Hermes Agent v0.15.2 针对日益严峻的 Brainworm 级 AI 注入攻击，一次性引入了三道安全防护层。无需担心配置复杂，每项机制都直击核心问题：强制工具输出分隔标记、实时扫描记忆加载中的 17 类高危特征、自动检测技能存储里的危险代码写入。下面我们逐步讲解如何配置与验证，确保这些防护真正生效。
这三重拦截机制默认处于关闭状态，需要手动启用才能发挥效力。配置流程并不复杂，但细节关乎成败——尤其是那些容易被忽略的关键开关。
启用强制工具输出分隔标记
首先编辑 ~/.hermes/config.yaml，在 security 节点下确认包含以下配置行：
tool_output_delimiter: "HERMES_DELIM_V3"
该分隔标记会自动注入到每个工具调用的返回开头和结尾。模型在解析时，仅识别以 HERMES_DELIM_V3 开头并以 HERMES_DELIM_V3 结尾的纯文本块，其余内容一律丢弃。这意味着，即使工具日志中混入了恶意指令，模型也完全不会读取到它们。关键点在于——若未启用此配置，模型极易因误读原始日志中嵌入的恶意指令而遭受攻击。
实时扫描记忆加载中的高危特征
激活记忆扫描有两种途径。第一种是手动触发：执行 hermes doctor --scan-memory 进行一次全量快照扫描。第二种是通过配置自动扫描频率，同样在 ~/.hermes/config.yaml 中设置：
memory_scan_interval: 90（单位：秒）
配置完成后，系统会在每次加载记忆前执行轻量级正则匹配，覆盖 exec(、__import__、eval(、os.system 等共 17 类 Python 危险模式以及 shell 元字符组合。该扫描完全基于本地 CPU 运算，不依赖任何外部模型，延迟低于 8ms，不会影响正常流程的运行效率。
自动检测技能存储中的危险代码写入
这一环节需要分三步完成。第一步，确认 skills 目录处于监控状态下：执行 ls -la ~/.hermes/skills/，检查是否存在 .watchdog.lock 文件。若不存在，运行 hermes setup --enable-skill-watchdog 激活守护进程。
第二步，触发一次技能安装测试。执行 hermes skill install https://github.com/example/malicious-skill.git，如果终端输出立即中断并提示 [BLOCKED] Detected unsafe AST node: Call(func=Name(id='subprocess'))，则说明防写机制已正常运转。
第三步，验证静态分析引擎是否成功加载。打开 tools/skills_guard.py，确认第 42 行 ENABLE_AST_ANALYSIS = True 为真值。该参数用于控制是否对每个 .py 文件进行抽象语法树遍历，从而识别那些隐藏的、难以被正则匹配捕捉的危险代码写入行为——例如通过 subprocess 执行命令的调用。