1. 先解决模型通道再谈 Tool Sandbox跑通 Hermes Agent 的 Tool Sandbox除了懂 tools/terminal_tool.py还要先把模型 Key 和 Base URL 备好。本文用 TaoTokenhttps://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_content 当统一 API 通道再顺着原文拆解的六种终端后端、危险命令审批、sudo 密码 stdin 传递把部署链路完整走一遍。原文开篇那个场景我印象很深一个能执行终端命令的 Agent理论上也能敲下rm -rf /把自己运行的那台机器清空。这个画面之所以吓人不是因为它一定会发生而是它把「AI 失控」从抽象概念变成了一条具体命令。Hermes Agent 的回应不是禁止 Agent 执行命令而是把命令执行放在六种可插拔的终端后端里让用户自己选。tools/terminal_tool.py 这个文件接近三千行是 Hermes 工具模块里最大的单体文件里面包含三层安全设计后端隔离、危险命令审批、sudo 密码无痕传递。但真到自己部署时很多人卡住的位置不是这份文件的内部逻辑而是更靠前的一步模型 Key 和 Base URL 不知道该填哪里。官方额度撑不住多会话并发几把 Key 来回切换容易记混模型一换就要翻一遍配置。TaoToken 在这个环节解决的是「接入」问题——把它看作一个兼容通道在 TaoToken 创建 API Key再把 Base URL 填成https://taotoken.net/api末尾不要带/v1、不要带 UTMHermes Agent 的模型调用就统一走这条通道。terminal_tool.py 的隔离、拦截、密码保护逻辑不需要为这件事改动一行。2. 六种终端后端TERMINAL_ENV 与隔离阶梯2.1 env_type 决定命令在哪跑terminal_tool.py 支持六种环境靠TERMINAL_ENV环境变量读取env_type默认是local。这个设计不是一刀切地「默认上 Docker」而是给你一个隔离等级递进的菜单env_type运行环境隔离等级典型使用场景local宿主机直接执行零隔离本机快速迭代信任 AgentdockerDocker 容器中等隔离CI/CD容器删除后不留痕迹modalModal 云沙箱完全隔离不可信代码云端临时容器singularitySingularity 容器中等隔离HPC 集群环境daytonaDaytona 云沙箱高隔离云端开发环境ssh远程 SSH远端隔离把命令推给远端机器执行速度与隔离的取舍也很直白local 最快但rm -rf /真的会删掉宿主机docker 多一层文件系统隔离代价是每次冷启动都要等容器起来modal 把执行推到云端连文件系统都是临时的但网络往返让单条命令延迟明显变高。原文用一个排序把这条梯度讲清楚了速度上 local 优于 ssh、docker、singularity、daytona、modal隔离等级则反过来modal 最高local 最低。2.2 隔离的是命令执行位置模型调用仍然要走 API这层设计容易让人产生一个错觉只要把TERMINAL_ENV设成modalAgent 就很安全了。实际上它隔离的是「命令在哪里执行」模型推理仍然发生在模型 API 那一侧。哪怕命令在 Modal 云端沙箱里跑Agent 要做决策还是要把请求发给模型服务。如果模型 Key 配错、Base URL 不可达、模型 ID 不存在Tool Sandbox 根本走不到执行那一步安全再强也无从谈起。多 Agent 并发时这个矛盾会更明显。Hermes Agent 的多会话逻辑跑在线程池里每个会话都要独立发起模型调用官方单 Key 的并发额度很快就会触顶。TaoToken 的定位是统一 API 通道一把 Key、一个 Base URL模型 ID 以 模型广场 当时列表为准。你可以在同一套配置里换模型不用改代码、不用同时管理多个服务商的密钥。3. 危险命令审批check_all_command_guards 在 Popen 之前3.1 事前模式匹配而不是事后审计审批系统不在命令执行后检查结果而是在subprocess.Popen被调用之前完成拦截。换句话说危险命令根本没有机会进入子进程。这个顺序差别很关键事后审计只能发现问题、记录日志无法阻止破坏发生事前拦截则是让命令停在门口。实现上靠的是check_all_command_guards做模式匹配而不是让模型来判断危险不危险。模式匹配的好处是可审计、可预测——匹配规则就写在那任何命令都能被明确归类。如果改成让 AI 判断rm -rf /危不危险就等于把安全托付给 prompt 的稳定性这在工程上很难接受。