)
Última actualización: 26 de octubre, 2026
¿Es seguro ejecutar Hermes Agent? Hermes Agent, el agente de código abierto de Nous Research, puede ejecutarse con seguridad, pero solo con una configuración deliberada: listas de permitidos explícitas, un backend de terminal en contenedor o remoto, aprobación manual de comandos y versiones actualizadas. La propia política de seguridad del proyecto afirma que la única frontera frente a un modelo hostil es el sistema operativo. La GitLab Advisory Database lista diez avisos para el paquete a 26 de octubre de 2026.
Esta guía explica qué hace el agente y dónde está su superficie de ataque. Recoge los CVE comprobados en registros primarios, la correspondencia con OWASP 2026 y una lista de configuración segura basada en la documentación. Lo que no se ha podido verificar se indica como tal.
TL;DR: ideas clave
- La GitLab Advisory Database lista 10 avisos para el paquete hermes-agent, y otros registros añaden más (GitLab Advisory Database, 2026).
- El más grave es CVE-2026-82021, con 9,0 (crítico) en CVSS v4.0: un fallo de cadena de suministro en el catálogo MCP incluido, corregido en 0.19.0 y 2026.7.20 (registro CVE, publicado el 28 de agosto de 2026).
- Hermes Agent ofrece 7 backends de terminal, y los de Docker, Modal, Daytona y Vercel Sandbox omiten la aprobación de comandos porque el contenedor se trata como frontera (documentación de Hermes Agent, 2026).
- La política de seguridad del proyecto ofrece 2 opciones de aislamiento a nivel de sistema operativo y trata los controles internos, como la puerta de aprobación, como heurísticas. Deja fuera de alcance la inyección de prompts por sí sola (SECURITY.md, 2026).
- Los avisos se corresponden con 4 de las 10 entradas del OWASP LLM Top 10 2026 (LLM01 a LLM04) (OWASP GenAI Security Project, 2026).
- La guía de refuerzo del proyecto tiene 11 pasos, encabezados por listas de permitidos explícitas y un backend en contenedor o remoto (documentación de Hermes Agent, 2026).
Seguridad de Hermes Agent de un vistazo
| Superficie | Qué hace Hermes Agent ahí | Tipo de problema documentado | Control principal |
|---|---|---|---|
| Terminal y ejecución de código | Ejecuta comandos de shell y execute_code en uno de 7 backends | Gestión del entorno (CVE-2026-9368) | Backend en contenedor o remoto, aprobaciones manuales |
| Contexto, memoria y skills | Lee archivos del proyecto, guarda memoria y crea sus propias skills | Inyección a través de los escáneres de prompt, memoria y skills (CVE-2026-9366, 9353, 10223) | Skills Guard, revisión de skills, aislamiento |
| Pasarela de mensajería | Recibe instrucciones desde canales de chat | Autorización de quien escribe | Listas de permitidos, emparejamiento por DM |
| Endpoints HTTP y WebSocket | Sirve un panel, una API y webhooks | Falta de autenticación, DNS rebinding (CVE-2026-7112, 7113, 53869) | No exponer a internet |
| Archivos en disco | Guarda sesiones, suscripciones de webhooks y secretos | Permisos legibles por todos (CVE-2026-53870) | Actualizar, restringir permisos |
| Cadena de suministro | Instala un catálogo MCP, skills, plugins y a sí mismo | Referencia a rama mutable (CVE-2026-82021) | Revisar, fijar, actualizar |
Qué es Hermes Agent y qué hace
Hermes Agent es un agente de código abierto en Python, con licencia MIT, creado por Nous Research. Se ejecuta en tu equipo o servidor, recuerda sesiones anteriores, escribe skills reutilizables y recibe instrucciones desde apps de chat. También ejecuta comandos y programa tareas, así que su seguridad importa más que la de un asistente de chat.
El código está en el repositorio NousResearch/hermes-agent, que mostraba unas 252.000 estrellas en GitHub al consultarlo el 26 de octubre de 2026. Este artículo trata de ese agente, no de la familia de modelos de lenguaje Hermes que Nous Research también publica.
