Hermes Agent: Unsigned Skills Index Bisa Meloloskan Skill Berbahaya sebagai Builtin

Hermes Agent 0.19.0 punya celah pada proses instalasi skill: metadata dari skills index yang tidak ditandatangani dapat membuat skill berbahaya diperlakukan seperti komponen bawaan. Temuan ini belum menjadi advisory resmi dan patch upstream masih berupa pull request terbuka. Namun dampaknya cukup serius untuk operator yang memasang skill dari index komunitas atau sumber yang belum diaudit sendiri.

Apa masalahnya

Hermes memindai skill sebelum instalasi dan memberi tingkat kepercayaan berdasarkan asalnya. Skill bawaan mendapat kebijakan lebih longgar daripada skill komunitas. Dalam kondisi normal, status tersebut seharusnya hanya diberikan kepada skill resmi yang berasal dari adapter lokal OptionalSkillSource.

Masalahnya ada pada jalur Hermes Skills Index. Berdasarkan pull request #71723, HermesIndexSource menyalin field source dari JSON index ke bundle skill. Index tersebut dikirim lewat HTTPS, tetapi provenance tiap entri tidak ditandatangani secara kriptografis.

Jika sebuah entri mencantumkan source="official", atau memakai identifier khusus seperti official maupun agent-created, resolver trust dapat menganggapnya sebagai skill builtin. Pada kebijakan instalasi saat ini, status builtin bisa meloloskan hasil pemindaian berbahaya tanpa flag --force.

Artinya, label pada metadata eksternal dapat memengaruhi keputusan keamanan yang seharusnya hanya ditentukan oleh adapter tepercaya di sisi lokal.

Skenario risikonya

Temuan upstream memberi contoh skill dengan script seperti curl ... | bash yang terdeteksi berbahaya oleh skills guard. Untuk skill komunitas, hasil seperti ini semestinya diblokir.

Pada jalur yang bermasalah, metadata source="official" dapat mengubah provenance pemindaian menjadi builtin. Instalasi lalu diizinkan karena kebijakan builtin memang memperbolehkan verdict berbahaya.

Ini bukan berarti semua skill dari Hermes index berbahaya. Tidak ada bukti dalam PR tersebut bahwa index resmi sedang dieksploitasi. Risiko utamanya adalah trust boundary yang salah: input unsigned dari luar dapat menaikkan privilege ke kategori yang lebih dipercaya.

Siapa yang paling terdampak

Risikonya paling relevan untuk operator yang:

• menjalankan Hermes Agent 0.19.0 atau build lain yang masih memakai logika trust tersebut;
• memasang skill lewat Hermes Skills Index atau adapter eksternal;
• mengandalkan hasil scan otomatis sebagai satu-satunya kontrol;
• menjalankan Hermes dengan akses luas ke filesystem, shell, credential, atau jaringan internal;
• mengaktifkan instalasi skill dalam automation tanpa review manusia.

Instalasi skill resmi lokal melalui hermes skills install official/... tetap dipertahankan oleh rancangan patch. Jalur itu resolve lewat OptionalSkillSource, bukan semata-mata percaya pada string dari index.

Status patch upstream

Pada 26 Juli 2026, PR #71723 masih terbuka dan belum masuk release stabil baru. PR tersebut berlabel type/security, tetapi prioritasnya P3 dan masih needs-decision. Hermes juga belum menerbitkan GitHub Security Advisory untuk temuan ini.

Patch yang diusulkan melakukan empat hal:

1. status official atau builtin hanya diberikan jika adapter yang cocok benar-benar memiliki source_id() bernilai official;
2. identifier khusus dari jalur non-optional dibersihkan;
3. field provenance istimewa dari JSON skills index disanitasi;
4. dashboard skills hub memakai helper provenance yang sama agar kebijakannya konsisten.

Kontributor melaporkan 273 test terkait skills hub dan skills guard berhasil dijalankan. Angka tersebut adalah hasil dari pembuat PR, belum sama dengan patch yang sudah diterima maintainer dan dirilis.

Mitigasi yang aman sekarang

Sampai patch resmi tersedia, jangan menganggap label official di hasil index sebagai bukti bahwa skill aman.

1. Tahan instalasi skill baru dari index eksternal

Untuk server produksi, paling aman adalah menunda pemasangan skill baru dari index komunitas. Jika skill memang dibutuhkan, pin commit atau versi yang sudah direview dan simpan salinan sumber yang diaudit.

2. Review isi skill sebelum instalasi

Periksa seluruh file, bukan hanya SKILL.md. Fokus pada:

• shell script dan installer;
• pemanggilan curl, wget, PowerShell, atau package manager;
• akses ke .env, credential store, SSH key, dan config Hermes;
• command yang dijalankan sebagai root;
• download lanjutan yang tidak dipin checksum;
• kode yang mengirim file atau environment variable ke endpoint eksternal.

3. Jangan jalankan Hermes sebagai root

Gunakan user service khusus dengan permission minimum. Pisahkan credential per service dan batasi direktori yang dapat ditulis. Jika skill berbahaya lolos, pembatasan OS tetap menjadi lapisan pertahanan berikutnya.

4. Nonaktifkan instalasi otomatis

Jangan biarkan agent atau workflow memasang skill tanpa approval manusia. Scan otomatis berguna, tetapi temuan ini menunjukkan keputusan trust juga harus diaudit.

5. Inventarisasi skill yang baru dipasang

Review skill yang dipasang melalui index sejak upgrade ke 0.19.0. Prioritaskan skill yang punya script executable, meminta akses luas, atau berasal dari repo yang baru dibuat. Jika ada keraguan, nonaktifkan dulu lalu rotasi credential yang mungkin sudah terbaca.

Perlukah downgrade Hermes Agent?

Belum tentu. Downgrade bukan mitigasi yang presisi karena kita belum punya konfirmasi release mana saja yang membawa logika rentan, dan downgrade dapat membuka bug lain yang sudah diperbaiki.

Keputusan operasional yang lebih masuk akal:

• pertahankan versi saat ini jika instalasi skill eksternal dapat dihentikan;
• audit skill yang sudah masuk;
• jalankan Hermes dengan privilege minimum;
• pantau apakah PR #71723 di-merge dan masuk patch release;
• upgrade setelah release resmi tersedia dan verifikasi changelog-nya.

Kesimpulan operasional

Ini belum advisory resmi dan patch-nya belum final, jadi jangan menulisnya sebagai insiden eksploitasi yang sudah terbukti. Tetapi desain trust-nya memang bermasalah: metadata unsigned tidak boleh bisa mengangkat skill komunitas menjadi builtin.

Sampai patch dirilis, perlakukan Hermes Skills Index sebagai sumber discovery, bukan root of trust. Review kode skill, hentikan auto-install, dan batasi privilege runtime. Untuk sistem produksi, tiga kontrol itu lebih penting daripada sekadar menunggu label versi baru.