OpenRouter Armorとは？AIエージェントの危険操作を防ぐ仕組みと設定・料金

OpenRouter Armorとは、AIエージェントが外部ツールを呼び出す直前に、別の検査用AIが実行内容を採点して不正な操作を未然に遮断する安全性ガード機能です。自律型エージェントにPC操作やコード実行を任せるとき、意図しないファイル消去や機密流出が起きないか不安を抱える開発者は少なくありません。

自律ツールに権限を渡すほど、事故のリスクは跳ね上がります。プロンプトに「危険なコマンドは実行しないでください」と書いても、モデルの気まぐれな解釈やプロンプトインジェクションで指示が破られる事例が相次いできました。

OpenRouterが2026年10月15日にベータ公開したArmorは、この課題をAPIレイヤーで解決します。エージェント本体とは独立した判定用モデルが、会話履歴とツール引数を客観的に照合。人間の承認待ちで作業を止めずに、安全な自律実行を実現する仕組みです。

---

OpenRouter Armorの仕組みとは？危険なツール呼び出しをどう防ぐのか

エージェント自身に自制を求めるのではなく、APIゲートウェイが独立したセーフティモデルでツール引数を審査します。

[利用者・タスク指示]
        ↓
[メインAIエージェント（Claude / GPT-6 / Geminiなど）]
        ↓ （ツール実行リクエスト: tool_calls）
[OpenRouter Gateway: Armor（TypeSafe AI Jevモデル）]
        ├── ポリシー適合・安全 → そのままツール実行へ渡す
        └── ポリシー違反・危険 → 実行前に遮断・エラー返却

AIエージェントは指示を達成するために、シェルコマンドの実行やファイル書き換え、外部API連携といったツールを使います。このツール実行（tool_calls）が発生した瞬間、OpenRouterのプロキシ層がペイロードを一時停止。Armorの判定エンジンへデータを送ります。

Armorの判定エンジンには、TypeSafe AI社が開発したセキュリティ特化モデル「Jev」が使われています。Jevはこれまでの会話履歴、利用者が設定したポリシー規則、そしてエージェントが実行しようとしている関数名と引数を読み込みます。

エージェントの提案が指示の文脈に合致しているかを採点。基準を満たさない操作や、あらかじめ禁止した危険操作に該当した場合は、ツールが実行される前にリクエストを即座に破棄します。エージェント自身に危険性を判断させない点が最大の特徴。メインモデルがどれほど乗っ取られても、外側の監視役が確実にストップをかけます。

自律エージェントの監視設計については、AIエージェントカテゴリでも複数のアーキテクチャを取り上げています。

---

従来の正規表現フィルターと何が違う？判定精度の比較

文字の一致を見る正規表現と異なり、Armorは前後の文脈から実行の意図を理解して判定します。

以下の表は、エージェントの安全対策として使われてきた主要な手法とArmorの違いをまとめたものです。

AI PICKS調べ: AIツール全体の有料プラン中央値は月2,850円（n=1,224、2026-10-18時点）。料金統計レポートで見る

従来の正規表現フィルターは単純な文字列マッチングに頼るため、コマンドの迂回工作に無力でした。たとえば rm -rf / は防げても、環境変数を使った文字列結合や find . -delete のような同義の危険操作を判別できません。

一方でClaude Sonnetのような大型モデルに毎回安全確認をさせると、ツールの呼び出しごとに数秒の遅延と高額なAPIコストが発生します。自律エージェントが1つのタスクで数十回ツールを叩く場合、推論費用だけで予算を圧迫しかねません。

Armorが採用するJevモデルは、ツールの判定タスクだけに最適化されています。OpenRouterの社内テストでは、Sonnet 5を使う判定手法と比較して、より高い正解率を維持しながら大幅な低コスト化を記録しました。専用の小型モデルを使うアプローチは、実用性の面で一歩抜きん出ています。