Capacidades principales
Según el README del proyecto (2026), Hermes Agent reúne piezas que otros frameworks de agentes venden por separado. Cada una genera su propio riesgo.
| Capacidad | Qué describe el README | Por qué importa para la seguridad |
|---|---|---|
| Memoria gestionada por el agente | Memoria que mantiene el agente, con búsqueda de texto completo en sesiones pasadas | El texto guardado vuelve a entrar en prompts posteriores, así que una entrada envenenada persiste |
| Skills creadas por el agente | Skills que escribe el propio agente, compatibles con el formato agentskills.io | Las skills se ejecutan con todos los privilegios del agente una vez instaladas |
| Programador de tareas | Un planificador cron integrado | Las tareas se ejecutan sin supervisión, sin nadie que apruebe un comando |
| Backends de terminal | Local, Docker, SSH, Singularity, Modal, Daytona y Vercel Sandbox | El backend decide cuánto daño puede hacer un comando malo |
| MCP y subagentes | Integración con servidores MCP y subagentes delegados | Cada servidor de herramientas y subagente amplía la frontera de confianza |
La instalación es un comando de shell de una línea (hay un equivalente de PowerShell para Windows), seguido de hermes setup y hermes doctor. Esa comodidad es habitual en herramientas de código abierto, pero implica confiar en el script y en el repositorio en el momento de instalar.
La política de seguridad describe Hermes Agent como un agente personal de un solo inquilino: un propietario, un dominio de confianza y un sistema operativo que actúa como frontera real. Los equipos que lo usan con varias personas, o lo apuntan a contenido no confiable, quedan fuera de ese modelo.
)
Superficie de ataque: dónde puede abusarse de un agente autoalojado
La superficie de ataque de un agente como Hermes es mayor que la de una app de chat: un solo proceso combina shell, memoria persistente, skills instalables, canales de mensajería y endpoints de red. Cada uno es una puerta distinta, varios son de confianza por defecto, y tu exposición depende de cómo lo configures.
Terminal y ejecución de código
Hermes coloca un sistema de aprobación de comandos delante de los comandos de riesgo. Según la documentación de Hermes Agent (2026), el modo inteligente, el predeterminado, pide a un modelo auxiliar que valore cada comando. El modo manual te pregunta siempre. El modo off desactiva las comprobaciones, igual que la opción --yolo. Las tareas cron, las consultas únicas y las sesiones de webhook deniegan por defecto los comandos peligrosos, porque no hay nadie para responder. Una lista de bloqueo estricta rechaza comandos catastróficos, como borrar el sistema de archivos raíz, con cualquier configuración.
Los límites importan más que las funciones. La política de seguridad califica de heurísticas, no de contención, la puerta de aprobación, la redacción de salidas, los escáneres de patrones y el escaneo de skills. Añade que la ejecución de código, MCP, plugins, hooks y skills siguen corriendo en el proceso Python del host cuando solo se aísla el terminal. El aislamiento del terminal cubre operaciones de shell y archivos, no todo el agente.
Contexto, memoria y skills
Hermes lee archivos de contexto del proyecto como AGENTS.md, mantiene memoria con búsqueda e instala skills. Todo es texto que el modelo trata como instrucciones o contexto de confianza. La documentación indica que los archivos de contexto se escanean en busca de inyección de prompts y se bloquean si hay coincidencia. Skills Guard escanea las skills antes de instalarlas para detectar accesos sospechosos al entorno.
Esos escáneres han tenido sus propios fallos. CVE-2026-9366 está en el escaneo de contexto del constructor de prompts, CVE-2026-9353 en Skills Guard y CVE-2026-10223 en el escáner de memoria. La persistencia multiplica el riesgo: una entrada de memoria o una skill envenenada sobrevive a la sesión que la creó.
Pasarelas de mensajería y credenciales
Una pasarela convierte cada cuenta de chat conectada en un canal de control. La documentación describe un modelo de denegación por defecto: sin listas de permitidos, se deniega a todos los usuarios. Los remitentes desconocidos de mensajes directos pueden recibir un código de emparejamiento de corta duración que el propietario aprueba desde la línea de comandos.
