TrustedRouter의 게이트웨이는 GCP Confidential Space 내에서 실행됩니다. 플랫폼은 실행 중인 바이너리의 측정값에 서명하며, 여러분은 그 해시를 이 저장소와 비교할 수 있습니다. 일치한다면, 여러분의 프롬프트를 처리하는 코드가 여기서 읽을 수 있는 코드와 동일하며, 프롬프트를 디스크에 절대 기록하지 않는다는 것을 가정이 아닌 확신할 수 있습니다.

계정 없이 60초 만에 직접 검증하세요:```bash NONCE=$(openssl rand -hex 16) curl -s "https://api.trustedrouter.com/attestation?nonce=$NONCE" | jq .

eat_nonce your nonce (replay-protected)

image_digest SHA-256 of the running container

pcrs boot-time platform measurements

Compare image_digest to the published artifact at

https://trustedrouter.com/security — match = the running code is this repo.

| | 신뢰 모델 |
|---|---|
| OpenRouter, 호스팅 제공업체 | "우리는 로그를 남기지 않습니다." 검증할 수 없는 정책. |
| Portkey, Cloudflare AI Gateway | 관측성을 위해 모든 것을 로깅. |
| LiteLLM | 셀프 호스팅이지만, 실행 중인 프록시는 검증되지 않음. |
| **TrustedRouter** | **오픈 소스 + 하드웨어 증명. 코드 경로를 검증하세요; 아무것도 로깅하지 않습니다.** |

솔직한 범위: 증명은 실행 중인 바이너리가 게시된 바이너리임을 증명하며,
이는 논스(nonce)로 챌린지할 수 있는 하드웨어 상에서 이루어집니다. 물리적 호스트 접근 권한을 가진 국가 행위자를 막아내지는 못하며,
오픈 소스 바이너리에 버그가 없음을 증명하지도 않습니다.
신뢰 앵커는 Google Confidential Computing의 하드웨어 기반 증명
체인입니다. 업스트림 제공업체는 자체 정책에 따라 프롬프트를 처리합니다 — 각 제공업체의 입장은 모델 페이지에 게시되어 있습니다.

</details>

---

## 저장소 레이아웃

이 저장소는 컨트롤 플레인 계약을 구현합니다: 라우트 커버리지, 인증/키
관리, 청구 원장 의미론, 사용 메타데이터, 프롬프트/출력 로깅
금지, Sentry 스크러버, 그리고 제공업체 추상화. 증명된 게이트웨이
구현은 `quill-cloud-proxy`에 있습니다.

신뢰 경계: `api.trustedrouter.com`은 증명된 프롬프트 경로이며
Confidential Space 내부에서 TLS를 종료해야 합니다. `trustedrouter.com`은 컨트롤
플레인이며 프로덕션 추론 폴백을 절대 제공해서는 안 됩니다.

`api.quillrouter.com`은 영구적인 작동 별칭(동일한 증명된
게이트웨이 및 인증서)으로 남아 있으므로, 기존 통합은 마이그레이션 없이 계속 작동합니다.

## 로컬```bash
uv sync
uv run pytest
uv run uvicorn trusted_router.main:app --reload

실행 중인 인스턴스에 대한 엔드투엔드 스모크 테스트:```bash TR_SMOKE_BASE_URL=http://127.0.0.1:18080/v1 uv run python scripts/smoke_e2e.py

프로덕션 환경에서는 `TR_SMOKE_BASE_URL=https://api.trustedrouter.com/v1`를 설정하고,
내부 게이트웨이 라우트가 토큰으로 보호되는 경우 `TR_SMOKE_INTERNAL_TOKEN`을 설정하세요.

로컬 운영자/프로바이더 키를 다음 위치에 설정하세요:```text
/Users/jperla/claude/.quill_cloud_keys.private

해당 파일은 절대 커밋되지 않습니다. dotenv 스타일일 것으로 예상됩니다:```text ANTHROPIC_API_KEY=... OPENAI_API_KEY=... GEMINI_API_KEY=... CEREBRAS_API_KEY=... DEEPSEEK_API_KEY=... MISTRAL_API_KEY=... STRIPE_SECRET_KEY=... STRIPE_WEBHOOK_SECRET=... SENTRY_DSN=...

