Die erste Woche mit Hermes Agent: Gedächtnishygiene, Skills und Tool-Freigaben

Das typische Fehlermuster einer neuen Hermes-Installation ist vorhersehbar: Sie aktivieren jedes Toolset, binden einen stark frequentierten Messaging-Kanal an, lassen das Gedächtnis mit Rauschen volllaufen und wundern sich dann, warum der Agent „etwas Seltsames getan“ hat. Die erste Woche sollte bewusst unspektakulär sein. Ihr Ziel sind ein funktionierendes Gateway, ein kleines gepflegtes Gedächtnis, ein nachweislich nützlicher Skill, begrenzte Dateischreibzugriffe und ein deaktiviertes oder isoliertes Terminal mit getesteten Freigabe- und Sperrregeln.

Dieser Leitfaden setzt voraus, dass Sie bereits wissen, was Hermes ist (/articles/hermes-agent-what-it-is). Nutzen Sie den offiziellen Quickstart und die Installationsanleitung für Ihr Betriebssystem. Befehle und UI-Bezeichnungen ändern sich. Gleichen Sie sie deshalb am Tag der Installation mit der aktuellen Dokumentation ab.

Binden Sie am ersten Tag weder ein produktiv genutztes E-Mail-Konto noch CRM-Schreibzugriffe oder eine uneingeschränkte Shell an. Starten Sie lokal oder mit einem temporären Testprofil und überwiegend lesenden Tools. Deaktivieren Sie ausgehende Sendungen und den Shell-Zugriff oder isolieren Sie das Terminal. Testen Sie das Freigabe- und Sperrverhalten vor der Nutzung.

Tag 0–1: Installieren, Doctor, Smoke-Test

1. Installieren Sie Hermes über einen dokumentierten Weg wie CLI, Docker oder Desktop und folgen Sie dabei der offiziellen Installationsanleitung.
2. Konfigurieren Sie einen Modellanbieter, den Sie bereits nutzen, oder einen lokalen OpenAI-kompatiblen Endpunkt. Hermes erfordert derzeit mindestens 64.000 Token Kontext für die Agentennutzung mit Tools. Prüfen Sie das Kontextfenster und die Tool-Calling-Konfiguration auf dem Modellserver. Dass seine URL antwortet, reicht als Nachweis nicht aus (Anbieterdokumentation).
3. Führen Sie hermes doctor aus, prüfen Sie dann die Ausgabe, anstatt das Vorhandensein des Befehls als Beweis dafür zu behandeln, dass jede Integration funktioniert.
4. Öffnen Sie eine einzelne CLI-Chat-Sitzung. Geben Sie eine harmlose Aufgabe: Lassen Sie eine öffentliche README zusammenfassen, über die Sie verfügen, oder einen Absatz entwerfen. Prüfen Sie die erwarteten Tool-Aufrufe und deaktivieren Sie unerwünschte Tools.

Erfolgskriterien für Tag eins: Sie können eine Sitzung starten, eine Antwort vom konfigurierten Modell erhalten, mindestens 64.000 Token nutzbaren Kontext bestätigen und die aktivierten Tools auflisten. Prüfen Sie geöffnete Sockets und Bind-Adressen separat. „Nichts ist öffentlich erreichbar“ trifft nur zu, wenn jede aktive Gateway-, API-Server-, Webhook-, Dashboard- und Modellserver-Oberfläche deaktiviert oder an eine bewusst gewählte private beziehungsweise Loopback-Schnittstelle gebunden ist.

Führen Sie ein kurzes Laufprotokoll: Installationsmethode, Modell-Endpunkt, aktivierte Toolsets und ob das Gateway nur lokal ist. Wenn nach einem Update etwas kaputtgeht, spart dieses Protokoll Stunden.

Gedächtnishygiene: Was gehört in USER.md und MEMORY.md

Das integrierte Hermes-Gedächtnis ist begrenzt und bewusst gepflegt. Die Gedächtnisdokumentation beschreibt USER.md und MEMORY.md unter ~/.hermes/memories/. Sie werden zu Beginn einer Sitzung als unveränderliche Momentaufnahme eingebunden; ein memory-Tool ermöglicht das Hinzufügen, Ersetzen und Entfernen von Einträgen. Geben Sie jedem gleichzeitig laufenden Agenten ein eigenes Hermes-Home oder Profil. Zwei Agentenprozesse dürfen nicht in dasselbe Home schreiben. Die optionalen externen Anbieter aus der Dokumentation zu Memory-Providern ergänzen das integrierte Gedächtnis.

