Hermes Agent 私人助理實戰：從安裝、記憶到權限治理

010. 導言｜私人 AI 助理的分水嶺不是模型，而是權限

當 AI 不只回答問題，而是能讀信、改行事曆、執行工具、記住偏好並在凌晨自動工作，它就不再只是聊天介面，而是一個真正擁有權限的軟體帳號。

PAPAYA 電腦教室這支 Hermes Agent 教學影片 用一位手作飾品創業者「小芳」貫穿 27 分鐘示範：先把 Hermes 裝在本機或雲端，再接上 Telegram、OpenRouter、Tavily、Google Workspace、FAL 與 Notion，最後讓它處理研究、排程、收據、商品資料、圖片與影片。從產品導覽來看，涵蓋範圍相當完整。

但真正值得拆解的，不是指令清單，而是 Hermes 所代表的產品轉變。ChatGPT 或 Claude 的典型互動單位是一段對話；Hermes 這類 agent 的互動單位，則是跨越多個小時、工具與資料來源的任務。它可以在背景等待、從手機接單、把成功方法保存成 Skill，也能把複雜目標拆成多回合工作。

這也讓「好不好用」與「安不安全」無法分開。模型愈能主動工作，就愈需要接觸檔案、憑證、網路與外部服務；能力愈完整，誤操作、prompt injection、金鑰外洩、費用失控與錯誤自動化的後果也愈大。影片將 Hermes 描述為強調安全的選擇，這是講者的產品判斷，不宜直接當成客觀結論。比較合理的問題是：它提供哪些控制？使用者又必須補上哪些治理？

截至 2026 年 6 月，Hermes 官方文件將它定位為可自我改進的開源 agent，主打持久記憶、Skills、排程與多平台 Gateway。本文以影片實作為主線，同時對照官方文件與開源專案，把功能示範重組成一套採用框架。

魚塘觀察

• 一般聊天機器人的風險多半停在「答錯」；agent 的風險會延伸到「做錯」。
• 選模型只是第一層，部署、身分、工具、憑證、批准與復原才決定它能否長期工作。
• 不要先問哪個 agent 最強，先列出你願意交給它的資料與動作。

021. 兩種部署路線｜本機省錢，雲端換來全天候

影片先比較兩條最常見的部署路線。本機部署可以利用現有電腦或閒置主機，不必額外支付 VPS 月租，資料與記憶也可留在自己的設備上。對只想測試、偶爾使用，或特別重視資料控制的人，這通常是較自然的起點。

代價是可用性。電腦關機、休眠、斷線或帶出門，Hermes 就無法持續回應；若它與日常帳號共用同一台電腦，還可能接觸不必要的私人檔案。影片因此建議為 Hermes 建立獨立、非管理員的作業系統帳號。這個建議比「本機天然安全」重要得多：家用網路降低了部分外部暴露，卻不會自動限制 agent 能讀哪些檔案、能執行哪些程式。

雲端 VPS 的優勢則是 24 小時運作，並與個人電腦隔離。手機傳訊後，遠端主機可以持續研究、跑排程與回傳結果，不受家中設備休眠影響。影片示範 Hostinger 的預建 Hermes 安裝流程，對不熟 Linux 的使用者確實能降低第一步門檻。

然而，VPS 不是把安全責任外包出去。雲端主機通常有固定公開位址，必須處理更新、防火牆、SSH、弱密碼、服務暴露與備份。若 Telegram Bot Token、模型 API Key、Notion Token 全部集中在同一台主機，它也會成為高價值目標。影片最後才補上防火牆設定，但實務上，防火牆與帳號權限應該在串接資料之前完成。

部署選擇可以用三個問題判斷。第一，任務是否真的需要全天候？第二，資料是否允許離開本機？第三，自己是否願意維護一台長期連網的伺服器？如果答案分別是「不需要」「不允許」「不願意」，就不應因為雲端看起來方便而直接部署 VPS。

魚塘觀察

• 本機的關鍵控制是獨立帳號與檔案權限；雲端的關鍵控制是網路暴露與憑證管理。
• 「不接觸私人電腦」不代表「沒有私人資料」，因為信箱、雲端硬碟與 Notion 仍可能包含更敏感的內容。
• 最務實的起點通常是低權限、本機、小範圍任務，確認工作流有價值後再搬到全天候主機。

