Kitesurf: Cloudflare hat einen Browser für Agents gebaut, nicht für Menschen

Drei Zahlen aus Cloudflares eigener Benchmark-Tabelle erklären fast vollständig, wofür Kitesurf gebaut wurde. Ein Screenshot-Job, der bei einer warmen Chromium-Instanz 271 MiB Speicher kostet, benötigt mit Kitesurf 58. Das Extrahieren des HTML derselben Seiten verbraucht 3,8-mal weniger CPU. Und Chromium gewinnt weiterhin bei der Stoppuhr, ungefähr um den Faktor 1,7, weil ein JIT, der die Seite bereits gesehen hat, einen kalten Software-Renderer jedes Mal schlägt. Cloudflares Wette lautet, dass die ersten beiden Zahlen diejenigen sind, die auf Ihrer Rechnung auftauchen.

Kitesurf ist ein Browser, der von Grund auf in Rust geschrieben, zu WebAssembly kompiliert und in V8-Isolates auf Cloudflare Workers ausgeführt wird. Er existiert für KI-Agents statt für Menschen und ist während der Beta in Browser Run, Cloudflares gehostetem Browserprodukt, kostenlos. Der Ankündigungsbeitrag ist ungewöhnlich ehrlich zu den Trade-offs, was einer der Gründe ist, warum ich finde, dass er mehr verdient als nur einen schnellen Blick auf die Überschrift. Ich habe ihn inzwischen mehrmals gelesen. Hier ist, was meiner Ansicht nach wichtig ist, was ich noch nicht glaube und was ich tun würde, wenn ich heute Agent-Workloads betreiben würde.

Wichtigste Erkenntnisse - Kitesurf ist ein von Grund auf neu gebauter Browser, Rust zu WebAssembly kompiliert, der in V8-Isolates auf Cloudflare Workers läuft und während der Beta über Browser Run kostenlos ist. Er spricht das Chrome DevTools Protocol, sodass Puppeteer und Playwright unverändert funktionieren. - Gegenüber Chromium verbraucht er bei typischen Agent-Aufgaben 3,1- bis 3,8-mal weniger CPU und 4,7- bis 7-mal weniger Speicher, läuft aber ungefähr 1,7-mal langsamer. CPU und Speicher sind die Ressourcen, nach denen Provider abrechnen. - Er wurde größtenteils von KI-Agents geschrieben, die gegen mehr als 215.000 Web Platform Tests als Ziel arbeiteten. Das ist für mich das interessanteste Engineering-Signal der gesamten Ankündigung. - Er kann kein Video abspielen, kein WebGL rendern, keine Bot-Prüfungen bestehen und keine langen authentifizierten Sessions halten. Behandeln Sie ihn als Wegwerf-Engine für zustandslose Extraktion, nicht als Chromium-Ersatz. - Die Security-Posture ist das eigentliche Produkt: Jeder Seitenaufruf gilt als feindlich, nur eine sandboxed Komponente berührt das Netzwerk, und alles andere ist darauf ausgelegt, weggeworfen zu werden.

Was passiert ist

Am 6. August kündigte Cloudflare Kitesurf an, einen Browser, den das Unternehmen in zwölf Wochen gebaut hatte, mit erstem Commit im Mai. Die wichtigsten Fakten stammen alle aus der Ankündigung:

• Der gesamte Browser besteht aus Rust, über wasm-bindgen zu WebAssembly kompiliert, ohne Emscripten-Emulationsschichten, und läuft in V8-Isolates auf Workers.

• Er besteht mehr als 215.000 Web Platform Tests, jede Woche kommen Hunderte hinzu. Die Abdeckung konzentriert sich auf das, was Agents brauchen: CSS, DOM, HTML, Selection, SVG, XHR.

• Er spricht das Chrome DevTools Protocol, sodass Puppeteer, Playwright, chrome-remote-interface und MCP-Clients mit CDP weiter funktionieren, wenn man lediglich browser=kitesurf zum bestehenden Browser-Run-Endpunkt hinzufügt.

• Während der Beta ist er innerhalb kontobezogener Limits kostenlos, und Cloudflare hat zugesagt, ihn als Open Source zu veröffentlichen, damit Kunden eine eigene Kopie in ihrem eigenen Account ausführen können.

