应严格实施输入验证、命令转义、沙箱隔离、提示注入检测及技能安全管控五项措施。具体包括：一、参数校验与路径清洗；二、单引号转义+subprocess列表调用；三、SSH/Docker沙箱+交互审批；四、上下文语义扫描与系统提示锁定；五、AST静态分析+来源分级管控。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用Hermes Agent过程中发现终端命令执行异常、系统行为不可控或日志中出现可疑的shell语法片段，则可能是由于用户输入未经净化直接参与命令构造，触发了代码注入攻击。以下是防范此类攻击的具体安全编码实践：
一、实施严格的输入验证与参数净化
所有外部输入必须在进入处理流程前完成类型、范围和格式校验，防止非法字符或结构化数据绕过边界检查。验证应在调用链最上游完成，避免下游模块重复或遗漏校验。
1、在图像生成等工具模块中，调用_validate_parameters函数对每个参数进行独立校验，例如确保num_inference_steps为正整数且不超过1000，guidance_scale限定在1.0–20.0区间。
2、对路径类参数（如path）使用正则表达式过滤，仅保留字母、数字、下划线、短横线及斜杠，移除..、*、$、分号等危险字符。
3、在会话ID处理环节，调用_sanitize_id方法执行字符白名单清洗：re.sub(r'[^a-zA-Z0-9_-]', '', id_str)，彻底剥离潜在注入载荷。
二、启用安全的命令参数转义机制
当必须拼接shell命令时，禁止字符串格式化直连用户输入；应将每个参数视为独立实体，通过专用转义函数包裹，确保其在shell解析中始终作为字面量而非可执行语法。
1、调用_escape_shell_arg方法处理每个待插入参数，该方法采用单引号包裹并转义内部单引号："'"+ arg.replace("'", "'\''") + "'"。
2、构造sed命令时，严格按此模式组织：read_cmd = f"sed -n '{offset},{end_line}p' {self._escape_shell_arg(path)}"，保证path值无法突破引号边界触发额外命令。
3、禁用os.system()和subprocess.Popen(shell=True)等高危接口，统一改用subprocess.run()配合参数列表形式调用，如subprocess.run(['sed', '-n', f'{offset},{end_line}p', path])。
三、强制使用沙箱化终端后端并启用审批流程
即使输入净化完全，仍需限制命令执行环境的权限边界，使注入载荷即便成功执行也无法突破隔离层造成实际危害。审批机制则为高危操作增加人工确认环节，阻断自动化攻击链。
1、配置Agent运行时强制指定--backend ssh或--backend docker，利用SSH后端实现网络级隔离，或Docker后端启用--security-opt no-new-privileges --read-only --tmpfs /tmp等强化策略。
2、在终端工具初始化阶段，设置pty=True启用伪终端，防止原始字节流绕过标准输入处理逻辑。
3、对涉及文件写入、系统服务控制、密码输入等敏感操作，触发执行前弹出交互式审批提示，必须获得用户显式确认（Y/yes）后才继续执行，审批日志同步写入~/.hermes/logs/security_audit.log。
四、部署上下文扫描与提示注入检测
攻击者可能不直接注入shell命令，而是通过构造恶意提示文本诱导Agent执行非预期操作。上下文扫描机制可在模型推理前拦截含指令混淆、角色劫持、越权请求等特征的输入片段。
1、在prompt构建阶段，调用scan_context_for_injection函数对完整上下文字符串进行多模式匹配，识别如"Ignore previous instructions"、"Act as root"、"Execute shell command:"等高危语义模式。
2、对匹配到的可疑段落，自动替换为标准化占位符[INJECTION DETECTED]，并记录原始内容哈希值至审计数据库。
3、启用protect_first_system和protect_first_human配置项，在轨迹压缩过程中锁定初始系统提示与首条用户输入，防止后续注入覆盖关键约束。
五、启用技能安全扫描与可信来源管控
第三方技能可能携带隐蔽注入逻辑，尤其在动态加载或远程执行场景下风险更高。通过静态分析与运行时监控双重手段，确保技能代码本身不构成注入入口点。
1、所有从技能中心安装的技能，必须经过内置AST扫描器检查，拒绝包含eval(、exec(、os.popen(、subprocess.call(.*shell=True)等危险调用的Python文件。
2、在工具注册表tools/registry.py中，将技能来源标记为builtin、trusted或unverified三级，仅允许builtin与trusted来源的技能调用终端执行类工具。
3、对unverified技能，自动注入沙箱钩子，在其调用subprocess模块前强制重定向至受限执行环境，并截获所有命令字符串送入实时注入检测流水线。
