Hermes Agent
提示词与操作权限

先确认哪个安装和哪个进程真正拥有提示词解释权，避免把 GUI、备份或旧文件误判为生效配置。

HERMES_HOME 解析优先级

进程内 context-local override
  → HERMES_HOME
  → 默认 ~/.hermes

对应实现：/Users/kaiqismac/.hermes/hermes-agent/hermes_constants.py:106。

“提示词”不仅是一个文本文件。身份、记忆、技能索引、平台上下文、工具 schema 与会话历史共同构成模型实际看到的指示。

当前 SOUL.md 的实际内容

You are Hermes Agent, an intelligent AI assistant created by Nous Research. You are helpful, knowledgeable, and direct. You assist users with a wide range of tasks including answering questions, writing and editing code, analyzing information, creative work, and executing actions via your tools. You communicate clearly, admit uncertainty when appropriate, and prioritize being genuinely useful over being verbose unless otherwise directed below. Be targeted and efficient in your exploration and investigations.

加载函数：agent/prompt_builder.py:1888。该文件不存在时才回退到 DEFAULT_AGENT_IDENTITY：agent/prompt_builder.py:139。

当前确实进入系统提示词的内置规则

基础提示词按会话缓存；动态会话信息和频道覆盖在每次 gateway 请求时另行拼接；工具 schema 又是一条独立指示通道。

A. 会话级缓存基础提示词

Stable 层

1. SOUL.md，不存在时使用内置默认身份
2. Hermes 帮助指示
3. 任务完成、并行调用、工具使用规则
4. memory/session-search/skills 等工具专用规则
5. OpenAI/Codex 操作指示
6. computer-use 指示
7. 当前可用技能索引
8. 环境提示
9. 默认 profile 保护说明
10. 平台提示

Context 层

1. 调用方提供的 system_message
2. 项目上下文文件

当前 gateway 的 Context 层为空。

Volatile 层

1. MEMORY.md
2. USER.md
3. 可选外部 memory provider
4. 日期、模型、provider、平台元数据

当前未配置外部 memory provider。

B. 每次 gateway 请求额外拼接

1. 动态 Current Session Context
2. 平台旧式 channel_prompts
3. 匹配的 channel_overrides[*].system_prompt
4. 若无频道 override，则使用全局 ephemeral prompt

全局 ephemeral：
HERMES_EPHEMERAL_SYSTEM_PROMPT
  → config.yaml 中 agent.system_prompt

Prefill：
HERMES_PREFILL_MESSAGES_FILE
  → 顶层 prefill_messages_file
  → agent.prefill_messages_file

C. system prompt 之外仍会影响模型的内容

• 工具 JSON schema
• 已有会话消息历史
• 工具调用和返回结果
• 已加载的技能正文
• gateway steering 消息
• Feishu 评论、会议邀请等事件合成的用户提示

主要存储于 /Users/kaiqismac/.hermes/state.db 与 /Users/kaiqismac/.hermes/sessions/。

项目上下文采取“首种匹配”策略，不会将所有生态的规则文件无条件叠加。

1. .hermes.md 或 HERMES.md，从 cwd 向上查到 Git 根
2. cwd 下的 AGENTS.md
3. cwd 下的 CLAUDE.md
4. cwd 下的 .cursorrules 与 .cursor/rules/*.mdc

实现位于 agent/prompt_builder.py:1946、:1965、:1983、:2016。

源码目录自身的 /Users/kaiqismac/.hermes/hermes-agent/AGENTS.md 不会因为 gateway 安装在那里就获得提示词权限。非 CLI gateway 路径专门阻止安装目录被误当作项目上下文。

符号链接使 /Users/kaiqismac/.agents/skills/ 也成为真实有效的 Hermes 指示来源。

仅 fresh prompt 新增的两个技能：

• agent-skill-symlink
• egolite-native-skill-patcher

技能索引缓存

• 文件：/Users/kaiqismac/.hermes/.skills_prompt_snapshot.json
• 权限：0600
• 大小约 101 KB
• 当前 manifest 已与技能目录不匹配

