如何进行Hermes Agent API安全测试？

本文共计874个文字，预计阅读时间需要4分钟。

若您想测试Hermes Agent对外暴露的API接口是否具备基本的防护能力，但缺乏系统性的测试路径，这可能是因为未充分覆盖LLM驱动的审计、执行环境隔离与技能信任链的三重维度。以下为解决此问题的步骤：

一、执行LLM驱动的智能漏洞扫描

该方法利用内置大型语言模型对模型提示逻辑、技能调用链及上下文压缩策略进行语义级审计，可识别传统静态分析难以覆盖的提示注入、上下文泄露与策略绕过类风险。扫描结果直接关联至tools/skills_guard.py中定义的LLM_AUDIT_PROMPT模板，确保检测深度与业务语义一致。

1、在项目根目录下执行命令：hermes skills audit --mode=llm

2、等待扫描完成，检查输出中的Critical与High风险项，重点关注agent/context_compressor.py中protect_first_system和protect_first_human参数是否被动态覆盖

3、若发现提示注入风险，立即审查对应SKILL.md文件中user_prompt与system_prompt字段的拼接逻辑

二、启用沙箱终端环境隔离模型执行

通过将模型推理与工具调用强制运行于受限容器环境中，可阻断恶意技能对宿主系统的直接访问，尤其防止路径遍历、shell注入与权限提升等底层攻击。Docker与SSH后端均默认启用--security-opt no-new-privileges安全选项，构成基础设施锁定基础。