Hermes Agent : connecter une application ne donne pas les mêmes accès qu’un plugin

Un connecteur agit dans le compte que vous autorisez

La 0.22.0 décrit des connecteurs d’applications hébergées accessibles par le Tool Gateway de Nous. Le parcours ouvre une autorisation dans le navigateur, puis rend les outils disponibles dans le chat. La page Connectors rassemble ces applications et les serveurs MCP, mais les deux restent des modes de connexion différents.

Plusieurs comptes d’une même application peuvent recevoir des noms, par exemple work et home. La documentation impose de désigner le compte lorsque plusieurs comptes nommés sont actifs. Vérifiez ce choix avant de demander une modification : l’autorisation d’un compte personnel ne vaut pas pour votre compte professionnel.

La 0.22.0 proposait une identité gratuite réservée aux connecteurs. La 0.22.5 annonce désormais un parcours de connexion par code d’appareil, le passage du compte invité au compte connecté et une identité affichée après connexion ; les connecteurs proposent de se connecter plutôt que d’ouvrir un invité. Vérifiez le compte effectif avant une écriture. Cela ne rend pas gratuits tous les outils : la documentation distingue toujours les connecteurs du Tool Gateway général. Nous ne publions pas de montant ni de quota non vérifié.

Le catalogue fixe le code examiné, pas une garantie absolue

Le catalogue introduit pendant le cycle 0.21 puis documenté dans la 0.22.0 permet d’installer un plugin par son nom. Chaque entrée pointe vers un commit précis examiné par un mainteneur. L’auteur ne peut pas changer ce code installé en poussant simplement une nouvelle version sur sa branche.

La documentation précise que cette revue ponctuelle n’est pas un audit de sécurité. Un plugin de bureau s’exécute dans l’application et n’est pas une page web isolée. L’installation depuis une URL Git hors catalogue suit un autre chemin, sans la même revue. Lisez ce que l’extension demande avant de lui donner des identifiants.

Les ajouts récents servent des usages distincts

La note 0.22.4 signale bubblewrap pour un terminal bwrap sous Linux, Singularity/Apptainer, et mcp-serve pour exposer Hermes comme serveur MCP. Elle cite aussi agent-importers, désormais avec Cursor, ainsi que inbox et workflow-record de Hermes Labs. Telegram Business passe dans la catégorie communautaire Hermes Labs.

Ce sont des entrées du catalogue, pas des fonctions toutes actives après une mise à jour. Installer un backend de terminal isolé ne permet pas de conclure que les autres outils ont changé de périmètre. Vérifiez le backend effectivement choisi.

Les fiches officielles permettent de préciser ce choix. bubblewrap est réservé à Linux : son bac à sable couvre le terminal et execute_code, pas les outils de lecture et d’écriture de fichiers exécutés sur l’hôte. Ses processus de fond ne persistent pas après la commande. Singularity/Apptainer vise aussi Linux, notamment les machines partagées sans Docker ; il faut le moteur correspondant déjà installé. Aucun de ces noms ne suffit à prouver l’isolement de toute votre installation.

mcp-serve donne au client MCP connecté la lecture des conversations du profil actif et la possibilité d’envoyer des messages avec ses comptes connectés. Son option --tools ajoute certains outils Hermes avec leurs fournisseurs et leurs coûts ; elle n’expose pas le terminal. Accordez cet accès comme un partage de messagerie, pas comme un simple catalogue de fonctions. Pour agent-importers, commencez par la prévisualisation --dry-run. Le plugin importe notamment des règles, mémoires et serveurs MCP dans le profil actif ; les secrets restent exclus par défaut. L’exception de migration des secrets OpenClaw exige un choix explicite.

Cua Spaces et Meshy : où vont le travail et les fichiers ?

Les fiches du catalogue permettent de reprendre deux ajouts récents sans utiliser leurs annonces sociales. Cua Spaces 0.4.0 demande Hermes 0.21.6 au minimum et déporte le terminal, les fichiers et le code dans une machine choisie, locale ou distante. Sa matrice détaillée limite le suivi du bureau, du navigateur et de computer_use aux Spaces Linux compatibles, pas aux Spaces macOS ou Windows. Ne déduisez pas l’emplacement du navigateur de celui du terminal.

Par défaut, un Space créé pour la session est supprimé à la sortie et les confirmations de commandes risquées y sont désactivées, car il est traité comme un bac à sable jetable. Exportez ce que vous voulez garder avant la fin. Un Space nommé existant n’est pas supprimé et conserve ces confirmations. Vérifiez aussi la destination des fichiers et la télémétrie propre au SDK Cua ; le plugin et son SDK ne font pas les mêmes déclarations.

Meshy 0.4.0 demande Hermes 0.22.3 au minimum, Node.js 18 ou ultérieur et une clé API Meshy. Son serveur MCP s’exécute localement, mais les demandes, images et modèles concernés sont envoyés à l’API Meshy. Le plugin prévoit une confirmation pour les opérations payantes et les refuse sans approbateur dans une exécution planifiée. Le coût estimé dépend de la fonction et de la version d’Hermes ; un serveur local ne rend pas la génération locale ou gratuite.

OAuth et mises à jour : relire les droits demandés

La 0.22.3 annonce des clients OAuth déclarés par les plugins, dont Hermes assure la connexion et le renouvellement. Elle ajoute aussi la proposition de toutes les mises à jour disponibles par hermes plugins update et un bouton de mise à jour des plugins Git dans Desktop. Une connexion d’extension ne doit pas être confondue avec l’accès du modèle principal.

La documentation prévoit une confirmation lorsqu’une nouvelle révision du catalogue ajoute notamment des outils, hooks, dépendances ou clients OAuth. Elle précise que les capacités accordées sont une couche de consentement et de traçabilité, pas une sandbox. Le processus de plugins par profil, lui aussi facultatif selon le contexte, ne constitue pas à lui seul un isolement du système.

Pour les auteurs d’extensions, post_compaction notifie une compression réellement appliquée à la conversation. Le hook reçoit des identifiants et des compteurs, pas le contenu des messages dans cet événement. Cela peut aider une mémoire externe à réinjecter un contexte utile ; le hook ne garantit pas la conservation intégrale de l’historique.

Le mot de passe évite le modèle, pas le site destinataire

Le coffre décrit dans la documentation et les notes de version remplit les connexions depuis le coffre local Hermes, 1Password ou Bitwarden sans faire entrer la valeur du mot de passe dans le contexte du modèle. Le remplissage est lié à l’origine exacte du site enregistré. Les codes temporaires peuvent suivre le même chemin protégé.

Le site qui reçoit le mot de passe peut le lire, comme lors d’une saisie manuelle. Un navigateur hébergé voit aussi la page. La documentation ne promet donc pas de protection contre le bon site devenu compromis. Le remplissage d’une carte demande une confirmation et est refusé dans les sessions sans utilisateur présent.

Reprendre la main quand le bot arrive à une connexion

Bot Screen permet de voir le bureau d’un bot sur une passerelle Linux et d’en reprendre le contrôle pour une connexion, une validation ou un CAPTCHA. Avec les backends Docker, SSH ou Singularity décrits dans la note, l’écran et le navigateur du bot suivent cet environnement, pas nécessairement votre bureau habituel.

Choisissez d’abord une seule application et une tâche sans conséquence irréversible. Contrôlez le compte, les droits et le résultat avant d’étendre l’accès. Nous n’avons pas installé ces plugins ni testé ce parcours de reprise en main.

• Le modèle local ne rend pas les connecteurs locaux↗
• La fiche de présentation Hermes Agent↗