🪽 Hermes Agentを安全に飼う — 216k starsの自己改善エージェントに、解説記事が書かない「檻」の設計

Hermes Agentの解説記事は、日本語圏だけでもう何十本もある。Qiitaに仕組み解説、Zennにバージョン追随、noteにセットアップ手順、窓の杜に実機レビュー。2026年2月末の公開から5ヶ月で216k stars、OpenRouterの日次トークン量では224B/日で1位(5月時点の公開ランキング)。評価額$1.5Bでの資金調達交渉もTechCrunchが報じた。もう「何ができるか」を今さら書く意味はない。

なので、この記事は逆側を書く。この種のエージェントを安全に飼う設計の話だ。自分は業務用のエージェント基盤(Claude Codeベースの自作OS)を毎日運用していて、Hermesの設計を見ると、便利さの説明より先に攻撃面の説明がしたくなる。

「使うほど育つ」は「使うほど汚染面が増える」でもある

Hermesの核は、経験からスキル文書を自動生成し、セッション横断でユーザーモデルを育てる自己改善ループだ。そして接続面が広い。Telegram、Discord、Slack、WhatsApp、メール、iMessage。常時稼働で、cronで勝手に動き、サブエージェントを並列に走らせる。

セキュリティ屋の目でこの構成を読み替えると、こうなる。信頼できない入力(受信メッセージ・Webページ)が、スキルという実行可能な指示に変換され、永続化され、以後すべてのセッションに影響する。実際、スキルポイズニング(汚染されたコンテンツをスキルとして学習させる攻撃)の脆弱性は既に報告・解説されている。HNでも「常時稼働・多チャネルのエージェントの攻撃面」への懸念スレが立った。

これはHermesの実装が雑だという話ではない。自己改善エージェントというジャンル自体が構造的にこの問題を抱えている。プロンプトインジェクションが1回きりの事故だとしたら、スキルポイズニングは事故の永続化だ。

檻はLLMの外側に作る

自分の基盤で運用して残っている原則は、突き詰めると1つだ。「信頼できない入力の処理」「機密データへのアクセス」「外部送信」の3つを、監視なしのエージェントに同時に持たせない。3つ揃うと、受信メッセージに仕込まれた指示が機密を読んで外に送る、という最悪の経路が成立する。どれか1つを外せば成立しない。

具体的には、LLMへのお願い(プロンプト)ではなく、LLMの外側のコードで決定的に強制する。

# 例: ツール実行前フックで送信先をallowlist照合(疑似コード)
if tool in SEND_TOOLS and dest not in allowlist:
    block("許可外の宛先への送信")   # LLMの判断を経由せず遮断
if references_secret(cmd) and is_outbound(cmd):
    block("機密参照と外部送信の同時実行")

「システムプロンプトで禁止と書く」は防御ではない。インジェクションはまさにその指示を上書きしに来るのだから、ガードレールはプロンプトの外に置くしかない。Hermesで言えば、実行バックエンドをDockerやリモートサンドボックスに寄せる、接続チャネルを本当に要るものだけに絞る、送信系の操作に承認ゲートを挟む、が対応物になる。

そしてスキル自動生成には人間レビューの関所を置く。/learn で蒸留されたスキルをそのまま常用に昇格させず、差分を読んでから採用する。うちの基盤でも、自動抽出された知識はすべて「未確認」ラベルで隔離し、使う瞬間に人間が確認する運用にしている。育つ速度は落ちる。でも汚染が永続化する構造では、この関所だけは省けない。

「メモリの実体はMarkdown」を笑えない

HNの批判で面白かったのは「謳い文句の永続メモリの実体はMEMORY.mdというMarkdownファイルじゃないか」というやつだ。誇大広告への皮肉としては正しい。ただ、自分のエージェント基盤のメモリも実体はMarkdownのファイル群で、むしろそれが正解だと思っている。人間がdiffを読める、gitで巻き戻せる、汚染されたら行単位で消せる。ベクタDBに埋まった記憶はこのどれもできない。監査可能性は地味だが、自己改善システムでは安全機構そのものだ。

なお、Evolverプロジェクトからの機能盗用疑惑と、批判issueをNous側が編集した騒動も記録として添えておく。真偽はともかく、216k starsの勢いの裏でガバナンスに疑問符が付いた事実は、導入判断の材料になる。

Hermes Agentは触る価値のあるソフトウェアだ。ただ、解説記事の「何ができるか」と同じ分量で「何をさせないか」を設計してから飼い始めてほしい。あなたのエージェント、受信・機密・送信の3つを同時に持っていませんか。持っているなら、それはエージェントではなく、開けっ放しの裏口です。