ツール呼び出しの自動化パイプラインを組む際は、AI自動化カテゴリの知見も参考になります。

---

TypeSafe AIの「Jev」モデルとは？ツール審査に特化した頭脳

汎用の推論能力を削ぎ落とし、ポリシー違反とプロンプト整合性のスコアリングだけに特化したセキュリティモデルです。

JevはTypeSafe AIが開発した防御特化のモデルです。一般的なチャットモデルのように長文の解説文を書く機能はありません。入力された会話履歴、ユーザーの初期指示、ツール引数を突き合わせ、あらかじめ定義された安全基準から逸脱していないかを高速にスコアリングします。

特筆すべきは文脈の照合能力です。単に「ファイルを削除するコマンドだから危険」と一律に弾くわけではありません。ユーザーが「一時フォルダのログファイルを消去して」と明示的に指示していれば、対象パスが合致している限り正常な操作として通します。

ユーザーの指示にないデータベースの全削除や、意図しない外部サーバーへのcurl通信といった「指示の範囲を逸脱した行動」だけを精密に捉えます。この文脈理解こそが、正規表現では絶対に真似できない強みです。

OpenRouter上でのモデル選定やルーティングの仕組みは、Jev Router解説記事でも詳しく取り上げています。

---

OpenRouter Armorの設定方法｜APIリクエストへの追加手順

既存のOpenRouter呼び出しコードに、pluginsパラメータを1つ書き加えるだけで有効化できます。

OpenRouter Armorの導入に複雑なSDKのインストールは不要です。OpenRouterのOpenAI互換エンドポイントに対してリクエストを送る際、リクエストボディにプラグイン定義を渡すだけで動作します。

import openai

client = openai.OpenAI(
    base_url="https://openrouter.ai/api/v1",
    api_key="your-openrouter-api-key",
)

response = client.chat.completions.create(
    model="anthropic/claude-sonnet-5-5",
    messages=[
        {"role": "user", "content": "プロジェクトのリファクタリングを行ってください"}
    ],
    tools=[...],  # エージェントが使うツールの定義
    extra_body={
        "plugins": [
            {
                "id": "armor",
                "policy": "ファイル編集は許可するが、環境変数ファイルや機密設定の閲覧・送信は一切禁止する。"
            }
        ]
    }
)

リクエストの extra_body（または直接JSONを構築する場合は最上位の plugins 配列）に id: "armor" を指定します。

オプションとして policy フィールドを渡すことで、プロジェクト固有の禁止事項や遵守ルールを自然言語で指定可能です。「自社データベースの更新は禁止」「git pushは許可しない」といった個別制約を、自然言語で柔軟に定義できます。

エージェント開発環境を整えたい方は、AIコーディングカテゴリも合わせてご覧ください。

---

Claude Codeの自動承認モードを安全に運用する設定テクニック

Claude Codeの全自動実行（--dangerously-skip-permissions）とArmorを組み合わせることで、暴走の防波堤を確保できます。

Anthropicが提供するCLIツール「Claude Code」は開発速度を劇的に引き上げる一方で、コマンド実行の承認を毎回人間が求められる点がボトルネックになりがちです。自動承認フラグを付けて放置すると、意図しないファイル破壊や破壊的変更が起きるリスクがつきまといます。

ArmorはClaude CodeのバックエンドモデルをOpenRouter経由で動かす構成にも対応しています。

# OpenRouter経由でClaude Codeを設定し、Armorを強制適用する構成イメージ
export ANTHROPIC_BASE_URL="https://openrouter.ai/api/v1"
export ANTHROPIC_API_KEY="your-openrouter-api-key"

この構成にしておけば、Claude Code側で全自動実行を許可していても、危険なシェルコマンドが発行された瞬間にOpenRouterのArmorが遮断します。

「夜間にバグ修正を自律実行させたいが、プロジェクト外のディレクトリを触られる事故だけは防ぎたい」という場面で重宝します。人間の目視確認を不要にしつつ、壊滅的なミスを防ぐ現実的な防護壁として機能します。

