Cloudflare 在 AI 叙事里有两条线。第一条是边缘推理：Workers AI 让开发者在靠近用户的边缘图形处理器上运行托管大模型，而不是只在中心云区域运行，按推理用量收费。第二条是智能体互联网：管理层说，2026 年第二季度网络流量中非人类流量已经超过 50%，这个交叉点比它自己原先预计的 2027 年底早得多；它还在搭建智能体支付通道，包括变现网关、cloudflare.pay 和智能体钱包，目标是在 2026 年内产生第一笔智能体微支付收入——这是管理层愿景，不是已披露的收入科目。
这两条线解释了为什么市场愿意给它高估值，也解释了为什么它的毛利率承压：AI 流量和开发者流量增长越快，承载它们的网络和图形处理器成本就越重，而定价和成本优化能不能跟上，目前还没有答案。
一个必须诚实写出来的事件
2026 年 10 月 26 日，Cloudflare 在官方博客披露：Workers AI 上的 GLM-5.3 模型在 2026 年 8 月 27 日至 9 月 9 日期间，有 155 条回应返回了其他客户请求的数据，全部发生在提示词超过 681,280 个 token 的情况下。原因是两个重叠的故障：一是模型上下文窗口为 1,048,576 个 token，但预填充键值缓存池只有 681,280 个 token；二是 SGLang 引擎在分离式预填充与解码模式下的一个缺陷，让超长请求被标记为拒绝后仍把旧的键值状态传给解码端，并返回了 200 成功状态码。
时间线是：9 月 8 日经 HackerOne 由研究员 Gadi Evron 报告，9 月 9 日当天复现、设为私有并修复配置，10 月 26 日与 SGLang 方面协调披露。公司称没有证据表明有人故意利用，其他 Workers AI 模型不受影响，缓存池已扩到约 204 万个 token。截至本书写作时，没有发现与此事相关的监管处罚、诉讼或客户流失数字，不要凭空编造。
为什么 155 条也值得写一章？因为故障模式正好打在企业 AI 买家最怕的地方：租户隔离不是在身份和权限层被打破，而是在共享推理内存这一层被打破，而且是外部研究员先发现的，不是公司自己的检查先发现的。数量小，性质不小。
Act 4 是什么
Act 4 是 Cloudflare 内部的一个代号，指创造互联网新商业模式的产品：管理智能体流量，并通过微支付实现内容变现。按管理层在 2026 年第三季度电话会上的说法，第四幕要解决的问题是：当访问网站的不再只是人、越来越多是 AI 智能体时，内容生产者该如何获得回报。智能体不像人类访客那样看广告或付费订阅，Act 4 就是为这个缺口准备的产品方向。
2026 年第三季度，Act 4 录得了首笔收入。这是电话会披露的事实，规模未披露，本书不编数字。首笔收入的意义不在于金额，而在于它把 Act 4 从“管理层愿景”推进到了“已有真实付费”的阶段——与本章原文所写的“目标是在 2026 年内产生第一笔智能体微支付收入”对照，目标已经兑现。但只凭首笔收入还判断不了这门生意的规模，要看后续季度有没有持续付费与可复制的收费场景。
按爬取付费（pay per crawl）
按爬取付费是 Act 4 方向上最具体的一个产品机制。Cloudflare 官方博客于 2025 年 7 月 1 日宣布其上线，当时为私人测试：网站所有者可以对 AI 爬虫设定三种态度——允许、收费或屏蔽。选择收费时，爬虫的请求会收到 HTTP 402 Payment Required 状态码，并附带价格信息；Cloudflare 作为 Merchant of Record（交易记录商家）负责结算，即由它出面完成收费与结算流程，网站所有者不必自己去跟每一家爬虫运营方谈判与收款。
它把“爬或不爬”的二元选择变成了一张价目表：想用就付费，不想付费可被挡在门外，愿意免费开放也可继续允许。截至 2026 年 7 月，官方文档显示该功能仍处于封闭测试阶段，尚未全面开放。收入方面，公司未披露按爬取付费带来的收入数字，本书不编。最低单价等细节在二手来源里说法冲突，本书不写具体数字，只保留上面已经核实的机制本身。
毛利率的 Q3 读数
2026 年第三季度，Cloudflare 非 GAAP 毛利率为 72.4%，低于第二季度的 73.1%，环比下降 0.7 个百分点；GAAP 毛利率为 71.2%。GAAP 口径包含股权激励等项目，非 GAAP 口径剔除了这些项目；环比走弱与本章开头那句话连在一起：AI 与开发者流量越快，网络与图形处理器成本就越重。
管理层给出的长期毛利率区间是 70% 至 77%，第三季度的 72.4%（非 GAAP）仍在这个区间之内，尚未跌破下沿。管理层指出，AI 与开发者流量占比上升是压力来源：这类流量单位成本高于传统流量。原文的收尾在这里依然适用：定价和成本优化能不能跟上，目前还没有答案。
租户隔离的三层
GLM-5.3 事件值得单独写一章，不是因为数量大，而是因为它打穿的位置特殊。租户隔离可以分成三层来理解。第一层是身份与权限层，靠账号、密钥与访问策略区分谁能访问谁的数据。第二层是网络层，靠网络划分隔离不同租户的流量。第三层是共享推理内存层，多个租户的请求在同一台推理服务器上共享键值缓存等内存结构，靠引擎内部隔离保证 A 租户的请求不会读到 B 租户的数据。
按原文的事件描述，GLM-5.3 事件打穿的是第三层：超长提示词触发了键值缓存池与 SGLang 引擎的两个重叠故障，导致 155 条回应返回了其他客户请求的数据。前两层没有被突破的记录——没有证据表明有人冒用了别人的身份，也没有证据表明网络边界被绕过。故障发生在最底层、最靠近模型推理的地方。这也是原文提示框那句话的落点：数量小，性质不小。读者评估推理服务商时，可沿用这三层提问各自的隔离做法。
