Hermes Agentコミュニティが委譲時の権限差を報告、子エージェントが対象プロファイルで無効化されたターミナルツールを取得する可能性

Hermes Agentのプロファイル委譲機能で、ツール権限に関する想定との食い違いが報告された。11月1日に投稿されたissueによると、advanced-delegationプラグインのprofile_routesバックエンドを使用した場合、対象プロファイルでターミナルツールを無効にしていても、別のプロファイルから委譲されて起動した子エージェントがターミナル機能を取得する可能性がある。報告環境はDocker上のHermes 0.22.5とプラグイン1.0.0で、現時点の根拠は単一ユーザーによる比較テストだ。issueと再現手順

テストではvideo-editorプロファイルでファイル操作、スキル、明確化ツールのみを有効にし、親プロファイルではターミナルを有効のままにした。対象プロファイルを直接起動した場合、エージェントはターミナルツールがないと回答し、テストファイルも作成しなかった。一方、親エージェントから同じタスクを委譲すると、子エージェントが列挙したツールにterminalが含まれ、指定したタイムスタンプを含むファイル作成コマンドを実行した。報告者によると、親エージェントのトレースには委譲とログ読み取りだけが記録され、親エージェント自身がターミナルを呼び出した記録はなかった。テスト結果

公式ドキュメントは、この現象を理解するうえで重要な背景を示している。通常のdelegate_task子エージェントは、親エージェントで有効になっているツールセットをもともと継承する。モデルがツールセットのパラメーターを自分で渡して機能を追加することはできず、一部のツールには子エージェントでの使用制限もある。そのため、この報告で問われているのは「プロファイルルーティング時にどのプロファイルのツール設定を適用すべきか」であり、確認済みの権限昇格脆弱性と断定することはできない。ツール継承ルール

エンジニアリングチームにとっての技術的な焦点は、プロファイルの識別、モデルのルーティング、ツール機能の切り替え境界が一貫しているかどうかだ。ターミナルを無効にしたプロファイルを制限付きのワーカーとして扱っていても、ターミナル機能を持つ親エージェントから起動すれば、実際に使えるツールがデプロイ担当者の想定から外れる可能性がある。これは報告とドキュメントに基づくデプロイ上のリスク推定であり、悪用が発生したことを示す公開情報はない。

確認時点でissueはオープンのままで、メンテナーによる確認や修正へのリンクは確認できていない。今後は、プロジェクトがプロファイルルーティングにおけるツールの取り決めをどう定義するか、また直接起動と委譲起動の権限を比較するテストを追加するかが注目点となる。この種のルーティングを使うチームは、子エージェントが実際に取得するツール一覧も確認する必要がある。issueの状況