安全な自動運用を検討しているなら、AIセキュリティカテゴリの動向も見逃せません。

---

OpenRouter Armorの利用料金は？追加コストの考え方

Armorの利用に追加の月額固定費はなく、背後で走るJevモデルの推論トークン代のみが従量課金されます。

料金体系はOpenRouterの標準ポリシーに準拠します。利用した分だけアカウント残高から引かれる従量課金制です。

以下の表は、Armorを有効化した際にかかる費用の内訳を整理したものです。

Armorを導入しても、メインモデルの利用料が2倍になるような心配はありません。Jevは軽量な特化モデルとして設計されているため、1回あたりの検査コストはごくわずかです。

Sonnet 5などのフルの大型モデルを多重実行して安全確認を行う構成と比べれば、推論コストを大幅に抑えられます。大量のタスクを回す企業環境でも、コスト増を恐れずに導入できる設計です。詳細な最新単価はOpenRouter公式サイトのモデル料金一覧で確認してください。

モデルごとの利用コスト比較や最適化については、Comfy Routerの使い方と料金でも取り上げています。

---

AIエージェントに自律権限を与える3大リスクとArmorの防衛範囲

権限を与えたエージェントが直面する主要な脅威のうち、Armorはツール引数の異常検知をカバーします。

自律型AIにシェルアクセスやAPIキーを渡すと、3つの致命的なリスクが発生します。

[外部からの攻撃 / 内部の誤作動]
  ├── 1. 間接プロンプトインジェクション（Webページや外部データに潜む悪意ある命令）
  ├── 2. 自律ループ内の幻覚・論理破綻（誤った自己判断による無関係なファイル削除）
  └── 3. 権限昇格・意図しない外部通信（認証情報の不正送信や危険ポート開放）
        ↓
[OpenRouter Armorがツール呼び出しの直前で全件審査して遮断]

1つ目は間接プロンプトインジェクションです。Webスクレイピングや社内ドキュメントの読み込み時に悪意あるプロンプトが混入し、エージェントが「このコマンドを実行しろ」と操られる攻撃を指します。

2つ目はハルシネーションによる誤操作です。思考がループしたエージェントが「環境をリフレッシュする」と思い込み、無関係なディレクトリを全削除するような事故が実際に起きています。

3つ目は意図しない外部送信です。環境変数に含まれるAPIキーや認証情報を、外部の公開URLへ向けてPOSTしてしまう情報漏洩インシデントです。

Armorはこれらすべての「ツール引数として現れる危険操作」を検知します。メインモデルがどれだけ攻撃者に騙されていても、最終的に叩こうとしたコマンドがポリシーに反していれば水際で阻止します。

ブラウザを自動操作するエージェントのリスク管理については、Browser Use解説記事でも言及しています。

---

ワークフローツール・外部連携エージェントでの実践ユースケース

ノーコード自動化基盤やカスタムエージェントにArmorを挟むことで、社内システムへの破壊的書き込みを防げます。

外部ツールと連携するAIエージェントの代表的なユースケースをまとめました。

以下の表は、Armorが防護壁として機能する主な運用シーンの一覧です。

たとえば社内チャットボットにSQL実行ツールを持たせる場合、自然言語で「データを消して」と頼まれても実行してはいけません。Armorのポリシーに「更新・削除クエリの生成はすべて拒否する」と入れておけば、万が一モデルがDROP文を作っても実行を阻止できます。

ワークフロー自動化ツールと組み合わせる方法は、n8nをセルフホストで動かす手順やn8nでZapier代替を組む実践手順で詳しく解説しています。

---

導入前に知っておくべきArmorの制約と注意点

Armorは万能の銀の弾丸ではなく、いくつかの前提条件と不得意な領域が存在します。

まず、ArmorはOpenRouterを経由するAPIリクエストでしか使えません。AnthropicやOpenAIの公式APIを直接叩く通信には適用できないため、プロキシをOpenRouterに向ける必要があります。

