防止Hermes Agent非预期文件修改需五步：一、设filesystem_mode为sandbox启用沙箱隔离；二、在mount_points中配置ro只读路径映射；三、在cli-config.yaml的allowed_paths中仅保留必要可写路径；四、扩展is_blocked_path()正则拦截.conf等敏感后缀；五、对宿主目录执行chmod 555系统级只读锁定。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用 Hermes Agent 执行文件操作时发现其擅自修改、覆盖或删除目标文件，例如重写配置文件、篡改脚本内容或清空日志，这通常表明文件系统权限控制未生效、沙箱隔离被绕过或白名单路径配置过于宽泛。以下是防止 Hermes Agent 非预期文件修改的多种防护措施：
一、启用 sandbox 模式强制文件系统隔离
该方法通过激活终端沙箱的文件系统隔离机制，使 Hermes Agent 所有文件操作均被重定向至独立临时挂载点，真实宿主路径完全不可见，从根本上杜绝越界写入行为。
1、打开项目根目录下的 environments/hermes_swe_env/default.yaml 文件；
2、定位 filesystem_mode 字段，将其值由默认的 host 修改为 sandbox；
3、保存文件后，必须执行 hermes stop && hermes start 以彻底重启实例并加载新配置。
二、将关键路径挂载为只读（ro）模式
在沙箱启用前提下，可通过 mount_points 显式声明特定路径仅允许读取，AI 尝试 write、delete 或 chmod 等写操作时将立即报错，不触发任何实际变更。
1、编辑 environments/hermes_swe_env/hermes_swe_env.py；
2、在 mount_points 字典中添加只读条目，例如："/etc": {"path": "/home/user/conf-backup", "mode": "ro"}；
3、确保宿主目录 /home/user/conf-backup 存在且含所需配置文件副本；
4、重启沙箱环境后，运行 ls -l /etc 验证挂载点显示为 ro 属性。
三、在 cli-config.yaml 中移除写权限路径前缀
该配置是工具层访问控制的最终防线，若某路径未列入 allowed_paths 列表，Hermes Agent 的文件工具将直接拒绝调用，不进入内核级权限校验环节。
1、打开 cli-config.yaml（非 .example 文件）；
2、定位 file_operations → allowed_paths 字段；
3、删除所有含 /etc/、/usr/、/var/、/boot/ 等系统路径的条目；
4、仅保留明确需写入的路径，如 ["/workspace/", "/tmp/hermes-tmp/"]，且确保其末尾含斜杠以避免路径前缀误匹配。
四、扩展 is_blocked_path() 拦截高危文件类型
此机制在工具调用前对目标路径进行正则扫描，一旦匹配预设敏感后缀（如 .conf、.yaml、.sh），立即中止操作并记录审计事件，不依赖操作系统权限位。
1、定位 hermes_swe_env.py 中的 is_blocked_path() 函数定义；
2、在正则匹配逻辑中追加： r"\.(conf|yaml|yml|sh|bash|zsh|env|gitconfig|ssh|pem|key)$"；
3、确认函数返回 True 时会触发 Operation blocked by path filter 错误；
4、保存后重启 Hermes Agent，测试执行 hermes tool fs read /etc/hosts 应返回拦截提示而非文件内容。
五、为宿主目录设置系统级只读权限
作为底层加固手段，可对真实文件所在目录应用操作系统级权限锁定，即使沙箱或配置失效，内核仍阻止写入。适用于保护配置备份、证书库等静态资产。
1、执行命令锁定目标目录：sudo chown root:root /home/user/conf-backup；
2、设置严格权限：sudo chmod 555 /home/user/conf-backup（无写权限，所有用户可读可执行）；
3、验证权限生效：ls -ld /home/user/conf-backup 输出应含 r-xr-xr-x；
4、尝试从 Hermes Agent 内部执行写操作（如 echo test > /etc/test.conf），应收到 Permission denied 系统错误。