032. 從 Telegram 到記憶檔｜讓對話變成長期工作關係

Hermes 的第二個關鍵，不是多了一個聊天 App，而是把手機變成遠端工作入口。影片透過 Telegram 的 BotFather 建立 bot，取得 Bot Token，再把自己的 User ID 加入允許名單。訊息先進 Telegram，經 Gateway 送到 Hermes，結果再沿同一條路回到手機。

這裡有兩種容易混淆的憑證。Bot Token 代表「這個程式可以控制哪一個 bot」；User ID allowlist 則代表「哪些人可以對這個 bot 下指令」。只有 Token 沒有 allowlist，知道 bot 的人可能嘗試互動；只有 allowlist 但 Token 外洩，攻擊者仍可能接管 bot。兩者都必須保護。

通訊入口解決「如何隨時交辦」，記憶系統則解決「如何長期合作」。影片以三個檔案解釋 Hermes 的脈絡：USER.md 記錄使用者偏好與目標，MEMORY.md 保存 agent 累積的經驗，SOUL.md 定義角色、語氣與行為原則。官方文件也明確區分 Memory 與 Skill：前者保存事實，後者保存程序。

這種檔案化設計的優點，是記憶不完全藏在模型內部。使用者可以查看、修改或刪除內容，也能在新對話中延續偏好。官方文件進一步指出，核心記憶是有字數上限的精簡層，並搭配 session 搜尋；這代表「記得所有事情」比較像產品體驗描述，而不是無限容量的逐字保存。

可編輯記憶同時帶來新的攻擊面。因為記憶會被重新放進後續提示，若惡意內容被保存，可能長期影響 agent 行為。官方記憶文件提到會掃描 prompt injection、憑證外洩與隱藏 Unicode 等模式，這是一層防護，但仍不代表所有污染都能被辨識。重要記憶最好保留來源、避免保存密碼，並定期檢查是否出現過時或不合理指令。

魚塘觀察

• 通訊入口的安全不是「bot 很難被找到」，而是 allowlist、配對與 Token 保管。
• 記憶應該保存穩定事實與偏好，不應變成密碼庫或無限堆積的聊天垃圾桶。
• 能閱讀與編輯記憶，是這類 agent 比封閉聊天產品更有治理空間的地方。

043. 模型、搜尋與子代理｜能力愈強，成本與風險也愈立體

Hermes 本身不是單一模型。影片先使用 OpenAI，再示範透過 OpenRouter 切換不同模型，並替 API Key 設定額度。這種解耦讓使用者可以依任務挑選速度、價格或能力，也能把簡單排程交給便宜模型，把高難度研究交給較強模型。

不過，模型切換不是免費抽換零件。不同模型對工具呼叫、長上下文、中文與格式遵循的穩定度不同；同一個 Skill 在一個模型上成功，不保證換模型後仍有相同結果。若自動化牽涉寄信、寫資料庫或刪除檔案，模型更換應視為一次需要重新驗收的系統變更。

影片接著加入 Tavily 搜尋，讓 agent 能參考即時網頁，再示範三個 Subagents 平行研究不同銷售平台，最後合併成 HTML 儀表板。這正是 agent 與一般問答最直觀的差異：它不只呼叫一次模型，而是拆解任務、派工、蒐集資料、產生檔案並彙整。

平行化可以縮短等待時間，卻不一定降低總成本。三個子代理通常會讀三份上下文、做三次搜尋、產生三份中間結果，再由主代理統整。若任務界線不清楚，還可能得到重複研究、互相矛盾或無法比較的答案。好的 Subagent 任務需要明確問題、相同輸出格式、來源要求與最後驗收條件。

此外，網頁搜尋會把外部內容帶進 agent 的推理鏈。網頁可能包含錯誤資料，也可能刻意夾帶對 agent 的指令。搜尋結果應被視為不可信輸入，不能因為來自工具就直接取得更高權威。對市場比較、採購與法規研究，至少要保留來源連結與查詢日期。

魚塘觀察

• 模型路由的價值不只是省錢，而是讓任務風險與模型能力匹配。
• Subagent 的成果要以證據、格式與驗收衡量，不是以「同時開了幾個」衡量。
• 搜尋工具擴大知識範圍，也把網頁上的錯誤與惡意內容帶入系統。