• Er führt bereits Doom aus, natürlich. Kein Infrastrukturprojekt bei Cloudflare ist fertig, bevor Doom darauf läuft.

Das eine Zitat, das man behalten sollte, lautet: Browser-Engines wie Chromium "were built for humans, not agents, and they come with overhead that AI models simply do not need."

Kitesurf ist ein Browser, der von Grund auf in Rust und WebAssembly neu gebaut wurde, in V8-Isolates auf Cloudflare Workers läuft und während der Beta über Browser Run kostenlos verfügbar ist. Er besteht mehr als 215.000 Web Platform Tests und funktioniert mit bestehenden CDP-Clients wie Puppeteer und Playwright, laut Cloudflares Ankündigung vom 6. August 2026.

Warum Chromium zum teuren Kostenpunkt wurde

Die Nachfrageseite dieser Geschichte ist bereits geklärt. In McKinseys State of AI Survey 2025 sagten 62% der Organisationen, sie würden zumindest mit KI-Agents experimentieren, und LangChains State of Agent Engineering Report gab an, dass 57% der Befragten Agents in Production hätten. Ein großer Teil dieser Agents muss auf das Web zugreifen, und das Web bietet ihnen keine API. Es bietet ihnen einen Browser.

Der Browser, den sie heute bekommen, ist Chromium, eine Engine, die für menschliche Augen optimiert ist. Compositing, sanftes Scrollen, pixelgenaues Text-Shaping, Tabs, Extensions, Sync. Ein Agent, der eine Seite als Tokens und Struktur konsumiert, nutzt fast nichts davon. Chromium ist ein großartiges Stück Engineering, das als sehr teurer Text-Extractor missbraucht wird.

Der Markt hat das bereits eingepreist. Browserbase, das verwaltete Chromium-Sessions an Agent-Entwickler verkauft, schloss in der ersten Hälfte 2025 eine Series-B-Runde über 40 Millionen US-Dollar bei einer berichteten Bewertung von 300 Millionen US-Dollar ab, und Browser Use nahm im selben Frühjahr 17 Millionen US-Dollar Seed-Kapital auf. Das sind echte Unternehmen, die auf einer einfachen Tatsache basieren: Chromium auf Agent-Skala zu betreiben ist schmerzhaft und teuer, deshalb betreibt es jemand anderes gerne für Sie mit Aufschlag.

Cloudflare verkauft denselben Service. Im bezahlten Browser-Run-Tarif erhalten Sie zehn Browser-Stunden pro Monat und zahlen danach $0,09 pro Browser-Stunde. Der größte Input in diesen Preis ist, wie viel CPU und Speicher eine Browser-Session verbraucht, genau dort landen Kitesurfs Zahlen. Das ist Margin Engineering ebenso sehr wie Browser Engineering, und ich meine das als Kompliment.

Cloudflares eigene Mediane über einen 14-URL-Korpus beim Vergleich von Kitesurf mit einem warmen Chromium-Pool. Kitesurf gewinnt bei den Ressourcen, die die Rechnung treiben, und verliert bei der Stoppuhr, laut Ankündigung.

Eine ehrliche Einschränkung zu dieser Tabelle, bevor sie jemand gegen mich zitiert. Auf der Chromium-Seite steht ein warmer Pool, der diese Seiten bereits gesehen hat, genau deshalb gewinnt Chromium bei der Laufzeit. Cloudflare sagt das selbst und erklärt, ein Großteil der Lücke stamme aus Rasterisierung sowie JPEG/PNG-Encoding, das weiter optimiert werden soll. Ich würde die Laufzeitlücke als real, aber schrumpfend betrachten, den CPU- und Speicherabstand dagegen als strukturell.

KI-Agents, die das Web nutzen, mieten heute Chromium, eine Engine, die für menschliche Render-Fidelity gebaut wurde, die sie nie konsumieren. Cloudflares Benchmarks zeigen, dass Kitesurf bei Screenshot- und Extraktionsaufgaben 3,1- bis 3,8-mal weniger CPU und 4,7- bis 7-mal weniger Speicher als warmes Chromium benötigt, bei ungefähr 1,7-mal langsamerer Laufzeit. Browserbases 40-Millionen-Dollar-Series-B zeigt, dass der Markt Chromiums Overhead bereits mit Aufpreis bepreist hat.