3.2 三级分级与 per-thread 审批回调审批模块对命令做了三级分级。Level 1 是完全拒绝没有审批选项rm -rf /、chmod 777 /etc、fork bomb 这一类直接拦截。Level 2 是需要用户确认pip install、curl | bash、git push --force这类有副作用但可能合法。Level 3 是直接放行ls、cat、grep、echo、cd、pwd这些只读或无害操作。多会话场景下审批状态按线程隔离per-thread 的审批回调不会互相污染。ACP 的多会话跑在 ThreadPoolExecutor 里会话 A 的审批结果不会让会话 B 跳过确认。而且用户对「这次」的批准不等于对「永远」的授权模型没法通过一次通过就永久绕过审批。这条逻辑与模型通道完全解耦TaoToken 替换的只是模型接口层审批拦截依旧由 terminal_tool.py 全权负责。4. sudo 密码与硬限制不落盘、不写日志、不留残留4.1 密码只通过 stdin 传给子进程Agent 部署时常常需要sudo apt install、sudo systemctl restart这类带提权的命令。如果让 Agent 把密码拼在命令行里密码会出现在/var/log/和~/.bash_history中等于直接泄露。Hermes 的处理方式是把密码拆成四层密码源从环境变量SUDO_PASSWORD读取或者交互式提示输入不落盘命令被改写成sudo -S -p 的形式-S表示从 stdin 读密码-p 关掉密码提示攻击者拿不到明显暗示密码通过subprocess.run(inputf{password}\n)喂给子进程而不是当作命令行参数密码只存在于这一个子进程的内存里进程结束随内存回收。缓存也有 scope 分级优先按HERMES_SESSION_KEY隔离其次是 callback identity最后是 thread ID。同一个 session 内输过一次密码可以复用但不同 session 之间绝不共享——会话 A 的 sudo 密码不会泄漏到会话 B。这一段设计与模型出口没有任何交叉点所以把 Base URL 换成 TaoToken密码保护逻辑照旧工作。4.2 超时硬上限、磁盘警告、自动清理FOREGROUND_MAX_TIMEOUT默认是 600 秒即使 Agent 传入timeout99999实际执行也不会超过这个上限。原因是防止 Prompt Injection 诱骗模型调用长期运行的命令把攻击窗口拉长。600 秒已经是比较宽的窗口既能容纳大多数合法任务又不会让恶意进程无限占用。磁盘方面每次执行前会检查 scratch 目录总大小超过 500GB 阈值就记录警告但不阻断把决定权留给用户。会话结束会清理临时文件空闲超时会回收 Modal/SSH 连接进程退出时通过 atexit 钩子确保没有残留。这层设计同样不受模型通道影响。5. 模型接入把 Base URL 指到 TaoToken5.1 第一步创建 YOUR_API_KEY在 TaoToken 注册并登录进入控制台的 API Keys 页面创建密钥。创建后 Key 只完整显示一次先复制到本地密码管理器再继续。注意这把 Key 是YOUR_API_KEY的实际替身不要把它写进 Git 仓库也不要贴在聊天框里发给别人。如果你的 Hermes Agent 跑在服务器上建议把 Key 放在只有服务账户可读的环境变量文件中。后面所有配置里用到的YOUR_API_KEY都指向这个值。5.2 OpenAI 兼容环境变量接入Hermes Agent 的模型层如果走 OpenAI 兼容协议配置只需要三个环境变量。在启动 Agent 的终端里导出export OPENAI_BASE_URLhttps://taotoken.net/api export OPENAI_API_KEYYOUR_API_KEY export OPENAI_MODEL模型ID以TaoToken模型广场为准OPENAI_BASE_URL必须写https://taotoken.net/api末尾不要加/v1更不要加 UTM 参数。UTM 只给浏览器里打开的官网页面用接口地址保持干净。模型 ID 不要在社区帖子里听说一个就填一个打开模型广场看一眼当时列表列表里有什么就填什么。5.3 委托 Claude Code 执行任务时的另一种写法如果 Hermes Agent 的某些子任务委托给 Claude Code 执行可以通过~/.claude/settings.json的env字段统一配置{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_AUTH_TOKEN: YOUR_API_KEY, ANTHROPIC_MODEL: 模型ID以TaoToken模型广场为准 } }代码里不写死 Key配置里也不写死模型模型 ID 始终跟在模型广场看到的真实名称为准。