AI代理正准备删掉一个文件，或者把一段机密信息发到外部服务器——在它动手之前，另一个AI先跳出来把它拦住了。OpenRouter刚刚上线的Armor，干的就是这件事。
这套功能目前以测试版形式提供。它的逻辑并不复杂：在AI模型和应用程序之间插一层，AI代理每次要调用工具、执行操作，先由另一个AI模型过一遍，判断这次操作是否违反预设规则。违规的，直接拦下。
为什么需要这么一层？因为AI代理能做的事，比聊天AI多得多。它可以按用户指令写程序、改文件、操作外部服务。权限越大，翻车越狠——判断失误一次，可能就是重要文件被删，或者敏感数据被送出去。
那让用户每次操作都点一次确认呢？安全是安全了，但一个任务中途要确认几十次，代理的便利性也就没了。反过来，全部自动放行，危险操作同样会一路畅通。
Armor的判定核心，是TypeSafe开发的AI模型Jev。这个模型不擅长写文章，专攻分类和判断，特点是能把"符合某个条件的可能性"用数值表示出来。靠它，Armor能结合对话上下文识别危险操作，而不是只做简单的字符串匹配——后者往往识别不出真正的问题。
规则由开发者用自然语言设定，分成三档：
- 绝对禁止：比如把机密信息发送到外部，这类操作即使用户亲自下令，也会被拦下
- 原则上禁止：比如删除文件，但如果用户明确指定了删除对象，或者命中许可规则，仍可执行
- 例外许可：符合条件的情况下放行
判定时，模型会同时对照操作内容、对话历史和设定规则。被拦下的操作不会执行，AI代理会收到拦截理由，然后可以换个方式再试，或者把情况解释给用户听。
OpenRouter在社交平台上举了个例子：用户说了"把我们的工作推上去"，那么 git push 这类操作会被放行；而用户从没要求过的危险命令，则会被标记出来。判断的优先级，是用户意图。
性能方面，OpenRouter给出的数据是：安全检查带来的额外处理时间，中位数为279毫秒，90%的处理在334毫秒以内。
对开发者来说，还有一个"审计模式"——只记录判定结果，不真的拦截操作。开发者可以先用这个模式验证安全规则，调整到位之后再开启自动拦截。
Armor还和Anthropic旗下AI编程代理Claude Code的"Auto mode"兼容。通过OpenRouter的代理运行环境Ori，开发者可以在OpenRouter提供的多种AI模型上，复用Claude Code那套操作审批机制。
费用上，测试版期间安全性判定不额外收费。OpenRouter表示会在正式提供之前公布价格，同时提醒：测试期间设置项和判定结果的格式都可能发生变化。
让AI管AI，听起来像是把裁判权交给了另一个球员。但至少从延迟数据看，这个裁判跑得够快。
热门跟贴