Die Architektur, aus Sicht eines Praktikers gelesen

Das ist der Abschnitt, in dem sich die Länge der Ankündigung lohnt. Kitesurf besteht aus drei Komponenten plus einem Türsteher, und die Arbeitsteilung ist das Design.

Die Engine ist das einzige öffentlich zugängliche Element. Sie terminiert CDP WebSocket und REST APIs und hält Session State. Alles andere ist stateless, was wichtiger ist, als es klingt: Eine stateless Komponente kann man in dem Moment töten, in dem sie hängt, tausendfach parallel ausführen und muss sie nie rekonstruieren. Cloudflare sagt, jeder Fehler degradiere zu einem leeren Frame oder fehlenden Element, nie zu einer toten Session. Das ist der richtige Instinkt für Software, die den ganzen Tag beliebige feindliche Eingaben frisst.

PageScript ist der Ort, an dem die interessante Platform Dependency sitzt. Jede Seite und jedes Out-of-Process-Iframe erhält ein eigenes langlebiges Isolate, das über Dynamic Workers gestartet wird, mit sauberem globalThis und einem DOM, das aus dem geparsten Dokument aufgebaut wird. HTML Parsing und CSS stammen von Blitz, der DioxusLabs Rendering Engine, und Stylo, Servos CSS-System, beide Rust. Dynamic Workers ging erst im März in die Open Beta, mit Isolate-Starts in einstelligen Millisekunden, nach Cloudflares eigener Zählung ungefähr 100-mal schneller beim Booten als Container. Cloudflare sagt ausdrücklich, Kitesurf "simply wouldn't have been possible" davor. Das glaube ich. Per-Page-Isolates ohne globales Concurrency Limit sind der ganze Trick.

PageRenderer verwandelt die berechnete Seite in Pixel: Er holt die Szene aus PageScript, rastert mit blitz-paint und Parley und gibt über das eingebaute Workers RPC einen Buffer als JPEG, PNG oder PDF zurück. Weil er keinen Page State hält, kann die Engine ihn bei jedem hängenden Call töten und neu starten. Wegwerf-Renderer, wiederholbare Renders.

Dann gibt es das eval-Problem, mein liebstes ehrlich benanntes Detail im Beitrag. Workers unterstützt kein natives eval, und man kann dafür kein zweites Isolate starten, weil es globalThis nicht teilen würde. Also führt Kitesurf Boa aus, eine in Rust geschriebene JavaScript Engine, zu Wasm kompiliert, innerhalb des V8-Isolates. Eine JavaScript Runtime läuft auf einer JavaScript Runtime, um gelegentliches eval zu verarbeiten. Es ist hässlich, sie sagen, dass es hässlich ist, und es soll gelöscht werden, sobald natives eval verfügbar ist. So shippt man.

Und dann die Meta-Geschichte, die ich unter "Dinge, auf die man achten sollte" ablegen würde. Kitesurf wurde zu wesentlichen Teilen von KI-Agents geschrieben. Der erste Port von obscura, der Rust Headless Engine, die Cloudflare als Inspiration nennt, wurde von einem Agent gegen einen Plan umgesetzt. Vom Prototyp zum Browser skaliert wurde, indem Agents auf die Web Platform Tests als Zielpfosten angesetzt wurden, während Menschen die Reihenfolge der Features kuratierten, die Architektur verantworteten und Ansätze reviewten. Zweihundertfünfzehntausend bestandene Tests als Definition of Done. Das ist das klarste funktionierende Beispiel, das ich für das Muster gesehen habe, das ich Kunden ständig beschreibe: Agents schreiben den Code, Menschen halten die Spezifikation. Derselbe Split taucht auch in meiner breiteren Sicht auf agentische Architektur auf.

Kitesurfs Architektur isoliert jede Seite über Dynamic Workers in einem eigenen V8-Isolate, parst mit Blitz und Stylo aus dem Rust-Ökosystem, rastert in einem stateless Renderer und verarbeitet eval über die zu WebAssembly kompilierte JavaScript Engine Boa. Cloudflare berichtet, der Browser sei größtenteils von KI-Agents gebaut worden, die gegen die Web Platform Tests arbeiteten, während Menschen Architektur und Review verantworteten.

