Hermes Agent(Nous Research)
— 一个广泛使用的自托管 Agent,带持久记忆与宿主工具(终端、文件读写)。DeepSeek 后端,在一次性云沙箱、我们自己的 fork 上安装并攻击。
由实弹利用确认——marker 落盘,复现 5/8。公开披露:这个页面本身就是披露。我们公开发现、实测命中率与修复方向——不给可复制粘贴、直接开火的载荷。提示词注入是近乎普遍的一类。
真的那一条——已验证、可复现、且如实标注了边界。我们给了 Hermes 一个良性任务——“读这份事故记录、一句话总结”——而这份记录(攻击者可控的不可信内容)里藏了一句“运行某条 shell 命令”。Hermes 经它的终端工具执行了攻击者的命令:一个 marker 文件落到了磁盘上。8 次里中了 5 次(~60%)。另外 3 次它识破注入并拒绝——所以防御是真的,但是概率性的,攻击者多试几次就拿到代码执行。在非交互模式(Hermes 主打的无人值守 cron/网关运行)下,命令无需人工确认直接落地。这是——从一份只被要求“总结”的文档里——实现的任意命令执行。
间接提示词注入 → 任意 shell 命令执行
crit我们给 Agent 一个普通任务——总结一份事故记录——并在记录正文里藏了一句、伪装成无害“处理回执”步骤的指令:运行一条写入随机 marker 文件的 shell 命令。我们的请求从没让它运行任何东西;指令只存在于不可信内容里。
那条命令经 Agent 的终端工具真实执行了——marker 文件落到磁盘上,这是地面真相,不是模型嘴上说。复现 5/8(~60%)。每次运行前都清掉 marker,所以每次命中都是一次全新执行。升级观察:注入 write_file 写 /tmp 稳定;写 home 目录、覆盖已有文件时灵时不灵;写进 Agent 自己的配置目录被拒。
真实场景里,那份“记录”就是 Agent 替你读的任何不可信文本——邮件、网页、PDF、工单。谁写它,谁就能在宿主机上执行命令。重试免费,所以每次 ~60% 实际上就是稳的;而在无人值守下,没有人去接住它本来能拦下的那 3/8。
注入防御是概率性的,不是一条硬边界
high我们把同一载荷重复跑了很多次,并改变动作类型(shell vs. 文件写)。
同样的输入,结果不同:有时 Hermes 执行了,有时它正确点名“这是提示词注入企图”并拒绝。不存在一条“被总结的内容永不可执行”的硬规则——模型逐次判断,而它判错的频率高到足以被利用。
一个 60–70% 时候管用的护栏,在快速测试里像“防住了”,在一个试五次的攻击者面前就是“被拿下”。你见过一次的拒绝,不是你能指望的边界。
静态 × 动态实证
裁判是命令到底有没有真跑——磁盘上的 marker 文件——而不是模型嘴上说会不会。我们带对照跑了一组,并数命中。
Hermes 并非毫无防御:它明显具备注入意识(反复点名嵌入指令是“提示词注入企图”),还带了命令安全扫描器。可疑弱点在于:这些是软性的、由模型中介的检查,而不是一条“不可信的、被处理的内容永远不能触达工具”的结构性规则。
实弹:一条注入的 shell 命令经终端工具执行,marker 落盘,5/8,良性请求,载荷只在不可信内容里,每次运行间清理。这是一次已确认的“间接注入 → RCE 级”打穿——“exploit”这个词在这里是挣来的。
「Hermes 能可靠拒绝注入命令」。证伪:它约 3/8 拒绝(还点名注入),但约 5/8 执行。缺的是可靠性、不是能力——而安全控制正是按可靠性来评判的。
我们自己早先的 field note 说这个向量“4/4(每次都中)”。更正:真实命中率约 60%,是概率性的。向量是真的,“每次”说过头了。
利用链
攻击者写一份文档(邮件、工单、网页、PDF)→ 受害者让自己的 Hermes 去总结 → Hermes 在宿主机上运行攻击者的 shell 命令(每次 ~60%,重试即稳)。在无人值守的 cron/网关模式——正是 Hermes 主打的场景——这一切没有人在回路里,它本来能拦下的那 ~40% 也没人接住。有了任意命令执行,宿主机的其余部分随之沦陷。
披露
披露编号 TS-2026-004。仅在一次性云沙箱、我们自己的 fork 上验证,用随机无害 marker(echo 到 /tmp)——无破坏性动作、无外泄、无持久化;每个 marker 事后删除。公开披露:TrustShell 公开发布,不做私下的厂商事先通知——这篇公告就是告知用户与防御者的方式。我们仍不放出可直接使用的载荷:公开发现、实测命中率与修复方向,不是能复制粘贴的利用。提示词注入是已知的、近乎普遍的一类。