Hermes Agent 社群回報 OAuth 更新競爭，多設定檔共享登入可能同時失效

Hermes Agent 的多設定檔部署出現一項憑證可靠性回報。使用者於 10 月 29 日指出，數個具名設定檔借用預設設定檔的 Anthropic OAuth 登入後，可能在存取權杖到期時同時更新，導致共享授權失效，讓相關代理回報 auth_permanent 或找不到可用憑證。回報環境為 macOS、Hermes v0.22.5，並標示所測上游提交。公開議題

這條共享路徑有官方文件依據。Hermes 的設定檔各自保存設定、記憶與工作階段，但複製設定檔時，Anthropic 等供應商的 OAuth 登入不會直接複製；新設定檔會讀取根目錄的 auth.json，更新後也寫回同一處。這種設計旨在避免多份一次性更新權杖各自輪替，卻也要求所有使用者協調更新操作。設定檔文件

依回報者分析，問題在於鎖的範圍：更新流程持有目前設定檔自己的 auth.lock，共享憑證卻屬於根目錄。兩個設定檔因此可能各自取得鎖，再送出同一枚更新權杖。其測試會在送出請求時探測根目錄鎖是否被持有；作者表示，上游版本未持有該鎖，加入額外鎖定後則通過測試。不過，日誌未記錄究竟是哪兩個程序競爭，因此鎖定缺口與實際撤銷事件的因果關係仍有待驗證。測試與分析

對工程團隊而言，這項回報提醒：把輪替後的權杖寫回共享儲存區，仍須搭配涵蓋讀取、網路更新與寫回的共同鎖。官方文件提供為個別設定檔建立獨立登入的方法，可供部署者評估憑證配置。後續應關注跨程序回歸測試、修補是否合併，以及是否進入正式版本；目前不能將作者對其他 OAuth 供應商的推測視為已確認影響。官方登入配置說明