054. Google、排程與語音｜Agent 開始進入日常工作流

影片最接近日常工作的段落，是把 Hermes 接上 Gmail、Google Calendar、Drive 與 Docs。示範流程透過 Google Cloud 建立專案、啟用 API、設定 OAuth 用戶端，再把授權結果交給 Hermes。完成後，小芳可以要求 agent 找出課程通知信，並把日期寫進行事曆。

OAuth 的價值，是不必把 Google 密碼直接交給 agent；但授權畫面上的 scope 才是真正的權限邊界。影片為了快速示範採用「全選」，實務上不應把它當成預設做法。只需要讀取信件，就不應同時取得刪除信件的權限；只需要新增行程，也不必開放整個 Drive。最小權限會讓初始設定稍微麻煩，卻能大幅降低帳號被誤用時的損害。

排程則把「有人下指令」改成「時間一到就執行」。影片示範每天早上八點產生晨報、晚上推送日文單字，也能為不同排程指定不同模型。這類固定、可預期、容易驗收的任務，是 agent 自動化最適合的起點。

但排程會在沒有人盯著的時候運作，因此必須比互動式任務更保守。建立排程時應定義輸出送到哪裡、失敗是否重試、每次最高成本、是否能修改外部資料，以及連續失敗何時停用。否則一個提示寫錯的每日任務，可能穩定地重複錯誤一百次。

語音模式則降低了手機操作門檻。影片示範外出採購時查路線、記靈感，再讓 agent 從歷史對話找回筆記。這很方便，但語音辨識本身會出錯；地址、金額、日期與人名等高影響資訊，最好在執行前以文字回顯確認。

魚塘觀察

• OAuth 比交出密碼好，但「全選權限」仍可能過度授權。
• 最適合先自動化的是可逆、低風險、輸出容易檢查的固定任務。
• 語音適合捕捉意圖，不適合在沒有回顯確認時直接執行高風險操作。

065. Skills 與 Goal｜把一次成功變成可重複的 SOP

影片把 Skill 解釋成寫好的 SOP：當小芳說「幫我記一下」，Hermes 會整理內容、補上時間，再寫入 Google 文件；當她上傳收據照片，另一個 Skill 會裁切背景、OCR 品項，最後填進試算表。與每次重新提示相比，Skill 把流程、工具與輸出格式固定下來。

官方文件的定義更精確：Skills 是按需載入的程序知識，安裝在 ~/.hermes/skills/，可以由內建目錄、外部來源或 agent 自己建立。影片表示 Hermes 內建超過 70 個 Skills，且會檢查外部 Skill 的來源與風險。這類掃描值得肯定，但外部 Skill 本質上仍是會影響 agent 行為、甚至引導工具執行的程式化指令，不能把「掃描通過」等同於可信。

Goal 則處理另一種問題。Skill 回答「這類工作應該怎麼做」，Goal 回答「這件多步驟工作是否已經做完」。影片以把商品照片搬到 Notion、補上文案為例，讓 Hermes 拆成小任務並持續推進。這類工作需要保存進度、處理失敗、知道何時完成，不能只靠一次長提示。

三者可以這樣區分：固定時間發生的是排程；固定方法反覆做的是 Skill；需要跨多回合直到達成條件的是 Goal。實務上常會組合使用，例如每天排程啟動一個 Skill 整理新收據，月底再啟動 Goal 完成對帳與缺漏追蹤。

真正困難的不是把流程描述出來，而是定義驗收。OCR 是否需要逐欄比對？商品文案是否能直接發布？Notion 新增幾筆才算完成？若缺少這些條件，agent 很容易把「產生了某個輸出」誤認為「任務成功」。

魚塘觀察

• Memory 保存「知道什麼」，Skill 保存「怎麼做」，Goal 保存「這件事做到哪裡」。
• 可重複不代表可靠；Skill 更新、模型更換或外部 API 改版後都要重新驗收。
• 最好的自動化會保留人工檢查點，而不是把人完全移出流程。