Las credenciales son la otra mitad. Las claves de API y los tokens de las plataformas viven en los archivos de entorno del agente. Las variables sensibles se eliminan por defecto de execute_code y de los procesos hijo del terminal, y los archivos de credenciales se montan en solo lectura dentro de los contenedores. Dos CVE muestran dónde falló ese tratamiento: CVE-2026-9368, sobre la gestión del entorno en la ejecución de código, y CVE-2026-53870, sobre archivos legibles por otros usuarios locales.
Endpoints de red
Hermes incluye un panel web, un servidor de API y receptores de webhooks. CVE-2026-7112 y CVE-2026-7113 afectan a la falta de autenticación en el servidor de API y en los webhooks. CVE-2026-53869 es un fallo de DNS rebinding. Permitió a atacantes remotos saltarse las comprobaciones de Host y Origin en endpoints WebSocket, incluido un canal de terminal. El middleware HTTP no se ejecuta en las actualizaciones a WebSocket.
La guía del proyecto es tajante: no expongas la pasarela ni la API a internet sin VPN, Tailscale o un cortafuegos.
Cadena de suministro e instalador
Las skills y los plugins se ejecutan con todos los privilegios del agente. La política pide revisarlos, incluido el código Python y los scripts, no solo la descripción de la skill. CVE-2026-82021 muestra el otro lado: el catálogo MCP incluido apuntaba a un repositorio de terceros mediante una rama mutable en lugar de un commit fijado. Para entender por qué los servidores de herramientas merecen este escrutinio, consulta nuestra guía sobre qué es un servidor MCP.
CVE y avisos de Hermes Agent: qué está documentado
A 26 de octubre de 2026, la GitLab Advisory Database lista diez avisos para el paquete hermes-agent, y otros registros añaden más. La tabla recoge doce CVE comprobados en registros de avisos. Nueve indican una versión corregida entre 0.11.0 y 0.19.0, y tres no indican ninguna.
| CVE | Problema | Afectadas | Corregida | Publicado |
|---|---|---|---|---|
| CVE-2026-82021 | Fallo de cadena de suministro en el catálogo MCP por referencia a rama mutable (CWE-494) | De 0.18.2 hasta antes de 0.19.0 y de 2026.7.7.2 hasta antes de 2026.7.20 | 0.19.0 y 2026.7.20 | 28 ago 2026 |
| CVE-2026-53869 | DNS rebinding en endpoints WebSocket que evita la validación de Host y Origin | Antes de 0.16.0 | 0.16.0 | 17 jun 2026 |
| CVE-2026-53870 | Archivos del almacén de respuestas y de suscripciones de webhooks creados con modo 0o644, que exponen el historial de conversaciones y secretos HMAC | Antes de 0.16.0 | 0.16.0 | 17 jun 2026 |
| CVE-2026-10222 | Inyección en la limpieza de líneas de entorno (_sanitize_env_lines) | Antes de 0.18.0 | 0.18.0 | 1 jun 2026 |
| CVE-2026-10223 | Inyección en el escaneo de contenido de memoria (_scan_memory_content) | Antes de 0.15.0 | 0.15.0 | 1 jun 2026 |
| CVE-2026-9353 | Inyección en los patrones de amenaza de Skills Guard | Antes de 0.15.0 | 0.15.0 | 26 may 2026 |
| CVE-2026-9366 | Inyección en el escaneo de contexto (_scan_context_content) | Antes de 0.15.0 | 0.15.0 | 26 may 2026 |
| CVE-2026-9369 | Comparación incorrecta en el descubrimiento de plugins del panel (HERMES_ENABLE_PROJECT_PLUGINS) | Antes de 0.15.0 | 0.15.0 | 26 may 2026 |
| CVE-2026-9368 | Gestión del entorno en execute_code (CWE-269, CWE-526) | Antes de 0.11.0 | 0.11.0 | May 2026 |
| CVE-2026-7112 | Fallo en la comprobación de autenticación del servidor de API | Indicada 0.8.0, rango completo no indicado | No indicada | 27 abr 2026 |
| CVE-2026-7113 | Endpoint de webhook sin autenticación | Indicada 0.8.0, rango completo no indicado | No indicada | 27 abr 2026 |
| CVE-2026-14628 | Path traversal en la extracción de medios de la pasarela (extract_media) | Hasta 2026.5.16 | No indicada | 4 jul 2026 |
Cómo leer la tabla
El proyecto usa dos esquemas de versión, versiones semánticas como 0.16.0 y etiquetas por fecha como 2026.7.20, y los avisos los mezclan. Cuando un registro indica ambos, la tabla muestra ambos. Las fechas son de publicación en las bases de avisos, no de descubrimiento. Para CVE-2026-82021, el registro CVE da el 14 de julio de 2026 como fecha en que el problema se hizo público.
