Hermes 出了个安全插件，权限管得死死的

Nous Research给自家开源智能体Hermes推出了安全审计插件hermes-security。它不是按规则从头扫到尾，而是先建立威胁模型，想清楚谁可能攻击、会从哪里进入。再把代码切块，交给多个子智能体同时审查。这都是基操了。

找出来也只算“候选”，还要回到代码核实，追踪攻击者能否真正触及。要知道，传统扫描工具最让人头疼的就是大量误报。这点也还可以。

我觉得最有意思的是权限设计。如果要测试正在运行的应用，每次扫描都必须单独授权，而且限制很严，一个地址、一小时、最多200次请求。更关键的是，这个授权无法由智能体自己的工具发出。

除了Hermes 智能体， 他们还开源了一个强化学习框架，叫 Atropos。真是硬核又实用的一个团队。