2026
7 篇文章當 agent 也能改 production：Cloudflare 把 Workers 權限切到單一資源
Cloudflare 為 Workers 推出四種角色與資源層級授權，讓 CI 與 agent 只拿到單一 Worker 的權限。
閱讀文章 ↗區域路由的關鍵不是「在哪推論」，而是「請求在哪解密」
OpenRouter 推出 US/EU In-Region Routing，讓資料從解密到推論全程留在指定區域，避免合規審查翻車。
閱讀文章 ↗OAuth 不再全有或全無：Cloudflare 推出可自訂的授權範圍
Cloudflare 推出 OAuth scope customization，讓使用者在同意畫面取消勾選 optional scopes，不再只能全有或全無；對 MCP 與 agent 類應用特別實用。
閱讀文章 ↗Cloudflare OAuth 全開放：自助式用戶端與零停機引擎升級
Cloudflare 於 6 月 24 日宣布自助式 OAuth 開放給所有客戶，第三方整合不再依賴 API Token，文章詳述 Hydra 引擎兩階段零停機遷移與 P95 延遲近乎減半的過程。
閱讀文章 ↗HTTP QUERY 成為 RFC 10008：讀取型查詢的新標準
HTTP QUERY 方法正式標準化為 RFC 10008，讓讀取查詢可以帶請求主體又維持 safe 與 idempotent 語意，一舉解決 GET 網址過長與 POST 語意錯置這兩個 API 設計的老問題。
閱讀文章 ↗OpenRouter Guardrails：不改 code，在 workspace 層為 Agent 裝上成本與安全閘門
OpenRouter 推出 workspace 級 Guardrails：預算上限、ZDR、模型限制、prompt injection 防禦與 DLP 五合一，免改程式碼。本文拆解 per-entity 預算疊加、30 條 regex 的出口前攔截、只能更嚴的繼承模型與自動化 API。
閱讀文章 ↗OpenRouter 推出 Workspaces：多環境管理終於不是事後補丁
拆解 OpenRouter Workspaces 的環境隔離架構、帳號層級權限天花板、成員治理邊界與第一版限制，幫助開發團隊判斷何時該從 Default workspace 遷移到多環境設定。
閱讀文章 ↗
2026
5 ARTICLESScoping Cloudflare Workers Access So Agents Can't Touch Production
Cloudflare adds per-Worker roles and scoped API tokens so teammates and agents get only the access they need.
READ POST ↗In-Region Routing: The Difference Between Decryption and Inference
OpenRouter's US and EU endpoints now keep prompts and completions in-region for the full request lifecycle.
READ POST ↗Cloudflare's Task-Based OAuth Consent: Moving Beyond All-or-Nothing Permissions
Cloudflare now lets users deselect optional OAuth scopes at consent time. Learn how it works, why it matters for MCP servers, and how to handle partial grants.
READ POST ↗Cloudflare Opens Self-Managed OAuth to All Developers
Cloudflare opened self-managed OAuth to every customer on June 24, retiring the API-token workaround, after a zero-downtime Hydra engine upgrade that cut API P95 latency by 45%.
READ POST ↗HTTP QUERY Becomes RFC 10008: What APIs Gain
The HTTP QUERY method is now RFC 10008 — safe, idempotent requests that carry a body, fixing GET's URL-length limits and POST's wrong semantics for read-only API queries.
READ POST ↗