Las puntuaciones de gravedad de un mismo CVE difieren entre bases de datos porque cada evaluador aplica su propio vector. Por eso la tabla omite las puntuaciones, salvo la del crítico en el registro CVE. Otras dos entradas, CVE-2026-10221 y CVE-2026-10224, aparecen en la base de GitLab con datos de versión contradictorios o ausentes, así que este artículo no se apoya en ellas.
Según el registro CVE de CVE-2026-82021 (2026), un repositorio de terceros comprometido podía llegar a todos los hosts que instalaran la entrada afectada del catálogo, sin acción del operador. El registro también indica CVSS v3.1 8,3 y nombra a VulnCheck como CNA.
Qué tienen en común los CVE
Se repiten tres patrones. Los escáneres de contexto, memoria y skills se podían eludir. Las piezas expuestas a la red carecían de autenticación sólida en las primeras versiones. Los valores por defecto en disco y en el catálogo confiaban demasiado.
La regla práctica es ejecutar la versión más reciente: la versión corregida más alta de la tabla es 0.19.0, o 2026.7.20 en el esquema por fecha. En las tres entradas sin corrección indicada, consulta las notas de versión de tu release en lugar de dar por hecho que estás cubierto.
Correspondencia con OWASP: LLM Top 10 2026 y Agentic Top 10
Los riesgos de Hermes encajan en el OWASP LLM Top 10 2026 sobre todo en LLM01 Prompt Injection, LLM02 Sensitive Information Disclosure, LLM03 Excessive Agency y LLM04 Supply Chain. En la lista agéntica encajan en secuestro de objetivos, uso indebido de herramientas, abuso de identidad, cadena de suministro, ejecución inesperada de código y envenenamiento de memoria.
Según el OWASP GenAI Security Project (2026), el Agentic Top 10 va de ASI01 Agent Goal Hijack a ASI10 Rogue Agents.
| Riesgo en Hermes | Evidencia | OWASP LLM Top 10 2026 | OWASP Agentic Top 10 |
|---|---|---|---|
| Texto hostil en archivos de contexto, memoria o skills que desvía al agente | CVE-2026-9366, 9353, 10223 | LLM01 Prompt Injection | ASI01 Agent Goal Hijack, ASI06 Memory & Context Poisoning |
| El entorno y los archivos exponen secretos o historial | CVE-2026-9368, 53870 | LLM02 Sensitive Information Disclosure | ASI03 Identity & Privilege Abuse |
| Shell y ejecución de código con permisos amplios | Modos de aprobación, --yolo, ejecución en el proceso del host | LLM03 Excessive Agency | ASI02 Tool Misuse & Exploitation, ASI05 Unexpected Code Execution |
| Endpoints sin autenticación o vulnerables a rebinding que llegan al terminal | CVE-2026-7112, 7113, 53869 | LLM03 Excessive Agency | ASI03 Identity & Privilege Abuse |
| Catálogo, skills, plugins e instalador | CVE-2026-82021 | LLM04 Supply Chain | ASI04 Agentic Supply Chain Vulnerabilities |
| Avisos de aprobación respondidos por costumbre | Los modos inteligente y manual dependen de una persona | LLM03 Excessive Agency | ASI09 Human-Agent Trust Exploitation |
Dos entradas quedan fuera a propósito. LLM06 Unbounded Consumption encajaría con CVE-2026-10224, pero los datos de versión de ese registro son contradictorios. LLM08 Hidden Context Exposure no tiene detrás un aviso de Hermes verificado; el historial expuesto por CVE-2026-53870 corresponde a LLM02.
