Nous Research hat am 20. Juli 2026 Hermes Agent v0.19.0 veröffentlicht, Codename Quicksilver, Tag v2026.7.20. Die zentrale Änderung ist ein neuer Sicherheits-Standard: Wenn der Agent einen markierten Shell-Befehl ausführen will, stuft ihn ein unabhängiger LLM-Reviewer automatisch als sicher, gefährlich oder unklar ein. Sichere Befehle laufen automatisch, gefährliche werden blockiert, unklare gehen an den menschlichen Operator. Die pauschale manuelle Freigabe wird zur Rückfallebene statt zur Norm.
Hermes Agent ist das MIT-lizenzierte offene Agenten-Framework von Nous Research und inzwischen eines der größten Projekte der Kategorie: 221.100 GitHub-Sterne, 42.200 Forks und eine einzige Codebasis, die als CLI, TUI, Desktop-App, Cron-Scheduler und Messaging-Gateway über Telegram, Discord, Slack, WhatsApp, Signal und E-Mail läuft. Sie steuert über 300 Modelle via Nous Portal, OpenRouter, OpenAI, Anthropic und eigene Endpunkte und führt Befehle auf sechs Terminal-Backends aus, lokal, Docker, SSH, Singularity, Modal und Daytona. Quicksilver zählt zu den größten Releases des Projekts: rund 2.245 Commits, 1.065 gemergte Pull Requests, etwa 3.300 geschlossene Issues und über 450 Mitwirkende seit v0.18.0. Für Engineering-Verantwortliche liegt das Interessante unter dem Changelog: Ein offenes Framework liefert die Produktions-Sicherheitsprimitiven, die die meisten Unternehmen intern zusammenbauen, inzwischen als Standard aus.
Was sich ändert: ein Modell im Autorisierungspfad, Durabilität darunter
Das Smart-Approvals-System ist das Herzstück. Laut den Release Notes gilt: „Wenn Hermes einen markierten Befehl ausführen will, bewertet ihn ein LLM-Reviewer unabhängig.“ Drei Designentscheidungen zählen. Erstens gelten Urteile pro Befehl: Jedes Urteil deckt exakt diese Befehlszeichenkette ab, und ein späterer Befehl mit demselben Muster erhält eine frische Prüfung, eine bewusste Absage an das Pattern-Caching nach dem Motto „einmal freigeben, ewig wiederverwenden“, das andere Agenten-Stacks bereits teuer zu stehen kam. Zweitens bleiben nutzerdefinierte Deny-Regeln deterministisch und absolut: Sie blockieren passende Befehle selbst im Yolo-Modus, das LLM-Urteil operiert also über einem harten Boden, und ein Kanal /deny <Grund> spielt den Ablehnungskontext an den Agenten zurück. Drittens bleibt die Eskalation erhalten: Unklare Einstufungen landen auf dem Tisch des Operators statt in der Ausführung.
Die Durabilitätsarbeit wiegt ebenso schwer. Finale Antworten werden jetzt in einem Zustell-Ledger in state.db festgehalten; stirbt das Gateway zwischen Antwortgenerierung und Zustellbestätigung der Plattform, wird die Antwort beim nächsten Start erneut zugestellt, statt lautlos zu verschwinden. Dieselbe Behandlung erreicht die Delegation: delegate_task-Aufrufe liefern Live-Transkriptdateien, die der Operator ab dem Start der Subagenten per tail -f verfolgen kann, und Hintergrundergebnisse überleben Prozessneustarts dank eines Ledgers mit Eigentumsprüfung. Auch die Performance bewegt sich: Die Time-to-First-Token beim Kaltstart fällt von rund 4,3 auf 0,9 Sekunden, ein Schnitt von 80 Prozent über CLI, Gateway, TUI, Desktop und Cron. Die Sicherheits-Härtungsliste liest sich wie ein Pentest-Remediationsbericht: Vertex-Zugangsdaten aus der Subprozess-Umgebung herausgelöst, Größenlimits für Webhook-Bodys auf den aiohttp-Servern, Bot-Token-Schwärzung in Transportfehlern und eine CI, die gegen die Interpolation manipulierter Refs gehärtet ist. Eine steckbare SecretSource-Schnittstelle bringt Bitwarden- und 1Password-Vaults mit deterministischer Präzedenz und Konfliktwarnungen.
