Tutoriel 9 : Paramètres de sécurité

Bon retour ! Dans ce tutoriel, nous plongeons dans l’un des sujets les plus importants d’Hermes Agent : la sécurité. Si vous avez suivi les épisodes précédents, vous savez qu’Hermes est puissant. Mais un grand pouvoir implique de grandes responsabilités — et Hermes vous couvre avec un modèle de sécurité en profondeur.

Imaginez un château avec plusieurs murailles. Même si une couche est franchie, les autres vous protègent. Passons en revue les huit couches, puis concentrons-nous sur la plus pratique : l’approbation des commandes dangereuses.

Les huit couches de sécurité

Hermes vous protège sur huit fronts :

Autorisation utilisateur — contrôle qui peut parler à l’agent
Approbation des commandes dangereuses — intervention humaine pour les opérations destructrices
Sécurité des écritures fichier — liste noire et sandbox optionnelle pour les écritures
Isolation par conteneur — sandboxing Docker/Singularity/Modal
Filtrage des identifiants MCP — isole les variables d’environnement pour les sous-processus MCP
Analyse des fichiers contextuels — détecte les injections de prompt dans les fichiers projet
Isolation entre sessions — les sessions ne peuvent pas accéder aux données des autres
Assainissement des entrées — valide les paramètres de répertoire de travail pour prévenir les injections shell

Ça fait beaucoup de protection ! Mais celle avec laquelle vous interagirez le plus est l’approbation des commandes.

Comment fonctionne l’approbation des commandes dangereuses

Avant d’exécuter une commande, Hermes la vérifie par rapport à une liste de motifs dangereux. Si elle correspond, vous devrez l’approuver. Simple, non ?

Vous configurez cela dans ~/.hermes/config.yaml :

approvals:
  mode: smart                     # smart | manual | off
  timeout: 300                    # secondes d'attente pour l'approbation
  cron_mode: deny                 # deny | approve
  single_query_mode: deny         # deny | approve
  mcp_reload_confirm: true        # confirmer avant de recharger les outils MCP
  destructive_slash_confirm: true # confirmer avant /clear, /new, etc.

Les trois modes d’approbation

Le mode Smart (par défaut) est le juste milieu. Il utilise un LLM auxiliaire pour évaluer le risque :

Les commandes à faible risque (comme python -c "print('hello')") sont approuvées automatiquement
Les commandes réellement dangereuses sont refusées automatiquement
Les cas incertains sont escaladés vers une demande manuelle

Le mode manuel vous demande toujours. Pas d’approbation automatique, pas d’exception.

Le mode off désactive toutes les vérifications — équivalent à lancer avec --yolo. À n’utiliser que dans des environnements de confiance comme les conteneurs CI/CD.

⚠️ Avertissement : Définir approvals.mode: off désactive toutes les demandes de sécurité. À n’utiliser que dans des environnements de confiance !

Mode YOLO : La voie rapide (à utiliser avec prudence)

Le mode YOLO contourne toutes les demandes d’approbation pour la session en cours. Vous pouvez l’activer de trois façons :

Option CLI : hermes --yolo ou hermes chat --yolo
Commande slash : Tapez /yolo pendant une session
Variable d’environnement : Définissez HERMES_YOLO_MODE=1

La commande /yolo est un interrupteur :

> /yolo
  ⚡ Mode YOLO ACTIVÉ — toutes les commandes sont approuvées automatiquement. À utiliser avec prudence.

> /yolo
  ⚠ Mode YOLO DÉSACTIVÉ — les commandes dangereuses nécessiteront une approbation.

Lorsque YOLO est actif, Hermes affiche deux rappels visuels :

Une bannière rouge au démarrage de la session : ⚠ Mode YOLO — toutes les demandes d'approbation sont contournées
Un fragment ⚠ YOLO dans la barre d’état, mis à jour en temps réel

⚠️ Danger : Le mode YOLO désactive toutes les vérifications de commandes dangereuses — à l’exception de la liste noire stricte. Ne l’utilisez que lorsque vous faites entièrement confiance aux commandes générées.

Nouveautés de cette version

Deux nouveaux paramètres méritent une attention particulière :

mcp_reload_confirm (par défaut true) : Lorsque vous exécutez /reload-mcp, Hermes demande désormais confirmation avant de reconstruire l’ensemble des outils MCP. Pourquoi ? Parce que la reconstruction invalide le cache de prompt du fournisseur, ce qui signifie que le prochain message renverra tous les jetons d’entrée. Si vous cliquez sur Toujours approuver, ce paramètre passe à false.

destructive_slash_confirm (par défaut true) : Les commandes destructrices comme /clear, /new, /reset et /undo demandent désormais confirmation avant de supprimer l’état de la conversation. Vous verrez une boîte de dialogue à trois options : Approuver une fois / Toujours approuver / Annuler. Sur Telegram, Discord et Slack, elles apparaissent sous forme de boutons oui/non natifs.

Points clés à retenir

Le mode Smart est votre allié — il équilibre sécurité et rapidité
Le mode YOLO est un interrupteur, pas une porte à sens unique
Les sessions cron et à requête unique refusent par défaut les commandes dangereuses — l’agent doit trouver une autre voie
Vérifiez toujours les indicateurs visuels pour savoir si YOLO est actif

La sécurité, ce n’est pas être paranoïaque — c’est être préparé. Avec l’approche en couches d’Hermes, vous pouvez automatiser en toute confiance. Restez prudents, et bonne automatisation !