076. 外部工具與媒體生成｜API 串接不是按一下就結束

後半段影片把 Hermes 接到 FAL 做圖片與影片生成，再透過 API 或 MCP 連接 Notion。對小型電商來說，這條路徑很有吸引力：商品照進來後，可以修圖、產生短影片、撰寫文案，再把結果整理進商品資料庫。

但每多一個服務，就多一組憑證、費率、資料處理政策與失敗模式。OpenRouter Key 可能產生模型費用，Tavily Key 開放搜尋額度，FAL Key 可以啟動媒體生成，Notion Token 則可能讀寫指定頁面。若所有 Key 都交給同一個 agent，它實際上已取得跨服務的組合權限。

官方設定文件建議把密碼、Token 與 API Key 放進 .env，非敏感設定才放進 config.yaml。這不只是整潔問題，而是避免憑證被寫入 Skill、文章、日誌或 Git。金鑰也應設定額度、限制用途、可隨時撤銷，並避免直接貼進一般聊天紀錄。

MCP 讓 agent 以標準介面連接外部工具，但「標準化」不等於「安全化」。每個 MCP server 仍可能執行程式、讀取資料或呼叫遠端 API；安裝前需要確認來源、權限與更新方式。對 Notion 這類服務，最小範圍的做法是只分享專用頁面或資料庫，而不是把整個 workspace 開放給 agent。

媒體生成還多了一層內容風險。商品圖可能改變材質、尺寸或細節，影片可能呈現實際產品做不到的效果。AI 產出的素材應被視為草稿，發布前必須核對商品真實性、版權、品牌規範與平台標示要求。

魚塘觀察

• 串接不是功能清單，而是一張權限圖；需要知道每把 Key 能做什麼、花多少錢、如何撤銷。
• .env 只能降低誤提交風險，不能取代主機權限、日誌清理與金鑰輪替。
• 生成內容可加速製作，但商品事實與對外發布仍需要人類負責。

087. 安全與復原｜真正的保姆級教學應該從這裡開始

影片最後安排每日凌晨三點備份記憶與 Skills，再於 Hostinger 啟用防火牆。這兩步不應被視為收尾，而應該是部署前半段的核心。因為長期 agent 的價值，正是多年累積的記憶、程序與連線設定；一旦主機故障、操作失誤或帳號被入侵，損失不只是一次對話。

Hermes 官方目前提供 hermes backup、hermes import、checkpoints、logs 與 hermes security audit 等正式命令，比單純自行壓縮資料夾更容易形成可驗證流程。備份仍需回答三個問題：檔案是否加密、是否真的能還原、舊 Token 是否也被一起複製。只備份不演練還原，往往要到事故發生才發現壓縮檔不完整。

一套適合個人與小團隊的最低安全基線，可以整理成八項：

1. 使用獨立、非管理員的作業系統帳號或隔離容器。
2. Gateway 只允許明確的使用者 ID，定期檢查配對與 allowlist。
3. API Key、Bot Token 與密碼只放祕密儲存位置，不寫進 Skill、聊天或 Git。
4. OAuth 只開必要 scope，外部服務只分享專用資料夾、頁面或資料庫。
5. 刪除、付款、公開發布、寄信與權限變更保留人工批准。
6. 為模型與媒體服務設定費用上限，監控異常用量。
7. 啟用防火牆、更新與日誌，避免不必要服務對外開放。
8. 定期備份並實際演練還原；還原後重新檢查與輪替憑證。

這也是看待「Hermes 是否比 OpenClaw 安全」較有意義的方法。兩者版本、預設值與擴充生態會持續變動，單一影片無法完成全面比較。真正能降低風險的，不是品牌名稱，而是預設暴露面、權限隔離、批准機制、供應鏈檢查、日誌、復原與使用者是否正確設定。

Hermes 最值得注意之處，不是它把所有工作自動化，而是它把 agent 的長期構件集中到可理解的介面：記憶是檔案、程序是 Skills、時間觸發是排程、多步推進是 Goal、遠端入口是 Gateway。這些構件讓私人 AI 助理變得可操作，也讓治理責任變得更清楚。

魚塘觀察

• 安全控制應在接入信箱與雲端資料之前完成，而不是功能全部開好後再補。
• 備份的完成標準是成功還原，不是看見一個壓縮檔。
• 最成熟的私人 agent，不是什麼都能自己做，而是清楚知道哪些事必須停下來問人。