Die Architektur-Implikation: der Reviewer wird zur Angriffsfläche
Zwei Lesarten, beide korrekt. Die wohlwollende: Offene Frameworks konvergieren auf die Kontrollebene, die Unternehmen bislang von Hand bauten, Befehls-Gating, deterministische Deny-Listen, absturzfeste Zustellung, audit-taugliche Transkripte, Vault-gestützte Secrets. Teams, die Quartale für dieses Gerüst eingeplant hatten, können jetzt prüfen, wie weit eine MIT-lizenzierte Basis es abdeckt.
Die skeptische: LLM-geprüfte Freigaben setzen ein Modell in den Autorisierungspfad, und dieses Modell wird zum Ziel. Prompt Injection gegen Agenten zielte bislang auf den Akteur, das Modell, das Befehle wählt. Mit dem Quicksilver-Standard kann ein Angreifer, der Kontext formt, ebenso auf den Richter zielen und den Reviewer zu einem „sicheren“ Urteil über einen feindlichen Befehl drängen. Die Gegenmaßnahmen von Nous Research haben die richtige Form, deterministische Deny-Regeln, die über dem Reviewer stehen, Urteile pro Befehl, die vergiftete Freigaben an der Verallgemeinerung hindern, doch der Boden ist exakt so stark wie die Deny-Liste, die der Operator schreibt. Eine leere Deny-Liste unter Smart Approvals bedeutet modellbeurteilte Ausführung, Punkt. Das Zustell-Ledger verschiebt zudem die Semantik: Gateways liefern jetzt at-least-once, nachgelagerte Konsumenten von Agentennachrichten sollten also idempotent sein. Und das profilbasierte Routing, Konfiguration, Skills, Speicher und Secrets pro Kanal isoliert, gibt Multi-Tenant-Deployments eine echte Isolationsprimitive und ersetzt das Shared-Everything-Muster, das aus einem einzigen kompromittierten Kanal eine Kompromittierung der ganzen Flotte machte.
Die Entscheidung für die Engineering-Führung
Konkret: Teams, die Hermes Agent betreiben, oder irgendein Framework mit LLM-vermittelter Ausführung evaluieren, eine schnell wachsende Kategorie, sollten vor der Übernahme des neuen Standards eine Threat-Model-Prüfung ansetzen. Schreibt zuerst die deterministische Schicht: Deny-Regeln für Credential-Zugriffe, destruktive Dateisystemoperationen, Paketveröffentlichung und ausgehende Netzwerkprimitiven, verifiziert im Yolo-Modus. Behandelt den LLM-Reviewer als Komfortschicht über diesem Boden und protokolliert jedes Urteil, sicher, gefährlich, unklar, im selben Audit-Strom wie die Befehle selbst, damit Reviewer-Drift messbar wird. Danach v0.19.0 mit gepinnten Versionen einen Sprint lang im Canary fahren, bevor die ganze Flotte umstellt; ein Release mit 2.245 Commits verdient gestaffelte Übernahme, so sauber die Notes auch wirken. Die strategische Frage reicht tiefer: Wenn ein freies Framework Freigabe-Gating, durable Zustellung und Vault-Integration als Standard ausliefert, müssen interne Agenten-Plattformteams ihren Zuschnitt neu begründen. Die Build-versus-Adopt-Linie hat sich gerade verschoben, in Richtung Adopt.
Artikel von LEONAI Agents & Systems
LEON deckt die technische Ebene ab, auf der KI-Agenten gebaut und betrieben werden. Quelle: Code, Dokumentation, CVEs.