OpenRouter、AIの危険な操作を別AIで止める 判定料は0円だ

OpenRouter Armor公開　実行前に別のAIが判定する

OpenRouterは、AIエージェントが実行しようとする操作を事前に調べて止める「Armor」をベータ版で出した。Armorはアプリとモデルの間に入り、エージェントからツールの実行要求が来るたびに中身を確かめる。違反と出た操作は実行されず、止めた理由がエージェントに返る。

判定に使うのはTypeSafeが作った「Jev」だ。文章を作るより分類や判断に特化したモデルで、決めたルールに当てはまる見込みを数値で返す。Armorはこれに操作の中身と会話の流れを渡すので、文字列の一致だけでは見分けられない危ない操作も拾えるという。

背景にあるのは承認の手間だ。コマンドのたびに人の許可を求めるとエージェントの便利さが消え、全部を自動で通すとファイルの削除や機密の外部送信まで通ってしまう。Armorはその間を埋める仕組みになる。

ルールは3段階　絶対禁止は利用者が頼んでも通らない

ルールは自然な英語の文で書き、強さを3段階から選ぶ。いちばん強い「絶対に禁止」に当たった操作は、利用者がプロンプトで頼んでも止まる。公式ガイドはここに認証情報の持ち出しを置く例を挙げている。

2段目の「原則として禁止」は、ふだんは止めるが正当に頼まれることもある操作に使う。AInformationが10月17日に公式ガイドを読むと、例はフォルダの削除だった。「古い下書きを片づけて」と頼んだだけでは全体を消すコマンドは通らない。「./reports/draftsを消して」と対象まで指定すれば、そのフォルダの削除だけが通る。

3段目の「例外として許可」は何も止めず、原則禁止を解くためだけにある。テストが自分で作った一時フォルダを消す動きを通す、といった使い方だ。会話の中で「確認するまでpushしないで」と言った場合は、ルールを書かなくてもその線を守る仕組みも最初から入っている。

Claude Codeのauto mode互換　他社モデルでも動く

ArmorはClaude Codeの「Auto mode」と同じ形で答えを返す。Auto modeはClaude Codeが操作の安全性を自分で判定して、人の承認を減らす機能だ。OpenRouterのエージェント実行環境「Ori」を通してClaude Codeを起動すると、OpenRouterで選べるほかのモデルでもこの仕組みが追加の設定なしで動く。

操作の可否を判定させるだけなら、OpenAIのDecisions APIのように判断に特化したモデルを自前で呼ぶ方法もある。その場合は判定の呼び出しと止めたあとの処理を自分で組むことになる。Armorはルールを書けばOpenRouterの中で判定から差し戻しまで済む点が違う。一方でClaude Code以外の自作エージェントに入れるときは、要求ごとにarmorの設定を足す必要がある。

試すなら監査モードから　ZDR指定の要求は403で止まる

判定の追加料金はベータ中0円　待ちは中央値279ミリ秒

ベータの間は判定に料金がかからない。OpenRouterは正式に出す前に料金を発表するとしており、設定の項目や判定結果の形式も変わる可能性がある。判定で増える待ち時間は中央値で279ミリ秒、9割が334ミリ秒以内だった。これはClaude Codeと互換のルールを読み込んだ状態での測定だ。

データを残さない設定と地域指定では使えない

公式ガイドには使えない条件も書かれていた。HIPAAの対象やZero Data Retention（ZDR）とデータを置く地域を指定した要求には、まだ対応していない。この条件でArmorを有効にすると403で断られる。Claude Codeからの要求だけは断られず、Claude Code側の判定に戻る。

判定用のモデルが時間切れなどで答えを返せないときは、初期設定ではその操作を止める。OpenRouter自身も、通したい操作を止めたり止めたい操作を通したりする誤りは起きると認めている。

まず監査モードで止まり方を数える

開発者向けには、操作を実際には止めず判定結果だけを記録する「監査モード」がある。自社のエージェントで数日回して、止まるはずの操作を拾えているかを見たい。普段の作業が止められていないかも確かめてから自動の停止に切り替えるとよさそうだ。Claudeで起きた想定外の操作の種類と並べてルールを書くと、抜けを見つけやすい。