Hermes Agent本地数据未加密是因加密模块未启用、密钥配置缺失或存储路径权限异常；需依次启用AES-256加密、配置OS密钥环存主密钥、开启PII脱敏、验证魔数与解密完整性。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您使用Hermes Agent处理敏感信息，但发现本地数据未按预期加密或隐私保护设置未生效，则可能是由于加密模块未启用、密钥配置缺失或存储路径权限异常。以下是解决此问题的步骤：
一、启用本地数据加密存储
Hermes Agent默认对本地存储的配置文件、对话记录与技能使用日志实施AES-256加密，该机制依赖于运行时生成的主密钥（Master Key）和文件级密钥派生（KDF）。若未显式启用，数据将以明文形式落盘。
1、打开终端，进入Hermes Agent主目录：cd ~/.hermes/
2、检查是否存在加密配置开关文件：ls -l config/encryption.yaml
3、若文件不存在，创建并写入启用指令：echo "enabled: true\nalgorithm: aes-256-gcm" > config/encryption.yaml
4、重启Agent服务以加载新配置：hermes service restart
二、配置主密钥安全存储位置
主密钥是解密所有本地数据的核心凭证，必须脱离代码仓库与用户主目录存放，防止被意外提交或备份泄露。系统支持将密钥存于OS密钥环、硬件安全模块（HSM）或外部密钥管理服务（KMS）。
1、在Linux系统中启用GNOME密钥环并创建专用密钥项：secret-tool store --label="Hermes Master Key" --attr application=hermes-agent key
2、编辑~/.hermes/config/encryption.yaml，添加密钥源声明：master_key_source: "os-keyring"
3、验证密钥读取是否成功：hermes crypto test-key-load
4、确认返回结果中包含status: "unlocked"且无decryption failed字样。
三、强制对话与记忆内容脱敏后加密
为满足GDPR“数据最小化”原则，Hermes Agent提供自动上下文压缩与PII识别功能，可在加密前移除姓名、身份证号、邮箱等字段，仅保留语义骨架。该功能需与加密模块协同启用。
1、定位脱敏配置文件：cat agent/context_compressor.py | grep -A5 "ENABLE_DESENSITIZATION"
2、在~/.hermes/config/privacy.yaml中启用脱敏开关：desensitization.enabled: true
3、指定需屏蔽的敏感类型列表：desensitization.patterns: ["email", "phone", "ssn"]
4、执行一次手动脱敏测试：hermes privacy desensitize --input "张三的邮箱是zhangsan@example.com"
四、验证加密状态与密文完整性
加密启用后，需验证实际落盘文件是否已转为不可读密文，并确保解密路径完整可用。该步骤可识别密钥轮换失败、算法不匹配或权限阻断等问题。
1、查看最近一条对话记录的原始文件路径：hermes memory list --limit=1 --format=path
2、用十六进制工具检查文件头：xxd -l 32 $(hermes memory list --limit=1 --format=path)
3、确认输出起始字节为0x8a 0x7f 0x3b 0x2e（Hermes加密文件魔数标识）
4、尝试解密验证：hermes crypto decrypt --file "$(hermes memory list --limit=1 --format=path)"