In USER.md (stabile Identität und Präferenzen) aufnehmen:

• Wie Sie angesprochen werden möchten; Sprachen, die Sie für die Arbeit nutzen
• Standardton (direkt, ohne Füllwörter; Regeln für die Mischung von Estnisch und Englisch, falls relevant)
• Tools und Systeme, die Sie namentlich nutzen (Linear, Notion, Kürzel der GitHub-Organisation)
• Harte Einschränkungen („nie committen“, „nie Kunden mailen“, „vor Shell fragen“)

In MEMORY.md (dauerhafte Arbeitsfakten) aufnehmen:

• Projektlayout-Hinweise, die monatelang gelten
• Wiederkehrende Prozess-Eigenheiten („Staging-DB ist von diesem Host nur lesbar“)
• Definitionen, die der Agent immer wieder falsch versteht (Schweregrad-Labels, Produktnamen)

Aus beiden heraushalten:

• API-Schlüssel, Tokens, Passwörter, Wiederherstellungscodes
• Vollständige Kundentickets, HR-Notizen, Gesundheitsdetails, Zahlungsdaten
• Kurzlebige Notizen („probiere heute Idee X aus“)
• Ganze Chat-Transkripte als „Gedächtnis“ eingefügt

Behandeln Sie Gedächtnisdateien als Datenspeicher, für die dieselben Regeln wie für ein freigegebenes Laufwerk gelten. Wenn Sie einen Text nicht in einem Slack-Kanal mit Auftragnehmern stehen lassen würden, sollte der Agent ihn auch nicht dauerhaft speichern. Verweisen Sie lieber auf eine Quelle („siehe Vault-Notiz Client-A-brief“), statt den gesamten Inhalt in MEMORY.md einzufügen.

Wöchentliche Gedächtnisprüfung (15 Minuten)

Jeden Freitag im ersten Monat:

1. Öffnen Sie USER.md und MEMORY.md.
2. Löschen Sie alles Veraltete oder übermäßig Spezifische.
3. Führen Sie Duplikate zusammen.
4. Vergewissern Sie sich, dass keine Secrets durch versehentliche Tool-Schreibvorgänge dort gelandet sind.
5. Wenn Sie einen externen Memory-Provider aktiviert haben, nutzen Sie dessen dokumentierte Such-, Export-, Lösch- und Aufbewahrungsfunktionen, um nach Kundendaten zu suchen. Sind ausreichende Löschfunktionen nicht verfügbar, senden Sie keine Kundendaten dorthin.

Die Qualität des Gedächtnisses ist eine laufende Betriebsaufgabe. Vernachlässigen Sie sie, wird der Agent veraltete Fakten mit großer Sicherheit wiederverwenden.

Skills: Einen bereitstellen, nicht zwölf

Skills sind prozedurales Gedächtnis: ein Verzeichnis mit SKILL.md sowie optionalen Skripten und Referenzen, das bei Bedarf geladen wird. Die offizielle Skill-Dokumentation behandelt mitgelieferte Skills, Hub-Skills und vom Agenten erstellte Skills. Prüfen Sie jeden externen Skill wie eine Kombination aus Code und Anweisungen, selbst wenn ein Katalog oder Scanner ihn bereits kontrolliert hat.

Regel für die erste Woche: Erstellen Sie einen Skill für eine Aufgabe, die Sie bereits wöchentlich erledigen.

Beispiel-Skill-Gliederung für „wöchentliches Ops-Briefing“:

# Skill: weekly-ops-brief

## Wann verwenden

Der Nutzer bittet um das wöchentliche Ops-Briefing oder das Statuspaket für Montag.

## Erforderliche Eingaben

- Datumsbereich
- Erlaubte Quellen (welche Kanäle/Repos)
- Zielgruppe (nur intern)

## Schritte

1. Listen Sie Vorfälle und offene P0/P1-Elemente nur aus den angegebenen Quellen auf.
2. Trennen Sie Fakten von Schlussfolgerungen; markieren Sie Schlussfolgerungen als [inference].
3. Verfassen Sie einen Entwurf mit weniger als 400 Wörtern: Was ist passiert / Was ist blockiert / Welche Entscheidungen sind nötig.
4. Versenden Sie nichts extern. Geben Sie Markdown aus, das ein Mensch kopieren und einfügen kann.