因此已打开 Feishu 会话继续使用旧的 178 项索引；新会话或提示词重建会重新扫描并使用当前 180 项索引。Snapshot 是缓存，不是高于源文件的独立规则层。

每个平台会话都保留自己的组合结果。因此“磁盘上的最新提示词”和“当前打开会话实际使用的提示词”可能不同。

完整系统提示词保存在 /Users/kaiqismac/.hermes/state.db 的 sessions.system_prompt 字段中。

记忆、技能等文件更新后，通常要等新建会话、会话重置或上下文压缩触发系统提示词重建，才会替换已打开会话中的旧快照。不建议直接编辑 state.db。

当前整体权限较高。最关键的事实不是“有哪些工具”，而是这些工具在什么审批、沙箱和操作系统边界下运行。

approvals:
  mode: 'off'
  destructive_slash_confirm: false

审批链

解析失败 / 内置硬阻断
  → 用户 approvals.deny
  → mode=off、YOLO 等审批绕过
  → command_allowlist
  → 普通危险检测 / Tirith
  → 人工审批

• approvals.deny=[]
• command_allowlist=[]
• approvals.mode=off
• Tirith 虽配置为启用，但普通可恢复扫描位于 mode-off 快捷路径之后，实际被绕过；Tirith 还配置为 fail-open

工具能力很强，但并非任何网络用户都能触发。平台入口目前都有限定，具体 ID 已从报告中移除。

Feishu 当前配对文件：

这些文件权限均为 0600。旧目录 /Users/kaiqismac/.hermes/pairing/ 为空，不是当前配对存储位置。

内置 defaults
  ← ~/.hermes/config.yaml
  ← 管理员 managed config 按叶子键覆盖
  ← 部分 invocation / session / runtime override

管理员层位置：

HERMES_MANAGED_DIR 指定目录
  → /etc/hermes

实现：hermes_cli/managed_scope.py:52、hermes_cli/config.py:7867。本机不存在 managed 层，所以当前实际是内置 defaults 加用户 config.yaml。

以下文件含认证或凭据状态。审计确认了位置和加载关系，但没有输出其值：

OpenAI Codex 当前已认证。这些文件与 config.yaml、memory/profile、pairing 文件大多为 mode 0600。

Config schema 可迁移

当前 _config_version: 32，位置 /Users/kaiqismac/.hermes/config.yaml:136。Hermes 报告可迁移到 schema 33；现有配置仍正常加载，本次没有执行迁移。

Jarvis wake LaunchAgent 已失效

它仍注册为自动启动/keepalive，但调用 hermes wake ...。Hermes 0.19.0 已不再注册 wake 子命令，因此 LaunchAgent 持续以状态 2 失败；相关语音唤醒提示和参数当前不生效。

远端隐藏提示无法从本机枚举

本机 Codex adapter 未发现第二份本地 developer/system prompt。Hermes 组合提示词进入 Responses API 的 instructions；内部 role=system 消息从 input list 移除以避免重复；转换器仅重放 user、assistant、tool 与 encrypted reasoning 项。

实现：agent/codex_responses_adapter.py:335。

以下只是后续建议。本次审计没有应用任何修改。

1. 将 approvals.mode 从 off 改为 manual 或合适的 smart 模式。
2. 为 gateway computer-use 增加真正的人工审批 callback 或 plugin policy。
3. 限制或禁用 discord_admin 的消息删除与角色修改 action。
4. 配置 HERMES_WRITE_SAFE_ROOT，或改用隔离 terminal/backend。
5. 启用有效的出站网络策略。
6. 将 privacy.redact_pii 打开。
7. 恢复破坏性 slash command 的确认。
8. 修复或删除失效的 Jarvis wake LaunchAgent。