năm 2026, và một lần nữa trong bản cập nhật ngày 28 tháng 9 năm 2026, bổ sung hỗ trợ WebMCP, mở rộng phạm vi hỗ trợ API trình duyệt và Browser Run, đồng thời đưa vào khả năng kết xuất thiết bị đầu cuối.

Thiết kế Kitesurf tập trung vào tác nhân AI

Kitesurf chuyển HTML và CSS thành các trang đã kết xuất, chạy JavaScript trên trang và tạo ảnh chụp màn hình mà không cần Chrome hay vùng chứa trình duyệt. Công cụ cung cấp một điểm cuối Chrome DevTools Protocol (CDP), giao diện điều khiển được Chrome DevTools và các phần mềm tự động hóa tương thích sử dụng, nhờ đó các ứng dụng khách Puppeteer và bộ công cụ dành cho tác nhân AI có thể kết nối.

Bên trong, Engine điều phối các phiên trình duyệt và kết nối ứng dụng khách, PageScript chạy trang cùng JavaScript của trang, còn PageRenderer tạo ra hình ảnh hiển thị. Nền tảng dành cho nhà phát triển của Cloudflare được kết hợp với các thành phần Rust biên dịch sang WebAssembly: Blitz đảm nhiệm phân tích HTML, DOM, bố cục và vẽ; Stylo xử lý CSS; các thư viện Linebender phụ trách văn bản và đồ họa 2D; còn Krilla tạo đầu ra PDF. Boa cung cấp môi trường chạy JavaScript dự phòng bên trong WebAssembly khi mã của trang không thể chạy trong Dynamic Workers.

Cloudflare cho biết mục tiêu thiết kế là cung cấp cho tác nhân AI quyền truy cập web cần thiết với mức sử dụng CPU và bộ nhớ thấp hơn trình duyệt Chromium đầy đủ, đồng thời mở rộng quy mô theo nhu cầu trên mạng lưới Workers. Kiến trúc ban đầu xem mọi lần tải trang là dữ liệu đầu vào không đáng tin cậy và cách ly các thành phần tùy theo tài nguyên chúng cần. Một worker SandboxOutbound chuyên biệt xử lý toàn bộ yêu cầu truy xuất dữ liệu bên ngoài, thực thi chính sách mạng và giữ cookie của từng trang riêng biệt; các thành phần khác không thể truy cập mạng trực tiếp.

Tính phi trạng thái cũng là một phần trong thiết kế này. Engine giữ trạng thái phiên, trong khi các thành phần khác có thể được hủy bỏ khi thích hợp, nhờ đó dung lượng có thể điều chỉnh theo những đợt hoạt động tăng vọt của tác nhân AI. PageRenderer không lưu trạng thái trang lâu dài, vì vậy Engine có thể thay thế thành phần này sau khi yêu cầu kết xuất thất bại hoặc bị treo.

Yêu cầu và bảo mật khi tự lưu trữ

Để phát triển trên máy cục bộ, cần có Bazelisk, Node.js phiên bản 22 trở lên và pnpm 9.15.4. Lệnh phát triển sẽ xây dựng các mô-đun WebAssembly cùng các gói trang và bộ kết xuất, sau đó khởi chạy một engine cục bộ tại 127.0.0.1:8787. Lần xây dựng đầu tiên biên dịch phần lõi Rust và các phần phụ thuộc được tích hợp sẵn, còn những lần sau sử dụng lại bộ nhớ đệm của Bazel. Sau đó, nhà phát triển có thể kiểm tra trang bằng Chrome DevTools hoặc kết nối Puppeteer và các ứng dụng khách CDP khác.

Việc triển khai trên Cloudflare yêu cầu gói Workers trả phí, vì Dynamic Workers tạo ra các worker cách ly được dùng cho trang và bộ kết xuất. Sau khi thử nghiệm trên máy cục bộ, người vận hành có thể triển khai engine vào tài khoản của riêng mình như một lựa chọn thay thế cho các API do Browser Run quản lý.

Tự lưu trữ cũng đồng nghĩa với việc phải tự gánh một trách nhiệm bảo mật quan trọng. Bản thân engine không có cơ chế xác thực, còn địa chỉ workers.dev mặc định được công khai. Nếu không có Cloudflare Access hoặc một lớp xác thực khác, bất kỳ ai có URL đều có thể duyệt web thông qua engine, kết nối các ứng dụng khách CDP, gửi yêu cầu xuất phát từ tài khoản Cloudflare của người vận hành và tiêu tốn CPU trả phí cùng Dynamic Workers. Kho mã nguồn hướng dẫn người vận hành bảo vệ URL ngay lập tức, đồng thời giải thích cách bật Access trên toàn tài khoản trước khi triển khai để tránh có khoảng thời gian dịch vụ bị công khai.

Trạng thái thử nghiệm và quy trình đóng góp

Kitesurf vẫn đang trong giai đoạn thử nghiệm và được phát triển tích cực. Kho mã nguồn mô tả công cụ này là một điểm cuối CDP chứ không phải bản triển khai Chrome hoàn chỉnh; một số tính năng của Chrome DevTools vẫn chưa được hỗ trợ. Cloudflare ưu tiên khả năng tương thích, độ tin cậy và hiệu quả.

Khi ra mắt vào tháng 8, Cloudflare cho biết Kitesurf chưa phù hợp để xử lý video, WebGL, các bước bắt tay vượt thử thách bot đòi hỏi dấu vân tay TLS thực, hoặc các phiên đã xác thực kéo dài phụ thuộc vào trạng thái được duy trì liên tục. Những hạn chế đó cho thấy các bước kiểm tra khả năng tương thích vẫn rất quan trọng đối với khối lượng công việc của tác nhân AI, ngay cả khi mức tiêu thụ tài nguyên của một trình duyệt gọn nhẹ hấp dẫn.

Quy trình đóng góp được thiết kế để hỗ trợ công việc đang tiếp diễn này. Cloudflare đề nghị những người muốn đóng góp mở một vấn đề kèm bản tái hiện tối giản hoặc phương án đề xuất, đồng thời được người duy trì dự án xác nhận trước khi gửi yêu cầu hợp nhất. Những thay đổi tập trung, có kiểm thử và phạm vi xác định rõ được ưu tiên, nhưng báo cáo lỗi kết xuất có thể tái hiện, quy trình tự động hóa bị lỗi và đề xuất sửa tài liệu cũng đều được hoan nghênh.

Đối với nhà phát triển, sự đánh đổi là có quyền kiểm soát trực tiếp ngăn xếp trình duyệt, đổi lại phải tự bảo mật môi trường triển khai và chấp nhận rằng khả năng tương thích của engine với Chrome và nền tảng web vẫn chưa hoàn thiện.