接入细节可以对照 TaoToken 的 Claude Code 接入文档。如果你的 Hermes Agent 直接走 Anthropic SDK也可以把ANTHROPIC_BASE_URL、ANTHROPIC_AUTH_TOKEN、ANTHROPIC_MODEL三个变量导出到当前 shell。5.4 服务器部署Key 不进命令行长驻服务器的 Hermes Agent 不建议把 Key 直接写在启动脚本里更不建议通过命令行参数传。用 systemd 的EnvironmentFile或 docker compose 的env_file都可以。一个最小示例# /etc/hermes-agent.env OPENAI_BASE_URLhttps://taotoken.net/api OPENAI_API_KEYYOUR_API_KEY OPENAI_MODEL模型ID以TaoToken模型广场为准这个文件的权限设成 600属主设为运行 Hermes Agent 的系统账户。这样 Agent 重启后自动加载配置Key 不会出现在ps输出里也不会被 shell history 记录。6. 验证与排障跑一条命令再去后台对账6.1 冷启动验证配置完成后先启动 Hermes Agent给它一个最简单的终端任务比如「运行 pwd 并告诉我输出结果」。如果模型通道配置正确Agent 会调用 terminal_tool.py执行pwd再把输出返回给你。这一步能确认三件事Base URL 可不可达、Key 是否有权限、模型 ID 是否有效。如果任务一直转圈没有结果先不要怀疑 terminal_tool.py 的六种后端更可能是模型请求根本没发出去。6.2 触发一次 Level 2 审批冷启动通过后再试一条 Level 2 命令比如让 Agent 执行pip install requests。正常表现是终端弹出审批提示等你确认后才继续。这能验证审批回调没有被模型通道替换影响。也可以顺手让 Agent 试一下rm -rf /tmp/hermes_test_dir这类命令——如果目录不存在命令会报错但审批机制会先走一遍你会在日志里看到命令被拦截或需要确认的记录。这比真的去碰根目录安全得多。6.3 控制台对账调用链全部跑通后打开 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_content 进控制台看用量记录。刚才那几次调用应该都能对上有请求时间、模型 ID、输入输出 token 数。这一步是原文里「后台核对调用是否成功」的具体落地。如果控制台里看不到刚才的调用说明请求没走到 TaoToken回头检查环境变量是否真的被 Agent 进程继承。6.4 三个常见错误第一个是 401 Unauthorized几乎都是 Key 复制不完整或前后带了空格。第二个是模型名报错原因是填了模型广场列表之外的 ID——不要凭印象拼一个名字去列表里复制。第三个是超时常见于把 Base URL 写成了https://taotoken.net/api/v1TaoToken 的/api已经包含路由多余的/v1反而导致请求无法命中。另外要注意环境变量只在当前终端生效如果 Hermes Agent 是用 systemd 启动的局部export不会被读到。7. 从 Tool Sandbox 走向多 Agent 协奏把 terminal_tool.py 的隔离阶梯、危险命令审批、sudo 密码 stdin 传递走通之后你已经有一个能安全执行终端任务的 Agent 底座。原文预告的下一站是多 Agent 协作的 Kanban 架构——delegate_task 加上 Kanban Lane 的调度模型让多个并行工作流互不踩脚。到那时候模型通道的稳定性会更依赖你现在的接入方式。跑通后建议先在 TaoToken 模型对话 里用同一把 Key 发一条测试消息确认模型 ID 和 Base URL 没填错如果打算让 Hermes Agent 长时间跑自动化任务可以到 Coding Plan 看看套餐规模是否匹配你的调用量。后续要加新会话或换 Key直接在 控制台 API Keys 处理。我自己的体会是安全容器不是靠某一个 JSON 或者某一个后端撑起来的而是「隔离可选、事前拦截、stdin 传密码」三个设计叠在一起的结果——TaoToken 能做的就是让模型这一层别再成为整套链路里最先掉链子的那环。