La correspondencia también muestra una distancia entre OWASP y el proyecto. OWASP sitúa la inyección de prompts en primer lugar. La política de seguridad de Hermes la deja fuera de alcance salvo que rompa el modelo de confianza declarado. Ambas posturas son defendibles para una herramienta personal, y por eso un despliegue de equipo necesita controles fuera del agente.
Lista de configuración segura según la documentación del proyecto
Una configuración segura de Hermes ajusta el aislamiento a lo fiable que sea el contenido que lee el agente. Con entrada no confiable, ejecuta todo el proceso en un sandbox. En el resto de casos, usa listas de permitidos, un backend en contenedor o remoto, aprobaciones manuales o inteligentes y una versión corregida, y no expongas la pasarela.
Según la documentación de seguridad de Hermes Agent (2026), el refuerzo recomendado tiene 11 pasos. La guía para equipos de trabajo añade una secuencia más corta y la política de seguridad añade reglas de despliegue. La tabla las fusiona y marca el único elemento que es adición nuestra. En la columna de fuente, Docs es la página de seguridad, Guía es la guía para equipos de trabajo y Política es SECURITY.md.
| Paso | Ajuste o acción | Por qué | Fuente |
|---|---|---|---|
| 1 | Define listas de permitidos explícitas y nunca actives allow-all en producción | Sin lista, se deniega a todos los usuarios por defecto | Docs |
| 2 | Usa un backend en contenedor o remoto (docker o ssh) | Mantiene los comandos fuera del host | Docs, guía |
| 3 | Pon approvals.mode en manual o inteligente, evita YOLO y off | Mantiene a una persona en el circuito | Docs, guía |
| 4 | Añade reglas approvals.deny | Bloquea comandos listados incluso con YOLO | Guía |
| 5 | Define HERMES_WRITE_SAFE_ROOT | Limita write_file y patch a carpetas elegidas | Guía |
| 6 | Deja docker_forward_env vacío | Mantiene los secretos del host fuera del contenedor | Guía |
| 7 | Prefiere el emparejamiento por DM a IDs de usuario fijos | Códigos de aprobación de corta duración y con límite de intentos | Docs |
| 8 | Ejecuta la pasarela como usuario sin privilegios de root | Limita el daño si hay un compromiso | Docs, política |
| 9 | Mantén .env con chmod 600 y fuera del control de versiones | Protege claves y tokens | Docs |
| 10 | Aleja terminal.cwd de directorios sensibles | Reduce los archivos accesibles | Docs |
| 11 | Audita command_allowlist, ~/.hermes/hooks/ y los registros | Los hooks se ejecutan en el proceso sin paso de consentimiento | Docs |
| 12 | Mantén Hermes actualizado y valora security.allow_lazy_installs false | Las correcciones llegan en versiones; limita instalaciones en tiempo de ejecución | Docs |
| 13 | Contrasta las notas de versión con la tabla de CVE de arriba | Adición nuestra, para que versiones y correcciones coincidan | Nuestra |
Otros dos puntos vienen de la política de seguridad. Guarda las credenciales en un archivo de operador restringido y revisa las skills de terceros, incluido su código Python, antes de instalarlas.
Activa también los checkpoints: las instantáneas previas a operaciones destructivas permiten revertir con /rollback, y /rollback diff <N> muestra antes los cambios. Una advertencia de la guía para equipos de trabajo vale para toda la lista. Estos controles protegen frente a un agente que se equivoca, no frente a uno deliberadamente hostil, así que usa un backend aislado para una contención real.
Seguridad y gobernanza: qué aporta una capa de runtime
Una capa de runtime aporta lo que un agente personal no trae de serie: identidad centralizada, política por herramienta, inspección de prompts y llamadas a herramientas, y un registro a prueba de manipulaciones de lo que hizo el agente. Estos controles funcionan fuera del proceso del agente, así que un escáner interno eludido no los elimina.
