OmniRoute, il gateway AI open-source da 28.000 stelle: cosa chiede in cambio

Il 30 giugno 2026 un repository che pochi conoscevano è arrivato in cima a GitHub Trending. Si chiama OmniRoute, è scritto in TypeScript, esce con licenza MIT e oggi raccoglie circa 28.500 stelle e 4.400 fork. La riga di apertura del README resta in mente: «Never stop coding». Sotto, la promessa operativa: un solo endpoint locale, 290 provider di modelli dichiarati (90 con piano gratuito), 500 modelli, e un instradamento che passa al provider successivo appena la quota del primo si esaurisce.

Chi passa la giornata dentro Claude Code, Cursor, Codex o Cline capisce l'attrattiva in tre secondi. Vale la pena capire anche il resto.

Centinaia di fili che convergono in un solo fascio: è la promessa architetturale di un gateway, ed è anche il punto in cui si concentra il rischio.

Un endpoint al posto di trenta chiavi

Il software gira sulla macchina di chi lo installa ed espone un indirizzo compatibile con l'API OpenAI, http://localhost:20128/v1. Gli strumenti di sviluppo puntano lì e smettono di occuparsi di quale modello stanno interrogando: la scelta la fa il router, con dodici parametri vivi (salute del provider, quota residua, costo, latenza, tasso di successo) e diciannove strategie configurabili, dalla priorità fissa al costo minimo, dal round-robin al panel con giudice.

Attorno al router c'è il resto: un livello di compressione che riscrive i prompt per consumare meno token, un server MCP integrato, un'applicazione desktop e una PWA, una resilienza a tre strati con circuit breaker per provider e lockout per modello. È una quantità di superficie funzionale considerevole per un progetto giovane, e questo è insieme il punto di forza e il primo indizio.

Da dove arrivano i token gratuiti

Il numero che circola di più è «1,5 miliardi di token gratuiti al mese». Il metodo di calcolo è dichiarato: la somma dei piani free documentati di oltre quaranta pool di provider. È una somma teorica. Per arrivarci l'utente apre un account su ciascun servizio, lo mantiene attivo e accetta il fatto che i piani gratuiti cambino condizioni quando i fornitori lo decidono. Una recensione hands-on pubblicata il 20 luglio conta 11 provider realmente utilizzabili prima di qualsiasi registrazione, su oltre 230 disponibili.

C'è di più, e sta nelle discussioni pubbliche del progetto. Alcuni provider «gratuiti» funzionano leggendo i cookie di sessione delle interfacce web: DeepSeek Web, Qwen Web Free, LMarena Free. In pratica il gateway si presenta a un servizio pensato per un browser umano fingendo di essere quel browser. Il repository documenta anche una funzione di camuffamento dell'impronta TLS (JA3/JA4) e un proxy MITM trasparente per gli strumenti che ignorano le impostazioni di proxy: due tecnologie nate per aggirare i sistemi anti-bot.

L'analisi indipendente più puntuale, firmata dallo sviluppatore tedesco Florian Gahn, elenca 19 provider i cui termini d'uso vietano esplicitamente l'accesso via proxy, Fireworks, NLPCloud e Modal fra questi, e ricorda che Google Antigravity vieta l'accesso da software di terze parti. La responsabilità contrattuale resta intera sull'account di chi installa.

Il capitolo sicurezza

A maggio Socket.dev ha bloccato il pacchetto npm alla versione 3.8.5 con un punteggio di supply chain di 48 su 100. L'issue #2863, tuttora aperta, elenca il perché in sei punti: installazione di un certificato radice su Windows, macOS e Linux; modifica di DNS e file hosts; un server MITM incluso nel pacchetto; lettura dei token dei provider dal portachiavi di sistema via keytar; esecuzione di PowerShell elevato con ExecutionPolicy Bypass; sincronizzazione di accessToken e refreshToken verso un endpoint cloud configurabile. Il manutentore ha corretto due vulnerabilità reali nella 3.8.6, una sovrascrittura di credenziali nel Cloud Sync e un difetto nell'import dal portachiavi. Le domande architetturali restano aperte.