Das Threat Model ist das eigentliche Produkt

Hier wird meiner Meinung nach die meiste Berichterstattung unterschätzen, was Cloudflare tatsächlich gebaut hat. Die unbequeme Wahrheit über agentische Browser kam im August 2025 aus Braves Sicherheitsforschung zu Perplexitys Comet: In einem Reddit-Kommentar versteckte Anweisungen reichten aus, um aus "Fasse diese Seite zusammen" einen Agent zu machen, der E-Mail und Einmal-Passcode des Nutzers abruft. Same-Origin Policy und CORS, die beiden tragenden Wände der Web Security, helfen kaum noch, sobald die browsende Entität mit den authentifizierten Rechten des Nutzers handelt. Braves Follow-up im Oktober zeigte Injections über Screenshots, und Anthropic veröffentlichte im November eigene Prompt-Injection-Mitigations für Browser Use.

Consumer Agentic Browsers verstärken dieses Risiko bewusst: Der Sinn von Comet oder Atlas besteht gerade darin, dass der Agent Ihre eingeloggten Sessions erbt. Kitesurfs Haltung ist das Gegenteil. Jeder Page Load ist untrusted input. Jede Session startet frisch, Cookies liegen in per-page jars. Nichts berührt das Netzwerk außer einer sandboxed Komponente, SandboxOutbound, die CORS erzwingt, Responses filtert und für alles außerhalb der Policy eine 403 zurückgibt. Diese Beschränkung wird von der Plattform durchgesetzt, nicht dadurch, dass sich die Anwendung gut benimmt.

Klar gesagt: Das löst nicht alles. Prompt Injection auf der Model Layer bleibt das Problem des Models; wenn eine Seite Ihrem Agent sagt, etwas Dummes zu tun, verhindert keine Browser-Architektur, dass der Agent es tun will. Was Kitesurf begrenzt, ist der Blast Radius: worauf die Seite zugreifen kann, was die Session leaken kann, was einen Crash überlebt. Für jeden, der Agents baut, die im Auftrag Fremder browsen, ist diese Unterscheidung ein Großteil der Arbeit und gehört in dieselbe Diskussion wie Agent Governance allgemein.

Forschung zur Security agentischer Browser aus 2025, darunter Braves Analyse von Perplexity Comet, zeigte, dass Same-Origin Policy und CORS wenig Schutz bieten, sobald ein Agent mit den authentifizierten Rechten eines Nutzers browsed. Kitesurfs Antwort ist architektonisch: Jeder Page Load gilt als feindlich, Sessions starten frisch und Network Access ist standardmäßig blockiert, außer über einen sandboxed Fetcher, laut Cloudflares Ankündigung.

Was Kitesurf nicht kann und wann man es einsetzen sollte

Cloudflares eigene Ausschlussliste ist erfreulich direkt: kein Video, kein WebGL, kein Aushandeln von Bot-Challenge-Handshakes mit echten TLS-Fingerprints, keine zehnminütigen authentifizierten Sessions mit persistentem State. Für all das bleibt man im Standard-Chromium-Pool. Dazu kommen die 1,7-mal langsamere Laufzeit und CDP-Abdeckung, die noch nur eine Teilmenge ist, und die Form wird klar. Kitesurf ist eine ephemere Engine, die für die Dauer einer Aufgabe existiert und dann verschwindet.

Es ist auch nicht das einzige Team mit dieser Idee. Lightpanda, ein Startup aus Paris, baut einen Browser von Grund auf in Zig, der CDP spricht und nach eigenen Benchmarks elfmal schnellere Ausführung und neunmal weniger Speicher als Headless Chrome behauptet; im Juni 2025 nahm es eine von ISAI geführte Pre-Seed-Runde auf. Die Nicht-Chromium-These ist inzwischen eine echte Kategorie. Kitesurfs besonderer Unterschied besteht darin, dass es keine Browser-Flotte ist, die man von einem neuen Anbieter mietet. Es ist ein Browser, kompiliert für die Isolate-Plattform, auf der viele von uns ohnehin deployen, mit angekündigter Open-Source-Veröffentlichung, damit man ihn irgendwann im eigenen Account betreiben kann. Das ist ein Distribution Advantage, nicht nur ein Engineering Advantage.

