Sécuriser Hermes Agent avant de le connecter à l’entreprise

Commencer par cartographier le traitement, pas par brancher les outils

Avant de connecter Hermes au CRM, à la messagerie ou au stockage documentaire, décrivez un seul cas d’usage : qui déclenche l’agent, quelles données entrent, quelles actions sont permises, où part chaque requête et combien de temps les traces restent disponibles.

Le registre doit couvrir au minimum :

• les catégories de données, y compris les données sensibles ou confidentielles ;
• les personnes concernées ;
• Hermes, ses outils, sa mémoire, ses sessions et ses sauvegardes ;
• le fournisseur LLM principal, les modèles auxiliaires et les services appelés par les skills ;
• les destinataires, lieux d’hébergement et éventuels transferts hors Espace économique européen ;
• les durées de conservation, le processus d’effacement et le responsable de chaque contrôle.

Le principe de minimisation interdit la collecte « au cas où ». La CNIL demande de limiter les données à celles qui sont strictement nécessaires et de fixer des durées de conservation plutôt que de conserver indéfiniment.^[7] Pour un pilote, utilisez d’abord des données fictives ou expurgées. Ouvrez les données réelles par étapes.

Une AIPD n’est pas obligatoire pour tout projet Hermes. Elle doit être évaluée lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.^[12] Le DPO peut aider à qualifier ce point, notamment pour des données sensibles, de la surveillance, du profilage ou des décisions ayant un effet important.

Protéger les secrets et séparer les identités

Hermes prévoit un fichier .env pour les clés API, jetons et mots de passe, distinct de config.yaml. La documentation recommande des droits de fichier restrictifs, des clés séparées par service et l’absence de secrets dans Git. Elle indique aussi que la détection et le masquage des secrets dans les sorties d’outils et les logs sont activés par défaut.^[13]

Ce filet réduit les fuites accidentelles. Il ne remplace pas un gestionnaire de secrets ni une politique de rotation.

En entreprise :

1. créez un compte de service Hermes, sans compte administrateur partagé ;
2. attribuez une identité différente par environnement et, si possible, par intégration ;
3. limitez chaque jeton à l’API, aux dossiers et aux opérations nécessaires ;
4. interdisez les clés personnelles des collaborateurs ;
5. stockez les secrets dans le coffre de l’entreprise et injectez-les au démarrage ;
6. prévoyez rotation, révocation et inventaire du propriétaire de chaque clé.

Un jeton CRM en lecture seule ne doit pas permettre de supprimer une fiche. Un accès Git destiné à préparer une revue ne doit pas autoriser un push sur la branche de production. Cette granularité limite le dommage si une instruction, un skill ou un contenu externe est mal interprété.

Réduire les permissions de l’agent et contrôler les utilisateurs

Activez uniquement les toolsets nécessaires au cas d’usage. Un agent chargé de résumer des documents n’a probablement besoin ni d’un terminal sur l’hôte ni d’un navigateur connecté aux comptes internes. Fixez aussi un répertoire de travail dédié.

Pour les passerelles Telegram, Slack, Discord ou WhatsApp, utilisez des listes d’utilisateurs autorisés ou le mécanisme d’appairage. La configuration « autoriser tous les utilisateurs » élargit fortement la surface d’exposition ; sans liste d’autorisation ni option d’ouverture globale, la documentation indique que les utilisateurs sont refusés par défaut.^[13]

Gardez les validations humaines pour les actions à impact : envoi externe, suppression, écriture dans un outil métier, publication, paiement ou changement d’accès. Hermes propose des modes d’approbation des commandes dangereuses. Le mode off et l’option --yolo contournent ces demandes ; ils ne conviennent qu’à des environnements jetables et fortement isolés.^[13] Pour les tâches planifiées sans opérateur, préférez un refus par défaut et des scripts étroits, testés et versionnés.

Isoler l’exécution du système d’information

Le backend local exécute les commandes avec les droits de l’utilisateur de la machine. Pour un usage connecté à l’entreprise, placez l’exécution dans une VM, un conteneur ou un hôte distant dédié. Le backend Docker de Hermes applique notamment une réduction des capacités Linux, no-new-privileges et des limites de processus ; il permet aussi de couper le réseau du conteneur.^[13]

L’isolation doit rester explicite :

• ne montez que les dossiers utiles, idéalement en lecture seule quand l’écriture n’est pas requise ;
• n’exposez pas le socket Docker de l’hôte ;
• filtrez les sorties réseau vers les domaines indispensables ;
• ne transmettez au conteneur que les variables d’environnement nécessaires ;
• séparez développement, test et production ;
• testez la restauration après une commande destructive ou un conteneur compromis.

Les garde-fous d’écriture de Hermes bloquent certains chemins sensibles, mais la documentation précise que le terminal conserve les droits de l’utilisateur du système. Ils réduisent les erreurs accidentelles ; ils ne constituent pas, seuls, une sandbox contre un agent compromis.^[13]

Examiner les fournisseurs LLM et les flux sortants

Hermes accepte de nombreux fournisseurs cloud ainsi que des endpoints auto-hébergés.^[3] Ce choix détermine où peuvent partir prompts, pièces jointes, résultats d’outils, résumés de contexte et tâches auxiliaires.