Il file SECURITY.md del progetto conferma la parte più delicata: la cifratura a riposo delle credenziali usa AES-256-GCM con derivazione scrypt ed entra in funzione quando l'utente valorizza la variabile STORAGE_ENCRYPTION_KEY. Con quella variabile vuota il server parte lo stesso e le chiavi restano in chiaro sul filesystem. La stessa recensione del 20 luglio segnala un segreto JWT di default, omniroute-default-secret-change-me, che chiunque conosca il progetto può usare per forgiare un token amministrativo su un'istanza lasciata alle impostazioni di fabbrica. I guardrail contro la prompt injection leggono i primi 16.384 byte di ogni richiesta e, in caso di errore interno, la lasciano passare.

Quanto pesa una persona sola

Il README rivendica «500+ contributors». I contatori pubblici raccontano una distribuzione diversa: 261 contributori censiti, con 2.968 commit su 3.264 firmati dallo sviluppatore principale e 188 dal secondo. Il ritmo di rilascio è di circa due versioni al giorno, 287 pubblicazioni npm in 149 giorni. A quella velocità le regressioni arrivano: la 3.8.48 del 14 luglio è un hotfix della 3.8.47, che si bloccava all'avvio per file mancanti, terzo episodio della stessa classe di errore.

Anche il dato di punta sulla compressione merita una lettura ravvicinata. Il README dichiara un risparmio del 15-95 % con media intorno all'89 %; la misurazione indipendente riporta 18 % sul lavoro di coding, 50 % sulla generazione di contenuti, 65 % sui chatbot, media 42 %, con 50-200 millisecondi aggiunti per richiesta. La compressione è lossy per costruzione: riduce il contesto che il modello riceve, e l'effetto resta invisibile finché una risposta arriva più povera del previsto.

Cosa resta di buono

Archiviare OmniRoute come pura furbizia sarebbe un errore. Tre idee reggono bene. Il fallback consapevole della quota, che tratta il limite del piano come un evento ordinario di esercizio invece che come un errore da gestire a mano. Il local-first, con chiavi e traffico che restano sulla macchina di chi lavora, la stessa direzione che seguono gli stack sovrani europei (AI Privacy First parte da lì). E la telemetria di costo restituita negli header di ogni risposta, che rende il consumo leggibile mentre accade invece che a fine mese.

C'è poi un segnale di mercato. Ventottomila stelle in poche settimane misurano quanto sia sentito il problema del costo e della frammentazione dei fornitori di modelli. Il livello gateway sta diventando uno strato di infrastruttura a sé, con alternative già mature su fronti diversi: OpenRouter come servizio gestito con certificazione SOC 2 e commissione del 5,5 % sui crediti, LiteLLM come progetto self-hosted con budget per chiave, RBAC e audit log. Chi ha bisogno di governance la trova già lì.

Tre mosse a costo basso

Per chi guida la tecnologia in azienda il tema pratico è la diffusione silenziosa: un gateway di questo tipo si installa in due minuti sul portatile di uno sviluppatore, legge il portachiavi di sistema e installa un certificato radice, e la funzione IT lo scopre dopo. Tre azioni valgono la spesa, e restano valide qualunque strumento si scelga.

Primo: mettere per iscritto quali endpoint di modelli sono ammessi dai dispositivi aziendali, e trattare l'installazione di un certificato radice come un evento da autorizzare esplicitamente. Secondo: verificare i termini d'uso dei fornitori di cui l'azienda consuma i piani gratuiti, perché il rischio contrattuale segue l'account, e l'account è spesso aziendale. Terzo: chiedere a chi propone un gateway le tre risposte che contano, dove finiscono le credenziali, cosa produce l'audit trail, chi risponde entro quanto tempo a una segnalazione di sicurezza. Un progetto giovane può rispondere bene: il punto è avere la risposta per iscritto prima dell'adozione, invece che dopo l'incidente.

Autore

Pablo Liuzzi

Founder, Synthos Logic