배포 스크립트는 일부 운영자 파일에서 이미 사용 중인 로컬 별칭도 허용합니다: Anthropic용 `CLAUDE_API_KEY`, OpenAI용 `CHATGPT_API_KEY`, 그리고 `STRIPE_SECRET_KEY`용 `STRIPE_KEY`.

Vertex는 다른 제공자 플랫폼과 다릅니다: 프로덕션 GCP 배포는 Cloud Run 또는 Confidential Space 서비스 계정과 메타데이터/ADC에서 발급된 단기 Google 액세스 토큰을 사용합니다. 자사 선불 Vertex 경로를 위해 이 파일에 장기 수명의 Vertex 키를 넣지 마세요; 대신 런타임 서비스 계정에 Vertex 권한을 부여하세요.

## 라이선스

Business Source License 1.1. 소스는 공개되어 있어 누구나 TrustedRouter의 프라이버시 및 증명(attestation) 주장(https://trust.trustedrouter.com) 뒤에 있는 정확한 코드를 읽고, 빌드하고, 검증할 수 있습니다 — 그것이 이곳에 있는 이유입니다. 비프로덕션 사용(보안 검토, 감사, 로컬 평가)은 무료입니다. 프로덕션 사용은 Lore Hex Corp의 상용 라이선스가 필요합니다: [email protected]. 각 버전은 공개 후 4년이 지나면 Apache License 2.0으로 전환됩니다. 2026년 7월 3일 이전에 공개된 코드는 Apache-2.0으로 유지됩니다.

## 보안 기본값

- 프롬프트 및 출력 콘텐츠는 절대 로깅되지 않습니다. 일반적인 동기 및 스트리밍 추론은 이를 보관하지 않습니다. 옵트인 Batch API는 엔클레이브 암호화 아티팩트를 최대 30일 동안 일시적으로 보관합니다.
- 사용 로그에는 메타데이터만 포함됩니다.
- API 키는 불투명한 키 ID와 함께 솔트 처리된 SHA-256 해시로 저장됩니다.
- 사용자가 제출한 BYOK 제공자 키는 키당 하나의 Secret Manager 객체가 아니라 봉투 암호화(envelope-encrypted)된 암호문 행으로 저장됩니다. 프로덕션에서는 Cloud KMS가 키별 DEK를 래핑합니다; 외부 `env://...` 참조는 운영자 관리 키에 대해 계속 지원됩니다.
- 게이트웨이 인증에는 암호화된 BYOK 봉투용 비밀이 아닌 `byok_cache_key`가 포함됩니다. 증명된 게이트웨이는 이를 짧은 TTL의 메모리 전용 복호화 키 캐싱에 사용합니다; BYOK 교체는 키를 변경하고 삭제는 봉투 반환을 중단합니다.
- BYOK 원시 키는 일회성 입력 전용입니다; 공개/컨트롤 플레인 응답은 짧은 첫/마지막 키 힌트와 암호화된 참조 메타데이터만 노출하며 평문은 절대 노출하지 않습니다.
- 프로덕션 구성은 내부 게이트웨이 토큰, 서명된 Stripe 웹훅 시크릿, 비메모리 스토리지 백엔드가 없으면 폐쇄적으로 실패합니다.
- 프로덕션 컨트롤 플레인 앱은 `/chat/completions`, `/messages`, `/responses`, `/embeddings`를 등록하지 않습니다; 이들은 증명된 API 플레인에 속합니다.
- Sentry는 컨트롤 플레인 전용이며 요청 본문, 인증 헤더, API 키, BYOK 키, 프롬프트 메시지, 출력 텍스트를 스크럽합니다. 클라이언트 측 Sentry 플러드 게이트는 지문당 반복 이슈와 프로세스/윈도우당 총 이벤트를 제한하여 단일 시끄러운 통합이 전체 오류 예산을 다시 소비하지 못하게 합니다.
- 증명된 엔클레이브에는 Sentry 구성이 포함되어서는 안 됩니다.

## 브로드캐스트 관측성