Un seul token pour tout le dashboard : le token de déploiement devient un moyen d'authentification à part entière
Lier le dashboard web à une adresse non-loopback échouait en fail closed sans basic auth ni OAuth. Désormais, un unique token de déploiement autorise à la fois le REST et l'upgrade WebSocket.
Lire la suite
Votre thème s’arrêtait à l’app desktop : Hermes stocke désormais les réglages d’interface par machine
Un unique ui-preferences.json au niveau de la machine alimente maintenant l’app Desktop et la webapp : un seul store pour toutes les adresses, une synchro bidirectionnelle entre fenêtres, un verrou de répertoire plus un rename à chaque écriture, et pourquoi cela ne dégénère jamais en un fichier par profil.
Lire la suite
Toutes les sessions se figent en même temps, le journal reste vide : Hermes sort huit blocages mesurés de l’event loop
Vous tapez dans Desktop et l’interface se fige une trentaine de secondes. Vous redémarrez, le journal est vide. Le gateway tourne sur une event loop asyncio mono-thread : tout ce qui attend le disque sur ce thread bloque d’un coup toutes les sessions. Ce correctif en retire huit blocages mesurés.
Lire la suite
Une URL, deux hôtes : colmater l'écart de parser dans le garde-fou SSRF de Hermes
urlsplit voyait 1.1.1.1 ; le navigateur se connectait à 127.0.0.1. Le contrôle de sûreté des URL de Hermes laissait passer ça. La PR #145578 fait refuser les autorités ambiguës aux deux couches, au lieu de deviner.
Lire la suite
Vous changez la clé, le processus garde l'ancienne : comment Hermes a corrigé un bug de cache au même tick d'horloge
Vous changez une clé, révoquez un appairage, rafraîchissez un token — et un processus vivant continue d'utiliser l'ancienne valeur jusqu'au redémarrage. La cause tient à la précision des horodatages du système de fichiers. Voici comment vingt caches ont été corrigés d'un coup.
Lire la suite
Deux connexions dans la même seconde, deux clés identiques : dans les coulisses du bug d'isolation de session de la webapp Hermes
Vous avez cliqué sur la déconnexion et la session du navigateur a disparu — mais une connexion créée dans la même seconde détenait exactement vos tokens. Comment un correctif de cinq lignes a fermé la faille, et quelle leçon en tirer sur la conception.
Lire la suite
Laissez l'agent monter la vidéo sur votre propre machine : Kinocut rejoint le catalogue de plugins Hermes
Un enregistrement de deux heures, trois extraits à publier, et aucune envie d'envoyer les rushes bruts. Kinocut expose FFmpeg en local sous forme d'outils MCP : l'agent découpe et exporte sur votre portable — sans compte, sans clé d'API.
Lire la suite
127.0.0.1 n'est pas une frontière de sécurité : Hermes apprend désormais à son port A2A à refuser les navigateurs
Lier un listener A2A à la loopback donne une impression d'intimité — mais n'importe quelle page web ouverte dans votre navigateur peut aussi l'atteindre. Voici les deux portes ajoutées par ce correctif : un contrôle de l'en-tête Host et un refus des POST venus d'un navigateur.
Lire la suite
Pourquoi la frappe ralentit à mesure qu'une session dure — et comment Hermes Desktop a réduit le coût des deux tiers
Dans une session de 300 tours, chaque frappe coûtait 34 ms de temps sur le thread principal. Le modèle n'y était pour rien : chaque touche relançait le rendu de toute la transcription. Voici la cause, le correctif et les chiffres.
Lire la suite
Quatre-vingt-une PR dans un seul tag, et les notes admettent l'avoir laissé sans documentation exprès
La v0.22.5 regroupe 81 PR fusionnées en un point stable pour le CLI, le Store, Docker et le Cloud, tandis que le compte rendu curaté attend la v0.23.0. Voici ce que le corps de la release dit quand même : des vérifications de mise à jour qui retiennent une release qu'elles n'accepteront pas, toujours plus de fonctionnalités qui quittent le cœur pour des plugins, et un build desktop qui dit enfin quel bot travaille.
Lire la suite
Trois personnages, une seule gorge : choisir une voix ElevenLabs par appel dans Hermes
Chez le provider ElevenLabs, text_to_speech accepte désormais un voice_id par appel et un objet de recherche find_voices : un seul script peut donc avoir un forgeron, un narrateur et une fillette sans toucher à la config ni redémarrer.
Lire la suite
Changer d'agent vous coûte les règles que vous avez déjà écrites, pas l'installation
hermes import-agent lit votre config Claude Code, Codex, Cursor ou OpenClaw, affiche un plan élément par élément avant d'écrire quoi que ce soit, et reprend mémoire, règles d'autorisation, serveurs MCP et skills — tout en laissant volontairement chaque identifiant derrière lui.
Lire la suite
Chaque commande attendait d'abord 6,7 secondes : comment Hermes a sorti trois corvées de démarrage du chemin critique
Le nettoyage du scratch, une recherche de version git en quinze sous-processus et un commit-graph périmé depuis deux mois se tenaient devant chaque processus Hermes. Trois PR fusionnées le 2026-10-26 les ont écartés — et rien de tout cela n'est encore dans une release.
Lire la suite
Votre espace de travail Hermes dans un onglet de navigateur — sans installation, sans relais
Comment le gateway sert désormais l'espace de travail Desktop directement dans un navigateur : la config en quatre lignes, les trois raisons pour lesquelles il refuse silencieusement de s'ouvrir, ce que le HTTP simple vous retire sans le dire, et pourquoi un lien unique valable 60 secondes est la seule porte d'entrée.
Lire la suite
Un seul lot, plusieurs cerveaux : delegate_task choisit désormais un modèle ou un profil par tâche
Huit sous-tâches dans un même lot — six recherches et deux gros travaux d'architecture — partageaient un seul delegation.model. La PR #142563 fait de la délégation un backend enfichable : delegation.backend accepte default, model_map ou profile_routes, le modèle ne voit jamais que les noms que vous avez écrits, chaque résultat porte un reçu de route, et une tâche mal routée échoue bruyamment au lieu de retomber discrètement.
Lire la suite
Forfaits à allowance : ce que /usage vous montre désormais, et ce qui se passe à la limite
Certains abonnements ne tournent pas sur un solde de credit, mais sur des allowances journalières, hebdomadaires et mensuelles, plus une autre pour les grands modèles. PR #142308 fait en sorte qu'Hermes dessine ce que le serveur envoie : une barre par allowance dans /usage et dans le billing du Desktop, des étiquettes Free/Small/Medium/Large dans les sélecteurs de modèle, et un message de limite qui nomme l'allowance, son heure de réinitialisation et ce qui fonctionne encore. Hermes ne change jamais de modèle à votre place.
Lire la suite