OpenAPPA 是一种前沿的确定性 AI 护栏，对由提示注入或模型幻觉导致的数据外泄具有 100% 的抵抗力，并且是同类产品中首个不会破坏智能体的方案。
它是开放的、厂商无关的，并采用 MIT 许可证。
而且没错，它在基准测试中胜过竞争对手：
OpenAPPA89%
Claude Auto 模式90%
FIDES（Microsoft）41%
OpenAPPA0%
Claude Auto 模式10%
FIDES（Microsoft）31%
非确定性护栏没有抓住问题所在#
业界应对审批疲劳的答案是引入第二个模型来评判每一次工具调用：Claude Code 的 auto 模式、Codex 的 auto-review，以及其他auto 模式。
从设计上，它们无法跨工具调用追踪数据流。由于分类器本身也可被提示注入，执行框架会向它们隐藏工具输出，因此评判者根本看不到数据。
由于其概率性设计，即便是最好的方案也只能达到99.3%：在数百万次调用中，0.7% 意味着大量的泄露。
其他确定性护栏要么破坏智能体，要么根本不起作用#
针对 LLM 黑名单式地封锁命令是死路一条。封禁rm -rf /模型就写一个 Python 单行命令；封禁curl它就推送到外部 git 远程仓库。一串正则表达式也无法提供任何覆盖范围的可视性：没人能验证它是否堵住了每一条路径，或者三个普通工具串联起来是否就不会泄露。
规则集最终要么紧到破坏智能体，要么复杂到没人能审计它们究竟允许了什么。
OpenAPPA 追踪数据流，而非匹配模式#
OpenAPPA 是一个跨平台、可插拔的引擎，由单一配置驱动。它运行在智能体的提示词和执行循环之外，因此模型无法看到、协商或操纵它，并且它接入现有的智能体循环只需一处。
配置描述的不是允许和封锁的工具，而是数据源、受众、信任级别和权限。每条轨迹都带有一个安全标签，audience × trust：读取私有仓库会收窄受众，读取未经审查的网页会降低信任。该标签只会变得更加严格，而引擎以代数方式从中推导出每一个决策。
注入的提示词让智能体泄露机密是无关紧要的：你无法对一个代数进行提示词注入。因为配置是声明式的，你可以在 CI/CD 中验证你的整个工具图都被覆盖。配置是数据特定的，因此你可以扩展到数百万个智能体而无需更改它。
它充满了帮助智能体完成任务的技巧#
严格执法通常是效用消亡之处：一个赤裸裸的“禁止”会让智能体停滞、重试并失败。OpenAPPA 则返回一个机器可读的补救方案其中包含智能体可以合法继续的方式：
- 净化器转换载荷，掩蔽机密或编辑 PII，使其能够流向更广泛的受众。内置净化器开箱即用；自定义净化器，包括基于模型的，可以接入并具有清晰的爆炸半径。
- 授权机构批准一个特定操作，通过人工或内部 API，而不解除会话对后续调用的限制。
- 子智能体在一个一次性分支中隔离不受信任的读取，使父轨迹继续不受污染。
这就是将任务完成率从 37% 提升到 90% 的原因，在我们的基准测试并使确定性安全变得实用。