先说一个基本判断：Hermes Agent 容器一旦被攻破，攻击者最想干的三件事——提权、网络逃逸、命令注入——几乎全是冲着宿主机去的。所以，在 Docker 运行时层面把这几条路堵死，不是锦上添花，而是保命底线。下面拆开揉碎了说，每一步该怎么配、怎么验。

防止 Hermes Agent 容器被恶意攻击，必须在 Docker 运行时阶段阻断权限提升、网络逃逸、命令注入等常见攻击路径，避免因配置疏漏导致宿主机沦陷或敏感数据泄露。下面从五个维度逐一落实。

启用强制非特权用户与权限锁定

容器内进程一旦以 root 身份跑，攻破它等于直接拿到宿主机文件系统的钥匙。这个风险链条必须从镜像构建阶段就切断。

操作分三步走：第一，打开项目根目录下的 Dockerfile，在复制代码后、声明 CMD 前插入两行：

RUN groupadd -g 1001 -f hermes && useradd -r -u 1001 -g hermes hermes

USER hermes

第二，构建镜像后跑一遍 docker run --rm your-image id 验证用户身份——输出中的 uid 必须是 1001，不能出现 root；如果还是 uid=0(root)，说明 USER 指令被覆盖或位置错了。第三，检查 tools/environments/docker.py 里是否启用了 --security-opt no-new-privileges，这个参数禁止容器内进程获取新权限，是防御提权攻击的硬性前提。【没开这个参数，非 root 用户配了也白配】

彻底禁用网络栈并验证隔离效果

大部分攻击都依赖网络通道跟 C2 服务器通信、下载恶意载荷、或者横向渗透。对不需要联网的任务场景，干脆把网线拔了最省心。

两种做法任选其一：一是在 environments/benchmarks/terminalbench_2/default.yaml 里显式设置 network: none；二是启动容器时强制传参 docker run --network=none -it hermes-agent。验证是否生效：进容器执行 ip addr，输出里不应该有 eth0 或任何 IPv4 地址；如果看到除了 lo 之外还有别的接口，说明 --network=none 被其他配置覆盖了，需要排查。

限制容器资源并阻断危险系统调用

攻击者常用的手段包括 fork 冲击波耗尽 CPU、内存溢出触发 OOM killer 杀掉关键进程，或者利用 ptrace、mount 这类 syscall 直接逃逸到宿主机。

在 docker run 命令里加上以下参数：

--memory=512m --cpus=1.0 --pids-limit=100 --security-opt seccomp=tools/seccomp/default.json

关键在于 seccomp 策略文件得能覆盖 unshare、clone（带 CLONE_NEWNS 标志）、open_by_handle_at 等高危 syscall，并设置为 SCMP_ACT_ERRNO 拦截。如果这个文件缺失或者路径写错了，Docker 会静默忽略 seccomp 配置，等于没设防。可以跑 docker stats hermes-agent 确认内存和 CPU 使用率始终被压制在设定阈值内，超出就自动 OOM 终止。

实施技能级输入过滤与命令审批

动态生成的 shell 脚本或 Python 代码里可能藏了 os.system("rm -rf /") 这种恶意逻辑，静态扫描根本抓不完所有变种，必须在执行前人工介入校验。

三个办法：第一，启用 tools/skills_guard.py 模块，在 EXTERNAL_DOMAIN_BLOCKLIST 里添加正则规则拦截可疑域名；第二，配置 skills/registry.py 里的 command_whitelist，只允许 ls、cat、grep 这类安全命令通过，其余一律拒绝；第三，对高危操作（比如 chmod、curl、python -c）打开人工审批模式——执行前需要管理员在 Web UI 点确认。这个开关在 skills/mcp/servers/auth.py 的 enable_command_approval 字段里。

挂载只读卷并禁用敏感路径访问

容器如果挂载了宿主机 /etc、/proc 或 /sys 目录，攻击者就能改系统配置、读进程内存、改内核参数——几乎跟拿到 root 权限没区别。

检查所有 docker run 命令里的 -v 参数，确保三点：挂载的配置目录（如 /app/config）用 :ro 后缀标记为只读；绝不挂载 /、/etc、/usr、/bin 等系统路径；工作目录 /workspace 要独立于宿主机任何系统目录，防止符号链接绕过。验证方法：执行 docker inspect hermes-agent | jq '.[].Mounts'，输出里每个 Destination 字段都应该指向容器内非系统路径，且 Mode 字段为 ro。