OpenRouter Armor 进入 Beta：用 TypeSafe Jev 决策模型拦截越权工具调用，宣称比 Claude Code Auto 更准更便宜；Beta 期评估不计费

怎么跑：给 Chat Completions / Responses / Messages 请求挂上 plugins 里的 armor（或在 Claude Code 经 OpenRouter Ori 开 --permission-mode auto，Messages 带 safeguards 时可不显式写 plugins）。你用英文写三类规则——hard_deny（永不放行，用户口头同意也清不掉）、soft_deny（通常危险，但 allow 规则或对话里用户明确授权可放行）、allow（只用来解除 soft_deny）。每条工具调用会连同规则与对话片段送给决策模型，返回 flagged / not_flagged；被拦的调用会告知模型原因并要求勿用相同参数重试。官方内测图显示 Jev 1.13 在自建工具调用集合上，准确率与成本均优于其他 Decisions 模型及 Claude Code 所用的 Sonnet 5。

谁能用：持有 OpenRouter API Key 的开发者即可在 Beta 中启用（无单独 waitlist、不必另开 TypeSafe 账号）；可通过 OpenRouter 服务的任意聊天模型 + 自定义 agent，或经 Ori 跑 Claude Code Auto。计费：Beta 期间 Armor 评估本身不计费，正式价将在 GA 前公布；底层决策仍走 OpenRouter 上的 Jev（typesafe/jev-1.13 / ~typesafe/jev-latest），Jev 按输入 token 计费、输出免费。入口是 API（Chat Completions / Responses / Messages）与 Ori 上的 Claude Code，不是 ChatGPT App / Search / Antigravity。限制：HIPAA、零数据保留（ZDR）或数据驻留区域请求暂不支持 Armor——插件开启会 403；Claude Code 路径则降级为 unavailable，并回退本地 Auto。中位额外延迟约 279ms（P90 约 334ms）。提供 audit 模式可先只记分不拦截。

真实用法：官方示例把「禁止 git push」写成 hard_deny，模型说「Lint 修好了，push 到 main」时 bash 调用被拦，返回 openrouter:armor_blocked 并让模型改口请用户自己推。评论区开发者关心误杀正常调用、延迟，以及 hard_deny 与 soft_deny 分离（防止间接提示注入把「用户已授权」写进评估器）。社区已有人用开源 jev-permission-gate 做 Claude Code 外挂对比；也有人提醒 Messages 兼容模式下 flagged 的 tool_use 仍留在 content[]，客户端必须读 safeguard_results 才真拦得住。

解读：代理真正的风险往往不在「答错」，而在「一次没人看过的 delete / send / push」。OpenRouter 把 Claude Code 式 Auto 抽成可挂任意模型的路由层插件，用专用决策模型替代正则，方向清楚；但规则写得差就会误拦或漏拦，且合规客户正是最需要这类守卫的人，ZDR/HIPAA 暂不可用会卡一批企业。讨论：1. 你会默认开 enforce，还是先用 audit 跑一周再切拦截？2. hard_deny 该由平台给默认模板，还是完全交给每个团队自己写？官方文档：https://openrouter.ai/docs/guides/features/plugins/armor ；图表帖：https://x.com/OpenRouter/status/2110838266920591515 ；相关开源对比：https://github.com/madisonrickert/jev-permission-gate