Hermes Agent en Docker: installer et tenir

Sept façons de l'exécuter, et laquelle te concerne

Hermes Agent ne se déploie pas d'une seule manière. Le dépôt annonce sept moteurs d'exécution: local, Docker, SSH, Singularity, Modal, Daytona et Vercel Sandbox. Ce choix pèse plus lourd que celui du modèle, parce qu'il détermine où vivent les données, qui paie quand l'agent dort, et ce qui se passe le jour où il part en boucle.

Le repère de coût que donne le projet lui-même est un VPS à 5 $ par mois. Il vaut pour un usage personnel continu. Si l'agent ne travaille que quelques heures par semaine, Modal ou Daytona coûteront moins, puisque l'environnement hiberne entre les sessions.

Pour une équipe, la question n'est plus le prix du serveur mais l'isolement. Un agent qui écrit dans vos outils métier et se déclenche tout seul mérite son propre conteneur, ses propres secrets, et rien d'autre autour.

Ce que l'installation pose réellement

L'installation tient en une ligne, sur Linux, macOS, WSL2 et Termux:

curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash

Windows natif est pris en charge sans WSL, avec la ligne PowerShell iex (irm https://hermes-agent.nousresearch.com/install.ps1). Le CLI, la passerelle, l'interface en terminal et les outils fonctionnent nativement.

Ce que cette commande installe mérite d'être su avant de la lancer sur une machine de travail. L'installeur pose uv, Python 3.11, Node.js, ripgrep et ffmpeg. Sur Windows il ajoute un Git Bash portable, une MinGit d'environ 45 Mo dépliée dans %LOCALAPPDATA%\hermes\git, sans droits administrateur et isolée de toute installation Git existante. Si Git est déjà présent, l'installeur le détecte et l'utilise.

Deux détails documentés qui font perdre du temps sinon. Sur Windows, l'antivirus signale uv.exe comme malveillant, et la recommandation du projet est de mettre le dossier entier en liste blanche plutôt que le fichier. Sur Android via Termux, l'installation utilise l'extra .[termux] et pas .[all], ce dernier tirant des dépendances vocales incompatibles.

Ensuite, tout passe par une poignée de commandes. hermes ouvre l'interface, hermes model choisit le fournisseur, hermes tools décide des outils activés, hermes gateway démarre la passerelle de messagerie, hermes doctor diagnostique, hermes update met à jour.

La passerelle, là où ça devient un service

Tant que l'agent tourne dans ton terminal, il n'engage que toi. La bascule se joue à la passerelle, qui l'expose sur Telegram, Discord, Slack, WhatsApp, Signal et le courriel. Deux commandes, hermes gateway setup puis hermes gateway start, et n'importe qui dans le canal peut lui parler.

C'est le moment où trois questions cessent d'être théoriques.

1. Qui a le droit de lui parler ? Un canal Slack d'équipe veut dire que la personne stagiaire et la personne dirigeante ont le même agent, avec les mêmes outils activés.
2. Que peut-il écrire ? hermes tools décide des outils activés. C'est le seul endroit où se règle la différence entre un agent qui lit et un agent qui agit.
3. Qui voit passer quoi ? Une conversation dans un canal partagé est lue par tout le canal, y compris ce que l'agent remonte de vos outils métier.

Sur le choix du fournisseur de modèle, le projet reste ouvert: Nous Portal, OpenRouter, OpenAI ou ton propre point d'accès, avec bascule par hermes model sans changement de code. Nous Portal regroupe plus de 300 modèles et une passerelle d'outils, recherche web, génération d'images, synthèse vocale et navigateur distant, sous un seul abonnement. La commande hermes setup --portal fait la connexion par OAuth, et la passerelle reste activable par service et pas en bloc.

Les quatre choses qui cassent

Ce ne sont pas des hypothèses. Ce sont les quatre points sur lesquels on revient à chaque déploiement.

La facture de modèle. L'agent garde une mémoire cherchable et relance des sous-agents, donc il relit beaucoup de contexte. Le VPS ne bougera pas, la facture de tokens si. Un plafond de dépense chez le fournisseur prend cinq minutes et évite la découverte en fin de mois.

L'ordonnanceur. Une tâche périodique mal cadrée tourne la nuit, le week-end et pendant les congés, sans personne pour regarder. C'est le premier poste de dépense inattendue et le plus facile à éviter.

Les mises à jour. Plus de vingt mille commits sur la branche principale et des évolutions chaque semaine. hermes update existe, mais sur un service exposé à une équipe, mettre à jour sans lire ce qui a changé revient à redéployer à l'aveugle. Il faut quelqu'un dont c'est le travail.

Les secrets. L'agent porte les clés de vos outils métier. Sur du local ou du SSH, il les porte avec vos droits à vous. C'est l'argument le plus fort en faveur d'un conteneur dédié, et la raison pour laquelle le moteur d'exécution n'est pas un détail de confort.

Aucun de ces quatre points ne relève de l'installation. Ils relèvent de l'exploitation, et c'est la seule partie qui demande vraiment du temps.