Tu suis un tutoriel vieux de quelques mois pour apprendre Notion à ton agent : hermes skills search notion — et les entrées intégrées ont disparu, il ne reste que les sources de dépôts. Tu te demandes si tu as cassé ton installation. Non. Hermes a retiré sept skills optionnelles intégrées parce que les problèmes qu’elles résolvaient ont aujourd’hui de meilleurs propriétaires.

Ce n’est pas une fonctionnalité supprimée, c’est un nouveau partage de la question « d’où viennent les skills ». Le comprendre t’évite deux genres d’ennuis : installer quelque chose qui n’existe plus, et installer quelque chose qui tourne ensuite sous une politique périmée.

Les sept skills retirées et qui a pris le relais

Ces skills optionnelles intégrées ont été supprimées parce que les MCP officiels des éditeurs, les catalog plugins, les backends de recherche embarqués ou les dépôts de skills des éditeurs les couvrent mieux :

Skill intégrée retirée	Désormais couverte par
notion	MCP officiel Notion dans le catalogue MCP (OAuth, sans Portail) + connecteur hébergé + makenotion/skills
airtable	MCP officiel Airtable + connecteur hébergé + Airtable/skills
shopify	Connecteur hébergé + la skill maintenue par l’éditeur dans Shopify/Shopify-AI-Toolkit
duckduckgo-search	Backend de recherche web ddgs embarqué (web_search fonctionne sans clé)
searxng-search	Backend searxng embarqué via SEARXNG_URL
honcho	Le catalog plugin honcho, qui possède les commandes hermes honcho que cette skill documentait
mpp-agent	Les catalog plugins vérifiés pay / pay-cli (HTTP 402 / x402 / MPP)

Un effet de bord mérite d’être connu : AIRTABLE_API_KEY a quitté la liste des variables d’environnement optionnelles, car cette skill en était la seule consommatrice. NOTION_API_KEY reste, le puits Notion du pipeline de réunions Teams la lit toujours.

Donc si tu utilisais la skill intégrée pour Airtable, la suite passe par le MCP officiel ou le dépôt de skills de l’éditeur. La capacité n’a pas disparu : elle a déménagé chez la partie qui suit les évolutions d’API.

Taps : où les skills sont réellement découvertes

La recherche de skills ne balaie pas seulement ton répertoire local. Elle regarde un ensemble de sources appelées taps. Les taps par défaut sont un ensemble codé en dur de dépôts — openai/skills, anthropics/skills, huggingface/skills, NVIDIA/skills et d’autres — et ce changement en a ajouté trois d’éditeurs :

• makenotion/skills (chemin skills/)
• Airtable/skills (chemin plugins/airtable/skills/)
• Shopify/Shopify-AI-Toolkit (chemin skills/)

La différence entre un dépôt d’éditeur et un dépôt communautaire général n’est pas la qualité, c’est la propriété claire. Le dépôt appartient à l’éditeur, la licence est explicite : il peut donc rejoindre la liste de confiance par défaut au lieu d’être traité comme du contenu community à chaque installation.

Tu peux ajouter des taps toi-même, c’est le moyen le moins coûteux de distribuer des skills dans une équipe :

hermes skills tap list            # sources configurées
hermes skills tap add <owner>/<repo>
hermes skills browse --source github
hermes skills inspect notion-cli  # à lire avant d'installer
hermes skills install notion-cli

Ne confonds pas hermes skills tap et hermes skills trust. Le premier gère l’endroit où les skills sont trouvées ; le second décide si les skills locales au dépôt, comme ./.hermes/skills, ont le droit d’être chargées. Noms proches, métiers sans rapport.

Niveaux de trust : la table qui décide de ce qui s’installe

Après le scan, une skill reçoit un niveau de trust, et la politique d’installation est une lecture de ce niveau croisée avec le verdict du scan (safe / caution / dangerous) :

Niveau de trust	safe	caution	dangerous
builtin	autoriser	autoriser	autoriser
trusted (dépôts éditeurs / officiels)	autoriser	autoriser	bloquer
community	autoriser	bloquer	bloquer
agent-created	autoriser	autoriser	remis à l’agent

Cette table explique deux choses sur lesquelles les gens trébuchent. D’abord, pourquoi la même skill s’installe depuis un dépôt et pas depuis un autre : la source fixe le niveau, et le niveau décide si les constats caution sont bloqués. Ensuite, pourquoi les dépôts d’éditeurs valent la peine d’être listés explicitement — trusted laisse passer caution, community non. Cette seule cellule fait toute la différence.

trusted ne veut pas dire sans risque. Les constats dangerous sont bloqués depuis toute source non builtin, sans exception.

Le bug de cache d’une ligne qui maintenait une ancienne politique

Les scans de skills sont mis en cache pour que les installations ne rescannent pas tout. La clé de cache utilisait le hash du contenu, la source et la version du scanner — et, de manière révélatrice, pas le niveau de trust.

La conséquence est concrète. Tu scannes une skill, puis tu mets Hermes à jour après que son dépôt a été ajouté à (ou retiré de) la liste de confiance, et les installations continuent d’appliquer le niveau de trust enregistré lors de ce scan antérieur, jusqu’à ce que le contenu de la skill change. Autrement dit, les modifications de la liste des dépôts de confiance contournaient entièrement la clé de cache.

Le correctif intègre le niveau de trust courant dans la clé de cache : un scan en cache n’est réutilisé que si le niveau de trust actuel de la source correspond toujours, sinon la skill est rescannée. Une ligne, avec des tests dans les deux sens — un dépôt fraîchement passé en trusted est rescanné comme trusted, un dépôt retiré est rescanné comme community, et une source inchangée reste un cache hit.

Ce correctif est fusionné sur main mais n’est pas dans le tag v0.22.7, il arrivera donc avec la prochaine release. D’ici là, si tu as changé la confiance récemment et que la politique semble fausse, hermes skills audit pour rescanner les skills installées est le contournement direct.

Trois choses à faire maintenant

1. Inventaire : lance hermes skills list et repère tout ce qui pointe encore vers une skill retirée, en particulier les noms codés en dur dans les scripts d’équipe.
2. Réacheminer : bascule l’automatisation Notion, Airtable et Shopify vers les MCP officiels ou les dépôts de skills des éditeurs ; pour la recherche, utilise les backends ddgs / searxng embarqués au lieu d’installer une skill.
3. Auditer : après la mise à jour, lance hermes skills audit une fois pour que rien ne continue à tourner sous un ancien niveau de trust.

Moins de skills intégrées, c’est généralement une bonne nouvelle. Sept implémentations de moins à maintenir, des dépôts d’éditeurs qui suivent leurs propres API, et des MCP officiels qui livrent OAuth au lieu de te demander de copier une clé API : la charge de maintenance est arrivée là où elle devait être.

Pour aller plus loin : les skills locales au projet et le gate de trust, les trois skills optionnelles ajoutées plus tôt, une mise à jour guidée, ce qu’il y a d’autre dans la fenêtre v0.22.7.