Hermes v2026.5.29 Update: Docker Security, Supervised Gateways & Smarter Interruptions

Aggiornamento Hermes v2026.5.29: Sicurezza Docker, Gateway Supervisionati e Interruzioni più Intelligenti

Ciao a tutti, fan di Hermes! L’ultimo aggiornamento è arrivato, ed è un bel colpo per chiunque utilizzi Hermes in Docker. Abbiamo rafforzato la sicurezza, reso il tuo gateway più resiliente e aggiunto delle protezioni tanto necessarie per i bot non supervisionati. Vediamo tutto nel dettaglio, in parole semplici.

Due Modi per Usare Docker con Hermes

Prima di tutto, un rapido ripasso. Ci sono due modi in cui Docker si integra con Hermes:

Eseguire Hermes dentro Docker – L’agente vive in un container, e tutti i tuoi dati (configurazione, chiavi API, sessioni) sono salvati in un’unica cartella sulla tua macchina host, montata su /opt/data. Questo è il fulcro di questo aggiornamento.
Docker come backend terminale – Hermes gira sul tuo host ma esegue ogni comando all’interno di un container sandbox persistente. Quel container sopravvive alle chiamate degli strumenti, a /new e persino ai subagent per tutta la durata del processo Hermes.

Questo aggiornamento si concentra sulla prima opzione, e punta tutto a rendere quell’esperienza più fluida e sicura.

⚠️ Importante: Evita le Console VPS Basate su Browser

Prima di addentrarci, un avvertimento fondamentale. Se stai usando un provider VPS come Hetzner Cloud, non usare la loro console basata su browser per incollare i comandi di installazione. Queste console rovinano i caratteri speciali – : può diventare ;, @ viene storpiato, e le chiavi API incollate possono essere corrotte silenziosamente. Questo romperà i tuoi comandi docker run in modi difficili da capire.

Connettiti sempre via SSH (ssh root@<host>) per un inserimento comandi sicuro da copia-incolla. Se devi assolutamente usare la console del browser, digita i comandi manualmente e ricontrolla ogni :, @, = e / prima di premere Invio.

Avvio Rapido: Procedura Guidata di Configurazione

Iniziare è più facile che mai. Crea una cartella dati ed esegui la procedura guidata di configurazione in modo interattivo:

mkdir -p ~/.hermes
docker run -it --rm \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent setup

Questo ti guida nella configurazione delle chiavi API e scrive tutto in ~/.hermes/.env. Devi farlo solo una volta. Consiglio da pro: configura un sistema di chat (Telegram, Discord, ecc.) a questo punto, così il tuo gateway avrà un posto dove parlare.

Esecuzione in Modalità Gateway (Ora Supervisionata!)

Una volta configurato, esegui Hermes come gateway persistente in background:

docker run -d \
  --name hermes \
  --restart unless-stopped \
  -v ~/.hermes:/opt/data \
  -p 8642:8642 \
  nousresearch/hermes-agent gateway run

Ecco il grande cambiamento: il tuo gateway ora è automaticamente supervisionato da s6-overlay. Se il processo del gateway si blocca, si riavvia entro pochi secondi – nessun riavvio del container necessario. La dashboard (quando abilitata) riceve lo stesso trattamento.

Vedrai un indicatore nei docker logs che conferma l’aggiornamento. Vuoi il vecchio comportamento in cui il container si ferma quando il gateway si ferma? Passa --no-supervise o imposta HERMES_GATEWAY_NO_SUPERVISE=1. Utile per test CI rapidi, ma per la produzione, il default supervisionato è decisamente migliore.

Arresti Forzati del Ciclo Strumenti per Gateway Non Supervisionati

Questa è una manna dal cielo. Di default, tool_loop_guardrails.hard_stop_enabled è false. Va bene per sessioni interattive dove un umano può vedere gli avvisi. Ma per gateway non supervisionati, i soli avvisi non fermeranno un agente bloccato in un ciclo ripetuto di chiamate agli strumenti.

Gli operatori che vogliono un comportamento da interruttore automatico dovrebbero abilitare gli arresti forzati nel config.yaml del loro profilo:

tool_loop_guardrails:
  hard_stop_enabled: true
  hard_stop_after:
    exact_failure: 5
    idempotent_no_progress: 5

Questo significa che dopo 5 errori esatti o 5 cicli senza progressi, l’agente viene fermato forzatamente. Niente più cicli infiniti che bruciano i tuoi crediti API.

Esecuzione della Dashboard (Anche Lei Supervisionata!)

La dashboard web integrata ora gira come servizio supervisionato insieme al gateway nello stesso container. Basta impostare HERMES_DASHBOARD=1:

docker run -d \
  --name hermes \
  --restart unless-stopped \
  -v ~/.hermes:/opt/data \
  -p 8642:8642 \
  -p 9119:9119 \
  -e HERMES_DASHBOARD=1 \
  nousresearch/hermes-agent gateway run

Se la dashboard si blocca, s6-supervise la riavvia automaticamente dopo un breve backoff. L’output della dashboard va nei docker logs <container>, quindi il debug è semplice.

Sicurezza: Esporre il Server API

Il server API è protetto da API_SERVER_ENABLED=true. Se devi esporlo oltre 127.0.0.1, devi anche impostare API_SERVER_HOST=0.0.0.0 e fornire una API_SERVER_KEY (minimo 8 caratteri – generane una con openssl rand -hex 32):

docker run -d \
  --name hermes \
  --restart unless-stopped \
  -v ~/.hermes:/opt/data \
  -p 8642:8642 \
  -e API_SERVER_ENABLED=true \
  -e API_SERVER_HOST=0.0.0.0 \
  -e API_SERVER_KEY="$(openssl rand -hex 32)" \
  -e API_SERVER_CORS_ORIGINS='*' \
  nousresearch/hermes-agent gateway run

Un avvertimento: aprire qualsiasi porta su una macchina esposta a internet è un rischio per la sicurezza. Non farlo a meno che tu non comprenda appieno le implicazioni.

Cosa Aspetta in Futuro?

Questo aggiornamento punta tutto a rendere Hermes più affidabile e sicuro in produzione. Il gateway supervisionato significa meno interruzioni, le protezioni di arresto forzato prevengono i cicli fuori controllo, e l’indurimento della sicurezza mantiene le tue chiavi API più al sicuro. Aggiorna la tua immagine, abilita quegli arresti forzati e goditi un Hermes più stabile!