## Stoppregeln

- Wenn Quellen fehlen, fragen Sie einmal nach und erstellen Sie dann ein Teilbriefing, in dem die Lücken aufgeführt sind.
- Erfinden Sie niemals Kennzahlen.

Speichern Sie ihn gemäß der aktuellen Dokumentation in Ihrem Hermes-Skill-Verzeichnis. Rufen Sie einen installierten Skill mit /<skill-name> auf. Der Befehl /skills dient der Verwaltung und Prüfung, nicht als allgemeine Aufrufsyntax (Referenz der Slash-Befehle). Aktivieren Sie am zweiten Tag keinen Marktplatz mit ungeprüften Community-Skills.

Community-Skills können den Agenten anweisen, Shell-Befehle auszuführen oder externe APIs aufzurufen. Lesen Sie SKILL.md mit derselben Sorgfalt wie ein Shell-Skript aus dem Internet. Bevorzugen Sie selbst geschriebene Skills, bis Sie eine verlässliche Prüfroutine aufgebaut haben.

Aktivieren Sie die vorgelagerten Schreibfreigaben ausdrücklich: skills.write_approval: true für generierte Skills und memory.write_approval: true für Änderungen am Gedächtnis. Beide stehen standardmäßig auf false. Gleichen Sie diese Einstellungen mit der aktuellen Konfigurationsreferenz ab. Testen Sie anschließend einen abgelehnten Schreibvorgang und prüfen Sie den Status der ausstehenden Freigabe. Automatisch erstellte Skills bleiben Entwürfe, bis ein Mensch sie geprüft und akzeptiert hat.

Tool-Grenzen, Freigaben und Isolation: Shell zuletzt

Hermes liefert breite Toolsets einschließlich Web, Terminal, Datei, Browser und Codeausführung. Konfigurieren Sie diese über die dokumentierte hermes tools-Oberfläche und die Tools-Dokumentation.

Empfohlene Tool-Konfiguration in Woche eins:

Hermes verfügt über drei getrennte Sicherheitsebenen, die nicht verwechselt werden dürfen. Freigaben für gefährliche Befehle steuern über approvals.mode als gefährlich eingestufte Terminalbefehle; manual fragt nur bei solchen Befehlen nach, nicht bei jedem Befehl. approvals.deny blockiert konfigurierte Befehlsmuster auch dann, wenn Freigabeprüfungen ausgeschaltet sind. Dateischreibvorgänge mit write_file und patch berücksichtigen geschützte Pfade sowie optional HERMES_WRITE_SAFE_ROOT. Sie zeigen keinen Freigabedialog für Schreibvorgänge an, und ein Terminalprozess desselben Benutzers kann diesen Dateischutz umgehen. Tirith ist ein separater Inhaltsscanner vor der Ausführung und arbeitet standardmäßig nach dem Fail-open-Prinzip, wenn er nicht verfügbar ist. Nutzen Sie Docker, Modal oder eine andere dokumentierte Sandbox, wenn der Agent vom Host isoliert werden muss (Sicherheitsdokumentation, MCP-Dokumentation).

Praktische Freigaberichtlinie für Woche eins:

• Gezielt erlauben: rein lesende Prüfungen innerhalb eines festgelegten Projektverzeichnisses, nachdem Sie ermittelt haben, welche Tools und Pfade diesen Bereich dennoch verlassen können.
• Nachfragen oder sperren: als gefährlich eingestufte Terminalbefehle wie destruktive Löschungen, Paketinstallationen und Schreibvorgänge auf entfernten Systemen. Hinterlegen Sie dauerhafte Verbote, etwa Force-Pushes oder Pipe-to-Shell-Muster, in approvals.deny; reine Textanweisungen setzen sie nicht durch.
• Niemals unbeaufsichtigt erlauben: Produktiv-Deployments, den Versand von Kunden-E-Mails und Aktionen in Zahlungs- oder Identitätssystemen. Entfernen Sie diese Tools und Zugangsdaten oder kapseln Sie sie hinter einem separaten, von Menschen kontrollierten Dienst.

Kombinieren Sie dies mit Human-in-the-Loop-Mustern aus /articles/human-in-the-loop-design-patterns und Verbindungssicherheit aus /articles/connecting-ai-safely.

