Hermes проти нашої системи

Другий прохід, 27 серпня. Перший був 20 травня — тоді вердикт був «вчимось, не переходимо». Відтоді Hermes випустив вісім великих версій, тож питання чесно перевідкрито.
Вердикт: переходити не варто. Причина та сама, що й у травні, і вона не пом'якшилась: вони будують систему, яка вміє діяти сама, ми будуємо систему, якій можна довіряти діяти. Це не різні набори функцій — це різні відповіді на одне питання.

Але дві речі змінились, і їх варто знати. Перше: у них тепер є справжні заборони, а не тільки запити на дозвіл — наша перевага в цьому місці звузилась. Друге: гібрид, який у травні був лише припущенням, тепер технічно існує — Hermes можна кликати як інструмент, не переїжджаючи в нього.

1. Що в них сталося за три місяці

Темп Велика версія кожні два тижні: 0.13 (7 травня) → 0.20 (3 серпня) → латки до 27 серпня. У вікні лише останніх двох версій — понад 650 людей, що писали код. Зірок на GitHub: 237 тисяч проти 100 тисяч у квітні.
Джерело: сторінка релізів, сам репозиторій.
Головне за напрямками
Джерела: версія 0.19, версія 0.20, розділ безпеки в документації.

2. Корінна різниця — три осі

Вісь перша: що вважається джерелом правди У них знання виростає з розмов — база розмов, повнотекстовий пошук по ній, поверх неї вісім змінних модулів пам'яті. У нас джерело правди — файли волту з походженням кожного факту, з рівнями доступу, з правилом «нова інформація не перезаписує підтверджену». Це не порівняння функцій, це різна будова світу. Їхня пам'ять пам'ятає, що говорили. Наша тримає, що є правдою.
Вісь друга: на чому стоять ворота Їхні ворота стоять на командах і шляхах до файлів — що агенту дозволено запустити. Наші стоять на класах дій у світі — лист, пост, задача людині — і на твердженнях, які виходять назовні. Hermes не знає, що таке «надіслати лист клієнту» як окремий клас із власним рівнем довіри. Він знає, що таке «виконати команду видалення». Це різні рівні, і саме тут наша перевага збереглась.
Вісь третя: хто судить У версії 0.19 вони зробили розумні дозволи режимом за замовчуванням: рішення «можна чи ні» ухвалює модель-рецензент замість людини. Ми йдемо прямо в інший бік — машина примушує, щоб крок стався, а судить на розвилці Юра. Це буквально протилежні відповіді, і жодна з них не «правильніша» — вони обслуговують різні цілі. Їхня ціль — щоб агент не зупинявся. Наша — щоб він зупинявся саме там, де треба.
І одна річ, якої в них немає взагалі: рівні приватності Уся їхня документація з безпеки — про секрети, ключі, ізоляцію сесій, фільтрацію підозрілих вводів. Жодного поняття «цей клас записів не читай і не цитуй». Для нас це не деталь: терапія, особисте, сім'я — це тверда стіна, і переїзд означав би будувати її з нуля на чужому фундаменті.

3. Що з травневого висновку більше не правда

Тоді ми написали: «у Hermes немає жодного еквівалента нашого шару примусу». Це вже неточно. Правила, що блокують поверх найвільнішого режиму, захищені шляхи, окремі політики для запусків без людини — це справжній примус, не прохання. Наша перевага звузилась до двох речей: ворота на сенсі дії у світі (а не на команді) і приватність. Варто це визнати вголос, поки воно не з'їхало далі.
«Житло 24/7 — єдина справжня діра». Діра закрилась, але не Hermes'ом: 21 травня було рішення взяти за постійний дім завжди-увімкнений комп. Сьогодні там 35 зареєстрованих регулярних задач і сервіси, що тримають поверхню й телеграм-ботів. Тобто цей пункт з переліку «навіщо нам Hermes» просто зник.
«Їхня пам'ять — це тільки згадування розмов, тож наша ідея обліку переконань лишається новою». Досі правда. Вони наростили вибір модулів пам'яті, але ваги, впевненість і відкликання твердження — цього немає ніде. Модуль Honcho, який моделює як людина думає, з побічного плагіна став повноцінним рушієм — але це інша вісь: він моделює Юру, а не світ.
Документація Honcho, модулі пам'яті.

4. Рахунок переходу

За перехідПроти
Зрілий, швидкий рушій, який хтось інший розвиває за нас.

Готові речі, яких у нас нема: журнал зобов'язань, контракти завершення, запобіжники циклів.

Один процес замість самописного господарства.		 Втрачаємо волт як джерело правди, походження фактів і рівні приватності — у них цього немає.

Ворота довелося б будувати наново: їхні стоять на іншому рівні.

Обсяг переїзду: понад тисяча компонентів, 49 навичок, 35 регулярних задач, уже під'єднані пошта, календар, ClickUp, Slack.

Операційна реальність не безкоштовна.
Про операційну реальність — це важливо Задокументований випадок: службовий процес двадцять годин крутився на помилці читання і спалив 353 мільйони токенів. Окрема заявка: дев'яносто з гаком спроб на простій синтаксичній помилці. Версії 0.19–0.20 частково це лікують, але зовнішні огляди сходяться: у бою безпечно лише якщо ти сам доробиш обмеження, яких рушій не дає — стелі витрат, мінімальні права, жорсткий пісочник. І головна причина, чому люди кидають Hermes, — складність налаштування: сервер, Docker, файли конфігурації, налагодження впалого розгортання.
Джерела: розбір випадку з циклом, заявка 13208, огляд вартості. Перше й третє — сторонні блоги, не первинне джерело.
І дві безпекові історії за липень Перша, добре підтверджена: перша в світі наскрізна автономна кібератака на уряд — чотири дні, дванадцять хвиль, до восьми агентів паралельно, 85 зламаних акаунтів, понад 2500 особових справ, далі агенція ядерної безпеки Тайваню й сім енергетичних компаній. Інструмент складено з двох відкритих штук, і одна з них — Hermes. Захист моделі обійшли, назвавши все «санкціонованим тестуванням».