Pour chaque fournisseur, vérifiez le contrat, les sous-traitants ultérieurs, les régions de traitement, la conservation, l’usage éventuel des données pour améliorer les modèles, les mécanismes de suppression, les mesures de sécurité et les transferts internationaux. La CNIL recommande de choisir des sous-traitants offrant des garanties suffisantes, de formaliser les obligations dans un contrat et de prévoir les moyens d’en vérifier l’effectivité.^[11]

Attention aux routes secondaires : vision, transcription, recherche web, mémoire externe ou modèle auxiliaire peuvent utiliser un prestataire différent du modèle principal. Un LLM local réduit certains flux sortants, mais ne règle pas à lui seul les accès, les logs, les sauvegardes ou la licéité du traitement.

Gouverner mémoire, sessions, logs et sauvegardes

La mémoire intégrée de Hermes est conservée dans ~/.hermes/memories/ et injectée au démarrage des sessions. Les conversations sont également stockées dans une base locale consultable.^[1] Décidez donc ce que l’agent a le droit de mémoriser. Évitez les secrets, données sensibles, dossiers clients complets et informations « utiles un jour peut-être ».

Hermes permet d’exiger une approbation avant les écritures en mémoire et de désactiver la mémoire. Utilisez ces options pour les environnements sensibles.^[1] Définissez ensuite une politique couvrant :

• la purge des sessions et des logs ;
• la revue des mémoires persistantes ;
• la séparation par profil, équipe ou client ;
• le chiffrement des disques et sauvegardes ;
• l’accès restreint aux journaux ;
• un test régulier de restauration ;
• la suppression dans les copies, exports et sauvegardes selon une procédure documentée.

Les logs doivent permettre l’enquête sans recopier tout le contenu métier. Journalisez l’identité, l’outil appelé, l’horodatage, le résultat et l’approbation, puis masquez les valeurs sensibles. Fixez une durée par type de trace. Le RGPD impose aussi d’organiser l’accès, la rectification et l’effacement lorsque ces droits s’appliquent.^[7]

Revoir les skills comme du code de production

Un skill peut devenir faux après une modification d’API, un changement de procédure interne ou une évolution des droits. Inventoriez sa source, son propriétaire, sa version, ses secrets requis et les outils qu’il peut appeler. Testez-le sur des données non sensibles avant promotion et imposez une revue pour toute modification.

Hermes permet de soumettre les écritures de skills à approbation.^[10] Son Curator suit l’usage, marque les skills inactifs comme obsolètes puis peut les archiver, avec sauvegarde avant traitement et restauration possible.^[5] Ce mécanisme aide au ménage, mais ne valide pas la sécurité fonctionnelle d’un skill. Une procédure critique doit avoir une date de revue et un responsable humain.

Préparer l’incident avant le pilote

Le plan d’incident doit indiquer comment couper la passerelle, suspendre les tâches planifiées, révoquer les clés, isoler l’environnement, préserver les preuves, identifier les données touchées et restaurer un état sain. Testez au moins un scénario : jeton exposé, envoi au mauvais destinataire, suppression excessive ou skill compromis.

Toute violation de données personnelles doit être documentée en interne. Lorsqu’elle présente un risque pour les droits et libertés, le responsable de traitement doit la notifier à la CNIL ; en cas de risque élevé, les personnes concernées doivent aussi être informées.^[14] Faites intervenir rapidement sécurité, DPO, juridique, métier et fournisseur concerné.

Checklist avant connexion

• [ ] Finalité, base légale, données et personnes concernées documentées
• [ ] AIPD évaluée avec le DPO selon le niveau de risque
• [ ] Fournisseurs LLM et auxiliaires recensés et contractualisés
• [ ] Comptes de service distincts, droits minimaux et secrets révocables
• [ ] Utilisateurs de la passerelle explicitement autorisés
• [ ] Outils inutiles désactivés ; approbation maintenue pour les actions sensibles
• [ ] Exécution isolée, volumes et sorties réseau limités
• [ ] Politique de mémoire, sessions, logs, sauvegardes et effacement testée
• [ ] Skills inventoriés, relus, versionnés et datés
• [ ] Scénario d’incident joué et contacts d’escalade disponibles

FAQ sur Hermes Agent, le RGPD et la sécurité

Cadrer un pilote Hermes Agent sans ouvrir tout le SI

Levolia peut cartographier votre cas d’usage, préparer une architecture isolée, définir les permissions et construire un pilote mesurable avec vos équipes métier, sécurité et DPO. Échangeons sur un premier périmètre Hermes Agent limité, testable et réversible.

Sources

[1] Hermes Agent — Persistent Memory

[3] Hermes Agent — AI Providers

[5] Hermes Agent — Curator

[7] CNIL — Les six grands principes du RGPD

[9] CNIL — IA : comment être en conformité avec le RGPD ?

[10] Skills System

[11] CNIL — Sécurité : gérer la sous-traitance

[12] CNIL — Analyse d’impact relative à la protection des données

[13] Security

[14] CNIL — Notifier une violation de données personnelles