Hermes v0.19.0 해설 ②: 승인 피로는 줄이고, 비밀정보 통제는 강화하다
스마트 승인 기본화, 사용자 정의 거부 규칙, Bitwarden·1Password 연동, 세션 내보내기까지. Hermes의 편의성과 통제권이 함께 강화됐습니다.
에이전트가 실제 일을 수행하려면 명령을 실행하고 API 키를 사용하며 외부 서비스에 접근해야 합니다. 이때 모든 행동을 사람이 매번 승인하면 안전하지만 흐름이 끊기고, 반대로 모든 권한을 열어두면 편하지만 위험합니다. Hermes v0.19.0은 이 사이의 균형을 다시 설계했습니다.
스마트 승인이 기본값이 됐다
Hermes가 위험 가능성이 있어 표시된 명령을 실행하려 할 때, 이제 별도의 LLM 검토자가 그 명령을 독립적으로 평가합니다. 이전처럼 사람이 모든 경고 명령을 하나씩 승인해야 하는 부담을 줄이기 위한 변화입니다.
중요한 점은 승인이 포괄적으로 재사용되지 않는다는 것입니다. 검토 결과는 오직 해당 명령 하나에만 적용됩니다. 나중에 비슷한 패턴의 명령이 나타나도 다시 평가합니다.
| 방식 | 장점 | 주의점 |
|---|---|---|
| 매번 사람 승인 | 판단 주체가 명확함 | 반복 작업에서 승인 피로가 큼 |
| 무제한 실행 모드 | 작업 흐름이 빠름 | 잘못된 명령의 영향이 커질 수 있음 |
| 스마트 승인 | 반복 확인을 줄이면서 명령별 평가 | 조직의 금지 규칙을 함께 설계해야 함 |
절대 실행하면 안 되는 명령은 따로 막는다
사용자 정의 deny 규칙도 추가됐습니다. 이 규칙은 이른바 yolo 모드처럼 실행 권한을 넓게 준 상태에서도 명령을 차단합니다.
사람이 직접 승인을 거부할 때는 /deny 뒤에 이유를 적을 수 있습니다. 단순히 “안 된다”로 끝나는 것이 아니라, 에이전트가 거부 이유를 이해하고 다른 방법을 찾도록 돕습니다.
- 운영 데이터베이스 직접 삭제 금지
- 특정 배포 환경에 대한 쓰기 작업 금지
- 승인되지 않은 외부 주소로 데이터 전송 금지
- 자격증명 파일과 시스템 디렉터리 접근 금지
좋은 권한 정책은 모든 행동을 막는 정책이 아니라, 되돌릴 수 없는 행동의 경계를 분명히 하는 정책입니다.
API 키를 .env 평문에 두지 않아도 된다
새로운 SecretSource 인터페이스를 통해 Bitwarden과 1Password를 비밀정보 공급자로 연결할 수 있습니다. 1Password의 op:// 참조도 지원합니다.
여러 금고를 동시에 사용할 수 있고, 어떤 값이 우선하는지 결정적인 순서가 적용됩니다. 같은 변수명이 충돌하면 경고하며, 각 변수가 어느 공급자에서 왔는지도 추적할 수 있습니다.
이 변화의 실무적 의미는 큽니다. 저장소나 서버의 평문 .env 파일에 장기 API 키를 남기는 일을 줄이고, 기존 조직용 비밀번호 관리 체계 안에서 Hermes의 자격증명도 함께 관리할 수 있기 때문입니다.
자격증명 주변의 방어도 넓어졌다
이번 보안 강화는 비밀번호 관리자 연동에 그치지 않습니다.
- Vertex 자격증명이 하위 프로세스 환경변수로 퍼지지 않도록 범위 제한
- 미디어·비전·이미지 생성의 로컬 파일 읽기에 공통 자격증명 보호 적용
- aiohttp 기반 웹훅 서버에 요청 본문 크기 제한
- Telegram 오류 메시지의 봇 토큰과 Fireworks 토큰 접두사 마스킹
- 브라우저·MEDIA·.env 관련 주요 보안 취약 구간 보강
- CI에서 신뢰할 수 없는 참조값을 명령 문자열에 직접 삽입하지 않도록 개선
대화 기록은 이제 관리 가능한 데이터다
hermes sessions export 명령은 세션을 Markdown, Quarto, HTML, 프롬프트 전용 형식, Hugging Face용 추적 형식으로 내보낼 수 있습니다. 기간, 작업공간, 플랫폼 기준 필터와 비밀정보를 지우는 --redact 옵션도 제공합니다.
압축되며 나뉜 세션의 계보를 하나의 논리적 대화로 이어주고, 오래된 세션을 조건별로 정리하거나 일괄 보관하는 기능도 강화됐습니다.
이는 대화 기록을 단순 로그가 아니라 평가 데이터, 교육 자료, 감사 기록, 재현 가능한 업무 자산으로 다룰 수 있게 됐다는 뜻입니다. 다만 내보내기 전에는 개인정보와 고객 데이터 처리 기준을 먼저 정하고, 외부 반출에는 --redact를 기본으로 검토하는 편이 안전합니다.
팀 운영자가 먼저 할 일
- 조직에서 절대 허용하지 않을 명령을 deny 규칙으로 명문화
- 스마트 승인과 사람 승인 사이의 책임 경계 정의
- 장기 API 키를 Bitwarden 또는 1Password 참조로 이전
- 세션 내보내기 보관 기간과 비식별화 기준 수립
- 기존 .env, 로그, 오류 메시지에 남은 비밀정보 점검
v0.19.0의 방향은 “더 많은 권한을 에이전트에게 준다”가 아닙니다. 반복 판단은 자동화하되, 조직이 정한 금지선과 자격증명 통제는 더 단단하게 만드는 것입니다. 다음 글에서는 여러 서브에이전트와 메시징 채널을 운영할 때 결과를 잃지 않도록 바뀐 구조를 살펴봅니다.
원문: https://github.com/NousResearch/hermes-agent/releases/tag/v2026.7.20