Eine beratende Einschätzung auf Basis der angekündigten Fähigkeiten, keine Messung: Welche Agent-Workloads heute zu Kitesurf passen und welche auf Chromium bleiben. Die Ausschlüsse, Video, WebGL, Bot Challenges, persistente Sessions, sind Cloudflares eigene Liste.

Was jetzt zu tun ist

Wenn Sie Agents bauen oder betreiben, drei Schritte, in dieser Reihenfolge.

1. Heute: Öffnen Sie den öffentlichen Playground, den Cloudflare in der Ankündigung verlinkt, fügen Sie eine URL ein, die Sie tatsächlich verwenden, und beobachten Sie das Rendering. Die eingeblendete Chrome-DevTools-Ansicht zeigt DOM, Console und Memory Footprint pro Isolate. Das ist der billigste Weg, ein Gefühl dafür zu bekommen, was dieses Ding ist.

2. Diese Woche: Nehmen Sie einen repräsentativen Extraction-Workload und führen Sie ihn zweimal durch Browser Runs Quick Actions, einmal standardmäßig und einmal mit browser=kitesurf. Vergleichen Sie CPU-Millisekunden und Speicher, nicht Wall Time. Ihr Korpus wird von Cloudflares vierzehn URLs abweichen, und die ehrliche Zahl ist diejenige, die auf Ihren eigenen Seiten gemessen wird.

3. Diesen Monat: Wenn die Zahlen halten, routen Sie zustandslose One-Shot-Jobs zu Kitesurf und lassen alles Session-artige auf Chromium. Diese Aufteilung wird wahrscheinlich eine Weile der stabile Zustand sein.

Zwei Dinge sollten Sie nicht tun. Migrieren Sie Production Session Automation noch nicht; Beta-Konformität bei komplexen Enterprise Apps ist unbewiesen, egal was TodoMVC sagt. Und lesen Sie "passes 215,000 WPT tests" nicht als "renders the web". WPT misst Standards Conformance, weshalb Cloudflare zusätzlich Visual Regression Tests gegen Chromium auf echten Websites ausführt. Die Lücke zwischen beiden ist dort, wo Ihre Edge Cases leben. Wenn Sie noch dabei sind, Ihren ersten Agent Stack zu wählen, behandelt Build vs Buy AI Agents die breitere Build-versus-Buy-Frage.

FAQ

Ist Kitesurf kostenlos?

Ja, während der Beta innerhalb kontobezogener Limits. Kitesurf läuft auf den bestehenden Browser-Run-Plänen: Der Workers-Free-Tarif umfasst zehn Minuten Browser-Zeit pro Tag, und bezahlte Pläne enthalten zehn Browser-Stunden pro Monat und kosten danach laut Pricing-Seite $0,09 pro Browser-Stunde. Wie Pricing nach der Beta aussieht, wurde noch nicht angekündigt.

Funktioniert Kitesurf mit Playwright und Puppeteer?

Ja. Kitesurf spricht das Chrome DevTools Protocol, sodass Puppeteer, Playwright, chrome-remote-interface und MCP-Clients mit CDP zum bestehenden Browser-Run-Endpunkt verbinden, mit einer einzigen Änderung: browser=kitesurf zur Anfrage hinzufügen. Ihr Client-Code ändert sich nicht.

Was ist der Unterschied zwischen Kitesurf und Browserbase?

Browserbase verkauft verwaltete Chromium-Sessions als Hosted Service, mit Overhead und Fidelity eines vollständigen Browsers. Kitesurf ist eine von Grund auf neu gebaute Engine in Cloudflare Workers, die Fidelity und Wall Time gegen deutlich weniger CPU und Speicher pro Session tauscht und auf zustandslose Agent-Aufgaben zielt. Wenn Sie persistente Logins, Medien oder Navigation durch Bot-Prüfungen brauchen, ist das Chromium-Territorium, egal ob selbst betrieben oder von Browserbase gekauft. Wenn Sie günstige Screenshots und Extraktion in Burst Scale brauchen, ist Kitesurf genau dafür gebaut.

Wann wird Kitesurf Open Source?

