Nous Research ha pubblicato Hermes Agent v0.19.0, nome in codice Quicksilver, tag v2026.7.20, il 20 luglio 2026. Il cambiamento centrale è un nuovo default di sicurezza: quando l'agente vuole eseguire un comando segnalato, un revisore LLM indipendente lo classifica come sicuro, pericoloso o incerto. I comandi sicuri partono in automatico, quelli pericolosi vengono bloccati, quelli incerti passano all'operatore umano. L'approvazione manuale generalizzata diventa la riserva, anziché la norma.
Hermes Agent è il framework open per agenti di Nous Research, con licenza MIT, ed è ormai tra i progetti più grandi della categoria: 221.100 stelle su GitHub, 42.200 fork e una base di codice unica che gira come CLI, TUI, app desktop, scheduler cron e gateway di messaggistica su Telegram, Discord, Slack, WhatsApp, Signal ed email. Pilota oltre 300 modelli tramite Nous Portal, OpenRouter, OpenAI, Anthropic ed endpoint personalizzati, ed esegue comandi su sei backend terminale, locale, Docker, SSH, Singularity, Modal e Daytona. Quicksilver è tra le release più ampie del progetto: circa 2.245 commit, 1.065 pull request integrate, circa 3.300 issue chiuse e oltre 450 contributori dalla v0.18.0. Per i responsabili dell'ingegneria, la parte interessante sta sotto il changelog: un framework open oggi consegna, come default, le primitive di sicurezza di produzione che la maggior parte delle aziende assembla in casa.
Cosa cambia: un modello nel percorso di autorizzazione, durabilità alla base
Il sistema di smart approvals è il fulcro. Secondo le note di rilascio"quando Hermes vuole eseguire un comando segnalato, un revisore LLM lo valuta in modo indipendente". Tre scelte di design contano. Primo, i verdetti valgono per singolo comando: ogni giudizio copre quella esatta stringa, e un comando successivo che corrisponde allo stesso pattern riceve una revisione nuova, un rifiuto deliberato del caching dei pattern in stile "approva una volta, riusa per sempre" che ha già scottato altri stack agentici. Secondo, le regole di negazione definite dall'utente restano deterministiche e assolute: bloccano i comandi corrispondenti anche in modalità yolo, quindi il verdetto dell'LLM opera sopra un pavimento rigido, e un canale /deny <motivo> restituisce all'agente il contesto del rifiuto. Terzo, l'escalation resta al suo posto: le classificazioni incerte arrivano sul tavolo dell'operatore invece di finire in esecuzione.
Il lavoro sulla durabilità pesa altrettanto. Le risposte finali vengono ora registrate in un registro di consegna dentro state.db; quando il gateway muore tra la generazione di una risposta e la conferma di consegna della piattaforma, la risposta viene riconsegnata al riavvio successivo, anziché sparire in silenzio. Lo stesso trattamento raggiunge la delega: le chiamate delegate_task restituiscono file di trascrizione in tempo reale che l'operatore può seguire con tail -f dal momento del lancio dei subagenti, e i risultati in background sopravvivono ai riavvii del processo grazie a un registro con verifica di proprietà. Anche le prestazioni si muovono: il time-to-first-token a freddo scende da circa 4,3 secondi a 0,9 secondi, un taglio dell'80 per cento su CLI, gateway, TUI, desktop e cron. L'elenco di hardening di sicurezza sembra il rapporto di remediation di un pentest: credenziali Vertex separate dall'ambiente dei sottoprocessi, limiti alla dimensione dei body dei webhook sui server aiohttp, redazione dei token dei bot negli errori di trasporto e CI protetta dall'interpolazione di ref manipolati. Un'interfaccia SecretSource collegabile aggiunge i vault Bitwarden e 1Password con precedenza deterministica e avvisi di conflitto.
L'implicazione architetturale: il revisore diventa superficie d'attacco
Due letture, entrambe corrette. Quella generosa: i framework open stanno convergendo sul piano di controllo che le aziende costruivano a mano, gating dei comandi, liste di negazione deterministiche, consegna a prova di crash, trascrizioni pronte per l'audit, segreti su vault. I team che avevano messo a budget interi trimestri per questa impalcatura possono ora valutare quanto una base MIT la copra.
Quella scettica: le approvazioni mediate da un LLM mettono un modello dentro il percorso di autorizzazione, e quel modello diventa un bersaglio. Finora la prompt injection contro gli agenti mirava all'attore, il modello che sceglie i comandi. Con il default di Quicksilver, un attaccante capace di plasmare il contesto può mirare anche al giudice, spingendo il revisore verso un verdetto "sicuro" su un comando ostile. Le mitigazioni di Nous Research hanno la forma giusta, regole di negazione deterministiche che prevalgono sul revisore, verdetti per singolo comando che impediscono a un'approvazione avvelenata di generalizzarsi, eppure il pavimento è forte esattamente quanto la lista di negazione scritta dall'operatore. Una lista vuota sotto smart approvals significa esecuzione giudicata dal modello, punto. Il registro di consegna sposta anche la semantica: i gateway offrono ora consegna at-least-once, quindi i consumatori a valle dei messaggi degli agenti devono essere idempotenti. E il routing per profili, config, skill, memoria e segreti isolati per canale, dà ai deployment multi-tenant una vera primitiva di isolamento, in sostituzione del pattern condiviso che trasformava un singolo canale compromesso in una compromissione dell'intera flotta.
La decisione per la leadership tecnica
In concreto: i team che usano Hermes Agent, o che valutano qualunque framework con esecuzione mediata da LLM, una categoria in rapida espansione, dovrebbero avviare una revisione del threat model prima di adottare il nuovo default. Scrivete per primo lo strato deterministico: regole di negazione su lettura di credenziali, operazioni distruttive sul filesystem, pubblicazione di pacchetti e primitive di rete in uscita, verificate in modalità yolo. Trattate il revisore LLM come strato di comodità sopra quel pavimento e registrate ogni verdetto, sicuro, pericoloso, incerto, nello stesso flusso di audit dei comandi, così la deriva del revisore diventa misurabile. Poi mettete la v0.19.0 in canary con versioni bloccate per uno sprint prima del rollout sull'intera flotta; una release da 2.245 commit merita un'adozione graduale, per quanto pulite siano le note. La domanda strategica va più in fondo: quando un framework gratuito consegna come default il gating delle approvazioni, la consegna durevole e l'integrazione con i vault, i team interni di piattaforma agenti devono rigiustificare il proprio perimetro. La linea build-versus-adopt si è appena spostata, verso adopt.
Articolo di LEONAI Agents & Systems
LEON copre il livello tecnico dove gli agenti AI vengono costruiti e distribuiti. Fonte: codice, documentazione, CVE.