Los riesgos encajan con las listas OWASP de arriba. La inyección de prompts (LLM01) es la vía por la que el texto hostil llega a la memoria, las skills o el terminal. La divulgación de información sensible (LLM02) abarca claves e historial. La agencia excesiva (LLM03) convierte una inyección exitosa en un comando. La política de Hermes es explícita: su puerta de aprobación y sus escáneres son heurísticas. Es una postura razonable para una herramienta de un solo inquilino, y una empresa debería leerla como un requisito de diseño: los controles que faltan tienen que venir de otro sitio.
Cuatro controles importan más en una organización que permite a sus empleados ejecutar agentes autoalojados como este:
- Identidad y acceso. Conoce qué agentes existen, quién es su responsable y qué credenciales tienen. Los patrones de autorización de nuestra guía de autenticación MCP se aplican directamente a los servidores de herramientas de un despliegue de Hermes.
- Política en la llamada a la herramienta. Decide por herramienta y por argumento qué puede hacer un agente, en lugar de confiar en que un modelo se niegue.
- Inspección y registro. Guarda prompts, llamadas a herramientas y resultados donde el agente no pueda reescribirlos.
- Pruebas antes y después del despliegue. Somete al agente a ataques de inyección y de uso indebido de herramientas, y repite tras cada actualización.
NeuralTrust es una empresa de seguridad para agentes de IA con sede en Barcelona, y su Runtime Security Mesh está pensada para esta capa. Agent Gateway (TrustGate) está diseñada para situarse entre los agentes y los modelos y servidores MCP a los que llaman. Así, la política y el registro no dependen del proceso del agente. Agent Runtime Security (TrustGuard) inspecciona el comportamiento del agente en ejecución. Agent Posture Management (TrustLens) ayuda a inventariar agentes y sus permisos, y AI Red Teaming (TrustTest) los prueba frente a ataques como la inyección de prompts. Para la parte humana de las aprobaciones, consulta nuestra guía de agentes de IA con humano en el circuito.
¿Qué configuración te conviene?
Elige según a quién sirve el agente y qué lee. Un experimento personal admite más riesgo que una pasarela compartida. Un agente que lee correo, páginas web o mensajes de chat debería ejecutarse siempre en un contenedor o en un proceso envuelto.
| Escenario | Configuración mínima | Evita |
|---|---|---|
| Experimento local, sin mensajería, solo archivos de confianza | Aprobaciones inteligentes o manuales, versión actual, HERMES_WRITE_SAFE_ROOT definido | Modo YOLO, endpoints públicos |
| Equipo de trabajo | Aprobaciones manuales, reglas approvals.deny, backend docker o ssh, docker_forward_env vacío, checkpoints | Backend local, secretos del host reenviados |
| Pasarela siempre activa con canales de chat | Contenedor, listas de permitidos o emparejamiento por DM, usuario sin root, VPN o cortafuegos, archivo de credenciales restringido | Allow-all, API pública, tokens de bot compartidos |
| Lee contenido no confiable (web, correo, canales multiusuario, MCP no confiable) | Envoltura del proceso completo en Docker o Compose, o NVIDIA OpenShell | Aislamiento solo del terminal |
| Despliegue compartido o empresarial | Aislamiento del proceso completo más gateway externo, identidad, registro y red teaming | Tratar el modelo de un solo inquilino como multiusuario |
Conclusión
Hermes Agent es un agente autoalojado capaz, cuyos responsables son claros sobre sus límites: los controles internos son heurísticas y el sistema operativo es la frontera. El registro verificado muestra correcciones publicadas entre 0.11.0 y 0.19.0, así que una versión actual dentro de un contenedor, con listas de permitidos y aprobaciones manuales, es una base defendible. Los equipos deberían añadir controles fuera del agente antes de escalarlo.
Protege agentes autoalojados en producción con NeuralTrust
Pon política, inspección y auditoría entre tus agentes y las herramientas a las que pueden llegar.
)
Lecturas relacionadas
- Claude Code Security: Enterprise Risks and Controls: las mismas preguntas para otro agente que ejecuta comandos.
- MCP Authentication: OAuth 2.1 Done Right for AI Agents: cómo autorizar los servidores de herramientas a los que llama tu agente.
- Human-in-the-Loop AI Agents: Oversight That Scales: qué pueden y qué no pueden hacer los avisos de aprobación.
