GCP 原生的「模型層防火牆」

Day19、Day20 談的是開源工具鏈（garak、NemoClaw），這篇要介紹 GCP 原生的對應方案：Model Armor。如果說 Day14 的 Cloud Armor 是網路流量層的 WAF，Model Armor 就是語意內容層的過濾器——它專門用來檢查 LLM 的 Prompt 與回應內容，偵測敏感資料外洩、Prompt Injection/越獄、以及攻擊性內容。

兩種整合模式

Model Armor 目前提供兩種整合方式：

Floor Settings（專案層級預設保護）：對整個專案內所有新建的 Vertex AI 預測端點套用預設的安全設定，這個模式目前已正式 GA（General Availability）——這代表企業可以放心把它當成正式生產環境的基礎防線，而不只是實驗性功能。

Templates（逐請求保護）：針對特定請求套用客製化的安全政策模板，彈性較高，適合不同應用場景需要不同過濾強度的情況。

Model Armor 目前整合的服務包括 Vertex AI（透過 Floor Settings 或 Templates 直接整合）、GKE（透過 Service Extensions，目前為 Preview 階段）、以及 Gemini Enterprise Agent Platform（透過 Templates 做 inline 防護）。

跟 Cloud Armor 的分工

Day14 提過「Cloud Armor 管流量、Model Armor 管內容」——這篇可以講得更具體：Cloud Armor 在請求進入應用程式之前就做流量層的過濾（速率限制、地理封鎖、已知攻擊特徵），Model Armor 則是在請求進入模型、以及回應離開模型的兩個時間點，做語意內容層的檢查。兩者是流水線上前後接續的兩道關卡，不是互斥的選擇。

一個實務上要注意的取捨：延遲

Model Armor 的內容審查會帶來額外的延遲——業界有開發者實測過，跨區域呼叫的延遲可能落在數百毫秒等級，同區域內部呼叫則明顯較低。對即時互動性要求高的應用（例如即時語音客服），這是評估要不要導入、或是導入哪一種整合模式時必須納入考量的成本，而不是可以忽略的細節。