2026年7月27日、Cloudflare Researchチームはpvcliを公開しました。これはプライベートネットワークプロトコル用のコンソールクライアントです。見た目は「OHTTP用のcurl」で、コマンドのスタイルは同じですが、通常のリクエストの代わりに、サーバー受信者があなたのIPを見えない三者間の暗号化された交換を構築します。中間ノードはリクエストの内容を確認できません。コードはApache 2.0の下にあり、今後はMASQUEとPrivacy Passのサポートを予定しています。
プロキシ業界にとって、これは「GitHubでの別のリリース」ではありません。これは、Apple、Google、Mozilla、Metaが数年間静かに導入してきたプロトコルスタックを手に取るための初めての便利な方法であり、定期的に「プロキシの代替」として提供されています。実際に何があるのかを分析し、人々がレジデンシャルおよびモバイルプロキシを購入する理由を解決できるかどうかという主要な質問に正直に答えましょう。ネタバレ：いいえ、その理由は「まだ成長していない」ではなく、アーキテクチャ的なものです。
具体的に何が公開されたのか：pvcliの詳細
pvcliはRustで書かれており、cargo install --gitのコマンド一つでインストールできます。READMEによると、これはHTTP/2およびHTTP/3クライアントで、GETおよびPOST、TLS 1.3、HPKE（RFC 9180）による暗号化をサポートしています。主なモードはOblivious HTTPです：クライアントは最初のホップ（リレー）とゲートウェイを指定し、ツールは自動的にすべての暗号化とバイナリHTTPへのパッケージングを実行します。
- 通常のリクエスト：
pvcli https://example.com/cdn-cgi/trace、フラグ--http3を付けるとQUIC上で動作します。 - OHTTPモード：
pvcli --ohttp --first-hop https://relay --proxy https://gateway -X POST https://target。 - 従来のプロキシ：
pvcli -x https://proxy.example.com https://target.example.com— つまり、HTTP CONNECTは消えていません。
著者たちは正直に警告しています：このソフトウェアは実験的であり、監査を受けていません。ポスト量子HPKEはまだサポートされておらず、一部の仕様はまだRFCにもなっていません。これはデバッグツールであり、製品として完成されたものではありません。そして、これが興味深い理由です：以前は他のOHTTP統合を検証するには、自分のSwiftやRustのコードが必要でした。
Oblivious HTTP：分離して支配せず
OHTTPはRFC 9458として2024年1月12日に標準化されました。アイデアは優雅さにまでシンプルです：「あなたが誰であるか」と「あなたが何を要求しているか」の知識を二つの独立した参加者の間で分散させることです。
- クライアントは、ゲートウェイの公開鍵に対してエフェメラルキーでリクエストを暗号化します — 各リクエストごとに新しい鍵ペアが生成されます。
- リレー（オブリビアスリレー）はあなたのIPアドレスを見ることができますが、暗号文を受け取ります：物理的にあなたがどこに何を尋ねているのかを読むことはできません。
- ゲートウェイはリクエストを復号し、オリジンに転送しますが、あなたのIPではなくリレーのIPを見ます。
重要な保証はunlinkabilityです：オリジンはあなたの二つのリクエストを結びつけることができません。重要な制約は信頼です：リレーとゲートウェイが共謀するか、同じオペレーターのもとにある場合、すべてのプライバシーは崩壊します。NCC Groupは監査で実際の課題 — キーのローテーション、レート制限、ネットワーク遅延の許容についても指摘しました。
プロダクションでは、プロトコルはすでに機能しており、リストは印象的です：
- Apple — Apple Intelligenceおよび「写真」のEnhanced Visual Search用のPrivate Cloud Compute; OHTTPのSwiftサポートは2024年8月に登場しました。
- Google — Privacy Sandbox、k-anonymity、およびIPを開示せずにSafe BrowsingでのURL検証; リレーとしてFastlyが機能します。
- Mozilla — ユーザーを特定せずにFirefoxのパフォーマンスメトリクスを収集します。
- Meta — WhatsAppのMeta AI用のPrivate Processing（2025年）、これもFastlyを通じて。
- Flo — 2022年からCloudflare Privacy Gatewayを基にした周期トラッカーの「匿名モード」。
ゲートウェイは、CloudflareやFastlyの他に、Internet Security Research GroupがDivvi Upサービスで立ち上げています。つまり、インフラは実在するものであり、紙の上のものではありません。
MASQUE：これが本当にプロキシに似ている
Cloudflareがpvcliに追加することを約束しているスタックの第二部はMASQUEです。これはIETF作業グループのプロトコルファミリーで、プロキシをHTTP内部に移動させます：
- RFC 9298（2022年8月）、CONNECT-UDP — HTTP内部でのUDPプロキシ; クライアントは
:protocol: connect-udpを持つ拡張CONNECTを送信し、プロキシはQUIC DATAGRAMフレームをUDPパケットに変換します。 - RFC 9484（2023年10月）、CONNECT-IP — 完全なIPレベル：生のIPパケットがHTTP Datagramsに包まれ、HTTP/3サーバーが同時にTCP、UDP、ICMPを処理できるVPNゲートウェイに変わります。