Друга, слабше підтверджена (одне джерело): хтось ганяв Hermes без нагляду у найвільнішому режимі всередині мережі міністерства фінансів Таїланду.

Це не вразливості Hermes — це його документовані можливості, застосовані проти людей. Але саме тому воно тут: воно показує, що дає автономність без семантичних воріт, коли фундамент не твій.
Тайвань: The Register, CyberScoop, CNN. Таїланд: The Hacker News — одне джерело, не звірено.

5. Третій варіант, якого в травні ще не було

Гібрид тепер технічно існує У травні ми записали як припущення: Hermes міг би бути виконавчою оболонкою під нашим шаром управління. Тепер для цього є дроти. Протокол міжагентного спілкування працює в обидва боки — Hermes може кликати чужих агентів як інструменти, і чужа система може ставити задачі Hermes'у. Формат навичок у них той самий, що читає Claude Code. Інструменти під'єднуються тим самим протоколом, що й у нас.

Але з чесним застереженням. Зовні через цей протокол приходить «попроси і чекай», а не операторський контроль: віддалений агент не може викликати командні дії, є стеля ходів на запит, вхідний текст трактується як недовірений. І головне — чи проходять такі задачі через політику дозволів господаря, документація не каже. Тобто це не «під'єднав і працює», це окремий проєкт зі своїми воротами. Не зараз — але вже не фантазія.
Документація протоколу.

6. Що забрати собі — сім штук, за спаданням цінності

1. Перевірка цитати дослівно проти сторінки ← брав би першим Їхня навичка обґрунтованого дослідження влаштована так: відповідність «джерело ↔ номер посилання» тримає скрипт, а не пам'ять моделі; цитата механічно відхиляється, якщо її немає слово в слово в завантаженому тексті сторінки; твердження з голови моделі примусово позначаються як неперевірені; перевірка фактів дає три відповіді — «сходиться», «не сходиться», «не вдалось перевірити».

Наша застава на твердження робить інше й додаткове: звіряє з реєстром відомих фактів. Цей механізм закриває іншу половину — «звідки взялась ця цитата». Це наше правило «не вигадуй» у вигляді механізму, а не побажання. Найдешевше і найцінніше з усього списку.
Опис навички. Розвідка вже помічала цей механізм 7 серпня — тепер зрозуміло, як він працює зсередини.
2. Контракт завершення замість самозвіту Агент верифікує зроблене проти наперед заданого контракту, а не рапортує «готово». У нас перевірка є, але вона заднім числом — окремий прохід ловить те, що лише виглядає зробленим. Контракт наперед — це те, чого бракує; місце для нього вже є, бо в наших робочих тікетах уже виписані умови готовності. Не вистачає примусу звірятись із ними.
3. Пропозиції дозволів з історії Команда, яка перебирає історію твоїх схвалень і сама пропонує, що можна пускати без питання — з автоматичним виключенням руйнівних класів. Це прямо про наш заморожений градуйований автовідправ: рівень досі найнижчий, ворота закриті, і немає нічого, що б підказувало, що вже зароблено. Це не додатковий важіль контролю (чого ми свідомо уникаємо) — це шлях від воріт до довіри, вимірюваний.
4. Журнал незакритих зобов'язань «Відповідь Юрі» як зобов'язання, що переживає падіння процесу. У нас це болить по-справжньому: були випадки, коли поверхня тримала стару версію і перезапуск нічого не міняв, а доставка мовчки не доїжджала. Механізм рівно проти цього.
5. Запобіжник, що рве цикл Розрив після серії відмов поспіль; регулярна задача не має права породжувати регулярну задачу. У нас уже був коміт, що зніс усе дерево через цикл повторів, — і врок з цього записаний як правило. Правило — це не примус. Їхнє — примус.
6. Доглядач навичок і скелет опису Це висіло в парковці з травня, і борг за три місяці виріс, а не розсмоктався: 49 написаних навичок і 0 активованих на живій поверхні, 30 папок регулярних задач без реєстрації, 35 зареєстрованих задач без папки. У них є готовий патерн: доглядач зводить дублі, архівує протухле, береже закріплене й пише звіт за прохід. Плюс єдиний скелет опису навички — коли застосовувати, порядок дій, пастки, як перевірити.
7. Honcho — але тільки як будівельний блок для персоналізації Виріс із побічного плагіна в повноцінний рушій пам'яті: фонове моделювання того, як людина думає, з двома шарами контексту на кожен хід. Наше рішення про шар навчання від 20 серпня — сюди. Але вісь інша: він моделює Юру, ми хочемо облік фактів світу. Брати як цеглину для першої половини, не як заміну другій.

7. Що НЕ брати

Дошку задач (у нас робоча система задач і ClickUp), єдиний шлюз каналів (телеграм-бот живий), модулі пам'яті (у нас волт), голос і застосунок для робочого столу, розумні дозволи з моделлю-суддею — останнє прямо суперечить тому, як ми вирішили, хто судить.

8. Де в цьому проході дірки