また、ツールの引数にならない危険行動は防げません。チャットのテキスト回答そのものに機密情報を含めて利用者に返してしまうような「プロンプト漏洩」は、ツール呼び出しではないためArmorの検査対象外です。

さらに、検査用モデル（Jev）を挟む都合上、わずかながらミリ秒単位のオーバーヘッドが乗ります。極限のレイテンシが求められるリアルタイム通話AIなどでは、事後検証や別レイヤーでの制御を検討する必要があります。

ツールの総合的な選定基準については、AIセキュリティのランキングやAIエージェントのランキングもチェックしてください。

---

AI PICKS編集部の判定

OpenRouter Armorは、自律型AIエージェントを本番運用に乗せるなら一択の安全機構です。

これまでのエージェントセキュリティは、気休め程度のプロンプト指示か、柔軟性のない正規表現フィルター、あるいはコストが嵩む大型モデルの多重呼び出しという極端な3択しかありませんでした。ArmorはTypeSafe AIのJevという特化型モデルを採用することで、実用的な速度と破格の低コストでこの壁を突破しています。

特にClaude Codeのようなコーディングエージェントを完全自動で動かしたい開発者にとって、これほど手軽で頼もしい仕組みは他にありません。APIの引数にプラグイン設定を1行加えるだけで、危険コマンドの暴走を水際で食い止められます。

テキスト出力自体の漏洩には別途ガードが必要ですが、PC操作やAPI実行を伴う「行動するAI」の事故を防ぐ仕組みとしては圧倒的です。自律エージェントに本番権限を渡す前の安全弁として、迷わず導入をおすすめします。

---

よくある質問（FAQ）

Q. OpenRouter Armorを使うために特別な契約や追加プランは必要ですか？

事前の専用契約は不要です。OpenRouterの通常アカウントを持っていれば、APIリクエストのパラメータに指定するだけでベータ版を即座に利用できます。追加の月額固定費もかかりません。

Q. どのようなプログラミング言語・フレームワークに対応していますか？

OpenRouterのAPIを呼び出せる環境であれば、Python、TypeScript、Goなど言語を問わず利用可能です。LangChain、LlamaIndex、AutoGenなどのエージェントフレームワークでも、HTTPリクエストのパラメータを渡せる設計であればそのまま組み込めます。

Q. 日本語で指示を出しても正しく危険判定してくれますか？

日本語の文脈にも問題なく対応します。Jevモデルは多言語の会話履歴を理解した上でツール引数を照合するため、日本語で与えたユーザー指示と英語のシェルコマンドの関連性も正確に解釈します。

Q. 誤検知によって安全なツール呼び出しが拒否されることはありますか？

AIモデルによる判定である以上、誤検知をゼロにはできません。正当な処理が弾かれる場合は、Armorのポリシー設定に「このコマンドやディレクトリ操作は正当な用途として許可する」と明記することで判定精度を調整できます。

Q. Claude以外のモデル（GPT-6やGemini）でもArmorは機能しますか？

OpenRouterで提供されているツール呼び出し（Function Calling）対応モデルであれば、GPT-6系やGemini系など幅広いモデルで機能します。エージェント本体のモデルを柔軟に入れ替えながら、同じArmorの防護壁を使い回せます。

---

あわせて見たいツール・カテゴリ

AIエージェントの自律運用やセキュリティ対策を深めたい方は、以下の関連カテゴリやツール情報も確認してください。

• AIエージェントツール一覧・解説
• AIセキュリティ対策ツール一覧・解説
• AIコーディング支援ツール一覧・解説
• AI業務自動化ツール一覧・解説
• AIエージェントおすすめランキング
• AIセキュリティおすすめランキング

エージェントの自動ルーティングに関心があるなら、あわせてJev Routerとは？課題解決数82%増を実現するOpenRouter上のモデル自動選択と使い方を読むと、OpenRouterを軸にした次世代の安全運用基盤がより鮮明に理解できます。