Cloudflare hat sich zur Open-Source-Veröffentlichung verpflichtet, mit dem erklärten Ziel, Kunden eine eigene Kopie in ihren eigenen Accounts deployen zu lassen, aber außer "hopefully soon" kein Datum genannt. Da das Projekt zwölf Wochen alt ist, würde ich die Zusage als ernst gemeint und den Zeitplan als unbekannt behandeln.

Fazit

Kitesurf ist zwölf Wochen alt, und das merkt man in beide Richtungen. Die Grenzen sind real, die Laufzeitstrafe ist real, und niemand sollte dieses Quartal Chromium aus einer Production Pipeline reißen. Aber die Wette darunter, dass Agents einen Browser verdienen, der wie Agents statt wie Menschen geformt ist, sieht weniger nach Wette und mehr nach Beginn einer Kategorie aus. Cloudflare hat die Distribution, die Isolate-Plattform und nun die günstigste Engine in dem Segment, das es geschaffen hat. Beobachten werde ich, ob die Open-Source-Veröffentlichung tatsächlich kommt, denn ein Browser, den jeder im eigenen Workers-Account betreiben kann, ist etwas anderes als ein Browser, den man stundenweise mietet.

Wenn Sie abwägen, wo Browser in Ihrem eigenen Agent Stack sitzen sollten, ist das ein Gespräch, das ich regelmäßig mit Kunden führe. Kontakt aufnehmen.

Quellen

• Cloudflare, "Introducing Kitesurf: The agent-first browser that runs in V8 isolates on Cloudflare Workers": https://blog.cloudflare.com/kitesurf/ (veröffentlicht 2026-08-06, abgerufen 2026-08-28)

• Cloudflare, Browser Run documentation: https://developers.cloudflare.com/browser-run/ (abgerufen 2026-08-28)

• Cloudflare, Browser Run pricing: https://developers.cloudflare.com/browser-run/pricing/ (abgerufen 2026-08-28)

• Cloudflare, "Sandboxing AI agents, 100x faster" (Dynamic Workers open beta): https://blog.cloudflare.com/dynamic-workers/ (abgerufen 2026-08-28)

• McKinsey, "The State of AI 2025": https://www.mckinsey.com/capabilities/quantumblack/our-insights/the-state-of-ai-2025 (veröffentlicht 2025-11-05, abgerufen 2026-08-28)

• LangChain, "State of Agent Engineering": https://www.langchain.com/state-of-agent-engineering (abgerufen 2026-08-28)

• Sacra, "Browserbase research": https://sacra.com/research/browserbase/ (abgerufen 2026-08-28)

• TechCrunch, "Browser Use raises $17M": https://techcrunch.com/2025/03/23/browser-use-the-tool-making-it-easier-for-ai-agents-to-navigate-websites-raises-17m/ (veröffentlicht 2025-03-23, abgerufen 2026-08-28)

• Brave, "Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet": https://brave.com/blog/comet-prompt-injection/ (veröffentlicht 2025-08-20, abgerufen 2026-08-28)

• Brave, "Unseeable prompt injections in screenshots": https://brave.com/blog/unseeable-prompt-injections/ (veröffentlicht 2025-10-21, abgerufen 2026-08-28)

• Anthropic, "Mitigating the risk of prompt injections in browser use": https://www.anthropic.com/research/prompt-injection-defenses (veröffentlicht 2025-11, abgerufen 2026-08-28)

• Lightpanda, "Lightpanda raises pre-seed": https://lightpanda.io/blog/posts/lightpanda-raises-preseed (veröffentlicht 2025-06-10, abgerufen 2026-08-28)

• Lightpanda, homepage benchmark claims: https://lightpanda.io/ (abgerufen 2026-08-28)

• DioxusLabs, Blitz: https://github.com/DioxusLabs/blitz (abgerufen 2026-08-28)

• Boa, JavaScript engine in Rust: https://github.com/boa-dev/boa (abgerufen 2026-08-28)

• Web Platform Tests: https://web-platform-tests.org/ (abgerufen 2026-08-28)

• Wikimedia Commons, cover image "Kitesurfing in Sweden" (CC0): https://commons.wikimedia.org/w/index.php?curid=142794310 (abgerufen 2026-08-28)