Hermes Agent が v0.21.6 をリリース、ログイン保護と自動 Git 操作のセキュリティ修正を追加

Nous Research は 10 月 8 日、Hermes Agent v0.21.6 をリリースし、前のリリース以降に蓄積された変更を安定版タグに取り込みました。エージェントサービスをデプロイするエンジニアが注目すべきなのは、ダッシュボード認証と自動 Git 操作に関するセキュリティ修正です。これらの処理経路は、サービスへの入り口と、エージェントがワークスペースにアクセスする際の信頼境界に関わります。公式リリースノート

ダッシュボードの修正は、次の4件の問題に対応しています。偽装した X-Forwarded-For ヘッダーによるIP単位のログイン試行回数制限の回避、未認証リクエストによる認証監査ログへの無制限な値の書き込み、公開 /auth/ ルートにおけるリクエスト本文サイズ制限の欠如、そしてネイティブログインがログインコードをループバック以外のアドレスに送信し、セッション乗っ取りにつながる可能性です。リリースノートでは、この4件の報告者として Tenable Research に謝意を示していますが、影響を受けるバージョン範囲は明記されていません。セキュリティ修正一覧

もう1件の修正は、エージェントが Git を自動実行する際のリスクに対処しています。一部のワークスペーススナップショット、サブエージェントの worktree、クリーンアップ処理では、リポジトリ自身の設定が読み込まれるため、最初のプロンプトが送信される前に、そのリポジトリの clean、smudge、process フィルターが実行される可能性がありました。Git の公式ドキュメントによると、これらのフィルターはファイル内容の保存時や取り出し時に外部コマンドを実行できます。エージェントが自動的に起動すれば、リポジトリ設定がコード実行の入り口になり得ます。Git フィルターのドキュメント

関連するマージ済みの修正では、リポジトリを考慮した Git 実行環境を導入し、名前付きフィルターを検出してそのコマンドを上書きするとともに、自動操作を行う複数の呼び出し箇所を修正しました。作者は、悪意あるフィルターや hooks を使った実動確認と回帰テストも提示しています。ただし、この提案には後から互換性修正が加えられているため、当初の提案に記載された拒否条件すべてが最終版の動作に反映されているとは限りません。修正提案と後続リンク

デプロイ時は、実際に稼働しているバックエンドのバージョンと更新経路を確認してください。公式には stable と latest の Docker イメージが提供されており、Git からインストールした場合は hermes update を実行できます。デスクトップ版と Termux は、次回の統合リリースを待つ形です。ダッシュボードでは API キーを管理し、エージェントコマンドを実行できます。公式ドキュメントは、パブリックネットワークに公開する場合、OAuth またはセルフホストの OIDC を使うよう推奨しています。エンジニアリングチームは、バージョン番号の確認だけでなく、ログインのレート制限、コールバックアドレス、Git worktree のワークフローも検証する必要があります。デプロイと検証のドキュメント