GitHub Repo
Hermes Agent 修補跨設定檔憑證回退，完整隔離仍待驗證
主分支新增憑證作用域的目錄歸屬，修正缺值與初始化失敗時的部分隔離問題。審查留言仍提出其他回退路徑疑點，部署者須核對實際版本。
Nous Research 於 9 月 23 日將一組憑證隔離修補合併至 Hermes Agent 主分支，處理代理切換設定檔後，缺少金鑰或讀取出錯時沿用啟動環境憑證的情況。修補涉及桌面後端、排程工作及 MCP 連線；目前能確認的是主分支變更，不能直接推定既有安裝已包含修正。[合併紀錄](https://github.com/NousResearch/hermes-agent/pull/120128)
Hermes 的設定檔各有自己的資料目錄與憑證。問題在於舊憑證作用域只保存名稱和值，沒有記錄所屬目錄；某些後端即使關閉多設定檔共用程序模式，仍會替其他設定檔執行工作，此時缺值可能落回程序環境，取得啟動設定檔的金鑰。[原始修補說明](https://github.com/NousResearch/hermes-agent/pull/119459)
新邏輯讓作用域攜帶目錄歸屬，服務其他設定檔時，找不到金鑰便回傳呼叫端預設值。測試涵蓋正常路由及未切換主目錄的工作路徑；啟動設定檔自己的環境注入則保留。[修補與測試](https://github.com/NousResearch/hermes-agent/pull/119459) 從部署角度看，研究用設定檔缺少服務金鑰時，合理結果應是功能不可用或要求補齊設定；若自動借用工作用設定檔憑證，請求可能落到錯誤帳號，連帶改變資料存取範圍與費用歸屬。
另一項修正把作用域設定納入必定清理的區段。過去若目錄損壞或已刪除，初始化中途出錯可能留下半套狀態，使後續操作繼續指向錯誤目錄。修補加入失敗清理與回歸測試，也避免單一 MCP 連線的重新註冊失敗阻斷其他連線。[初始化修補](https://github.com/NousResearch/hermes-agent/pull/119486)
不過，合併請求的審查者仍指出，共用工具憑證解析器、部分 API 金鑰讀取及尚未註冊的外掛授權設定存在其他疑點。這些意見針對特定提交，不能直接視為所有現行版本的漏洞定論，也不足以宣稱整類跨設定檔問題已清除。[審查討論](https://github.com/NousResearch/hermes-agent/pull/120128)
部署者接下來應核對安裝提交、為各設定檔配置憑證，並測試缺值、讀取例外及設定檔切換。官方架構文件也明確限定：設定檔隔離不涵蓋終端使用者身分驗證與授權，因此仍須另行設計服務入口的存取控制。[架構文件](https://hermes-agent.nousresearch.com/docs/developer-guide/multiplexing-gateway)