Preguntas frecuentes sobre Hermes Agent
1. ¿Es seguro usar Hermes Agent?
Puede serlo, con la configuración adecuada. El proyecto documenta aprobación de comandos, acceso denegado por defecto y aislamiento en contenedor, y ha publicado correcciones para la mayoría de sus CVE. Aun así, su política de seguridad dice que el sistema operativo es la única frontera frente a un modelo hostil. Usa un contenedor, listas de permitidos, aprobaciones manuales y la última versión.
2. ¿Qué CVE afectan a Hermes Agent?
Arriba se recogen doce CVE, desde CVE-2026-9368 (antes de 0.11.0) hasta CVE-2026-82021, el fallo crítico de cadena de suministro del catálogo MCP corregido en 0.19.0 y 2026.7.20. Nueve indican versión corregida. Tres, CVE-2026-7112, CVE-2026-7113 y CVE-2026-14628, no indican ninguna, así que consulta las notas de versión de la tuya.
3. ¿Hermes Agent ejecuta comandos en mi ordenador?
Sí, si eliges el backend de terminal local. Hermes puede ejecutar comandos de shell con siete backends, entre ellos Docker, SSH y Modal. En el backend local los comandos se ejecutan con tu usuario, tras una puerta de aprobación que el proyecto califica de heurística. Un backend en contenedor o remoto mantiene los comandos fuera del host.
4. ¿Cómo protejo la pasarela de mensajería de Hermes Agent?
Define listas de permitidos explícitas o usa el emparejamiento por DM, y nunca actives allow-all en producción. Sin listas, el comportamiento por defecto es denegar a todos los usuarios. Ejecuta la pasarela como usuario sin root, guarda los tokens en un archivo de credenciales restringido y no expongas la pasarela ni la API a internet sin VPN o cortafuegos.
5. ¿Debo ejecutar Hermes Agent en Docker?
En la mayoría de los casos, sí. La documentación recomienda un contenedor o un backend remoto frente al host, y los contenedores Docker eliminan casi todas las capacidades de Linux y limitan los recursos. Ten en cuenta que el aislamiento solo del terminal deja MCP, plugins, hooks y skills en el proceso del host. Si el agente lee contenido no confiable, envuelve el proceso completo.
6. ¿Puede la inyección de prompts comprometer a Hermes Agent?
La inyección de prompts puede desviar al agente a través de archivos de contexto, memoria, skills o contenido web, y varios CVE afectan a los escáneres pensados para detectarla. El proyecto deja la inyección por sí sola fuera de alcance salvo que rompa el modelo de confianza. Limita el daño aislando la ejecución, exigiendo aprobaciones y restringiendo credenciales.
7. ¿Cómo sigo los avisos de seguridad de Hermes Agent?
Vigila los avisos de seguridad y las notas de versión del repositorio, y consulta las bases de avisos de GitLab y GitHub para el paquete hermes-agent. Anota la versión que ejecutas y compárala con las versiones corregidas de la tabla de CVE tras cada actualización.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Se especializa en búsqueda con IA, estrategia de contenidos y SEM. Conecta en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, presente en cuatro informes Gartner Hype Cycle en 2026 y destacada en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- README de NousResearch/hermes-agent, GitHub, consultado el 26 de octubre de 2026
- Política de seguridad de Hermes Agent (SECURITY.md), GitHub, consultado el 26 de octubre de 2026
- Documentación de Hermes Agent: Security, consultado el 26 de octubre de 2026
- Documentación de Hermes Agent: Secure Hermes on a work machine, consultado el 26 de octubre de 2026
- Registro CVE de CVE-2026-82021, CVE Program, publicado el 28 de agosto de 2026
- GitLab Advisory Database: hermes-agent (PyPI), consultado el 26 de octubre de 2026
- GitHub Advisory Database: hermes-agent, consultado el 26 de octubre de 2026
- OWASP Top 10 for LLM Applications 2026, OWASP GenAI Security Project, GitHub, consultado el 26 de octubre de 2026
- GenAI and Agentic AI Exploit Roundup Q3 2026, OWASP GenAI Security Project, 8 de octubre de 2026