両方の仕様は、QUICとUDPがネットワークレベルでカットされている場合にHTTP/2へのフォールバックを要求します — これは企業やプロバイダーのネットワークで定期的に発生します。実際、MASQUEは、トラフィックが二つの独立したホップを通過する現代の「プライベートリレー」の基盤となるものです：最初のホップはあなたを知っていますが、受取人は知りません。逆もまた然りです。
Privacy Pass：キャプチャの代わりに匿名パス
第三の要素はPrivacy Passで、三つの文書で標準化されています：RFC 9576（アーキテクチャ）、RFC 9577（HTTP認証スキーム）、およびRFC 9578（トークンの発行プロトコル、プライベートおよびパブリックに検証可能）。論理は二段階です：発行 — あなたは一度人間または信頼できるクライアントであることを証明し、盲目的に署名されたトークンの束を受け取ります；引き換え — トークンをサイトに提示し、キャプチャなしで通過させ、発行の瞬間とトークンを結びつけることはできません。
これは「良いボットに合法的なアクセスを与える」というアイデアの背後にあるメカニズムそのものです — それは署名されたエージェントとWeb Bot Authの基盤でもあります。トレンドは同じです：ネットワークアイデンティティ（IP）とアクセス権（トークン、署名）を分離することです。
これがプロキシを置き換えるのか？幻想なしの分析
このスタックからのニュースが出るたびに、「OHTTPがあるのにプロキシは必要ないのか？」という主張が浮上します。問題は、プライベートプロトコルとプロキシが異なるタスクを解決し、片方をもう片方に置き換えることは四つのポイントで破綻することです。
1. OHTTPはサイトがそれを展開した場所でのみ機能する
これはインターネットのオーバーレイではなく、受信者側のオプトインです：ゲートウェイはオリジン（またはその請負業者）を立ち上げて設定します。「OHTTPを介して」任意のマーケットプレイスやソーシャルネットワークにアクセスすることはできません — そこには単にゲートウェイが存在しません。すべての導入は、自社のユーザーのIPを自社のバックエンドから隠す企業です。外部サイトからデータを収集するためのメカニズムは原則として適用できません。
2. 出口はデータセンターであり、誰もがそれを知っている
たとえゲートウェイが存在しても、外部へのリクエストはCloudflare、Fastly、またはISRGのアドレスから出ます。これは公に知られたホスティングプロバイダーのASNです。アンチボットシステムはIPをネットワークタイプによってランク付けし、クラウドリレーのアドレスは他のデータセンターのアドレスと同じスコアを受け取ります。オリジンからのプライバシーは得られましたが、「普通の家庭のユーザーのように見える」ことはできません。これが、レジデンシャルプロキシと実際のプロバイダーのアドレスを持つモバイルCGNATネットワークのプールが必要な理由です。
3. 地理、ローテーション、スティッキーセッションがない
プロキシインフラは、プライベートプロトコルには設計上存在しないものを提供します：国、地域、プロバイダーの選択、管理されたIPのローテーション、必要な分だけのスティッキーセッション、異なるアカウント用の異なるプール。OHTTPは「ドイツから特定のISPのネットワークを介して出る」ことを選択させません — あなたの手元には出口の概念が全くありません。ローカルの配信、地域ごとの価格、または地理的に制限されたコンテンツの処理を確認するためには、これは解消できない違いです。
4. 信頼モデルが異なる
OHTTPは、リレーとゲートウェイが独立している限り、特定のオリジンにリクエストを結びつけることから保護します。プロキシは、サイトがあなたの本当のアドレスとネットワークプロファイルを見るのを防ぎます。最初はユーザーのテレメトリーとリクエストのプライバシーに関するものであり、後者はアクセスと負荷分散に関するものです。タスクは部分的にしか重ならず、片方からもう片方への「移行」は不可能です。
実際に役立つものは何か
- もしあなたが自社のAPIにテレメトリーやリクエストを送信する製品の開発者であれば — Privacy GatewayやDivvi Upを介したOHTTPは、収集される個人データの量を実際に減少させ、弁護士との会話を簡素化します。pvcliは、ゼロからクライアントを書くことなくこれをデバッグすることを可能にします。
- もしあなたが公開データを収集しているなら — スタックは何も変わりません：出口ポイントとその評判はあなたの課題です。大量のパースには、引き続きデータセンターのプロキシとロイヤルなプラットフォームでのローテーション、そして真剣なアンチボットが導入されたレジデンシャルプロキシの組み合わせが機能します。
- もしあなたが複数のアカウントで作業しているなら — プライベートプロトコルは隔離の問題を解決しません：プラットフォーム上のセッションはIPだけでなく、ブラウザのフィンガープリンティングや行動によっても結びつけられます。IP層とアイデンティティ層の違いは、プロキシとVPNの違いについての資料で詳しく説明されています。
- もしあなたが「ホワイト」アクセスを自動化しているなら — ここでは注意深く見守る必要があります。Privacy Passと署名されたエージェントは、ボットに「人間に似ている」ことではなく、提示されたトークンによってアクセスを与えるモデルに向かっています。これはニュースの中で最も有望な部分です。
結論
pvcliの発表は成熟度の良い指標です：プライベートプロトコルは研究プリントの段階を抜け、デバッグツールを手に入れました。OHTTP、MASQUE、Privacy Passは、インターネットがクライアントのアドレスを扱う方法を実際に再構築しており、数年後には「サイトがあなたのIPを見る」ということがユーザートラフィックの公理でなくなるでしょう。
しかし、データを収集したり、複数のアカウントを管理したり、地域ごとの配信を確認したりする人々にとっては、何も変わりません。プライベートプロトコルは、あなたを招待された相手から隠します。プロキシは、招待状が発行されない場所に必要であり、そこでネットワークの種類、アドレスの評判、プールの質が依然としてすべてを決定します。Privacy Passを将来の合法的なボットのチャネルとして注視しつつ、実際のために正常なプロキシインフラを維持することが賢明です。
```