Messaging-Gateway: Warten, bis der CLI-Ablauf unspektakulär ist

Setzen Sie Hermes nicht auf einen Firmen-Slack-/Telegram-Kanal, bis:

1. Gedächtnisdateien einmal geprüft sind.
2. Ein Skill in der CLI funktioniert.
3. Das Terminal deaktiviert oder isoliert ist und sein Freigabe- und Sperrverhalten getestet wurde.
4. Sie den plattformspezifischen Allowlist- oder DM-Kopplungsablauf getestet haben. Das Messaging-Gateway weist unbekannte Benutzer standardmäßig ab; die Befehlsbereiche für Administratoren und reguläre Benutzer müssen separat geprüft werden (Messaging-Dokumentation).

Eine private Direktnachricht an sich selbst ist ein angemessener Test für den vierten Tag. Über einen öffentlichen Teamkanal sollten Sie frühestens in der zweiten Woche entscheiden.

Backup, bevor Sie vom Profil abhängig werden

Die offizielle CLI bietet hermes backup und hermes import. Ein Backup kann .env, Authentifizierungsmaterial, Konfiguration, Sitzungen und andere sensible Zustände enthalten. Schützen Sie das Archiv daher wie einen Zugangsdaten-Speicher. Stoppen Sie das Gateway vor dem Import; hermes import überschreibt Dateien im Ziel-Hermes-Home. Bevor Sie sich auf das Profil verlassen, testen Sie einen Import in einem isolierten Test-Home und prüfen Sie den erwarteten Zustand, statt die Wiederherstellbarkeit des Archivs nur anzunehmen (CLI-Referenz).

Übung: Akzeptanz-Checkliste für die erste Woche

Drucken oder fügen Sie diese Checkliste ein. Erweitern Sie den Tool-Zugriff nicht, bis jedes Kästchen angehakt ist.

• Installation + Modell-Smoke-Test abgeschlossen; mindestens 64.000 Token Kontext bestätigt; Laufprotokoll gespeichert
• Geöffnete Listener und Bind-Adressen geprüft; keine unbeabsichtigt öffentliche Oberfläche gefunden
• USER.md enthält nur Präferenzen und harte Einschränkungen
• MEMORY.md ist bewusst klein (ein Einstiegsbudget von 20 dauerhaften Fakten ist ein praktikabler Auslöser für eine Prüfung); keine Secrets; keine Sammlungen personenbezogener Kundendaten
• Ein benutzerdefinierter Skill existiert und wurde innerhalb des bewusst kleinen Übungsumfangs erfolgreich aufgerufen
• Skill-Schreib- und Memory-Schreib-Freigabe aktiviert, oder die entsprechenden Schreibvorgänge deaktiviert
• Sicherer Stammordner für Dateien, Terminal-Toolset, approvals.mode, Sperrregeln und Sandbox wurden, soweit zutreffend, getestet
• Mindestens eine verbotene Terminal- oder Dateiaktion wurde abgelehnt und auf der Festplatte überprüft
• Keine Produktiv-Sende-/Schreib-Integrationen verbunden
• Sensibles Backup erstellt; Gateway gestoppt; Import einmal in einem separaten Hermes-Test-Home getestet
• Messaging auf private Testoberfläche beschränkt (oder weiterhin nur CLI)

Wie „fertig“ nach sieben Tagen aussieht

Nach Abschluss der Checkliste haben Sie ein Hermes-Profil mit gepflegtem Gedächtnis, einem geprüften Verfahren und lokal getesteten Sperrpfaden für Schreibzugriffe auf Repositories und Messaging-Systeme. Diese Kontrollen reduzieren das Risiko; sie schließen jedoch nicht aus, dass ein Agent eine Fehlkonfiguration ausnutzt oder einen schädlichen Tool-Aufruf ausführt. Autonomie kommt später, nachdem Betriebsprotokolle aufbewahrt, Negativtests wiederholt und ein zweiter Skill ebenfalls erfolgreich geprüft wurde. Dieser Artikel dokumentiert den Testplan; die Kontrollen wurden für diese Prüfung nicht ausgeführt.

Nächster Schritt: ereignisgesteuerte Läufe über Webhooks (/articles/hermes-webhooks-for-event-driven-agents) und die Entscheidung, wann die technische Verknüpfung besser in n8n bleibt (/articles/hermes-vs-n8n-choose-by-job).